2016年9月26日
遍历CallBack对象 和 HHIVE对象
摘要： 内核中有个PLIST_ENTRY CmpHiveListHead;CmpHiveListHead = &CMHIVE.HiveList; CMHIVE结构如下：kd> dt _CMHIVEnt!_CMHIVE +0x000 Hive : _HHIVE +0x210 FileHandles : [3] 阅读全文
posted @ 2016-09-26 16:46 狂客 阅读(815) 评论(0) 推荐(0) 编辑
遍历windows驱动
摘要： 驱动都存在 \\Driver 或者 \\FileSystem 目录对象里 我们只需要遍历这两个目录就可以遍历windows所有驱动 知识点 \\Driver \\FileSystem (dt _OBJECT_DIRECOTRY)都属于 ObpDirectoryObjectType(window内核全 阅读全文
posted @ 2016-09-26 16:27 狂客 阅读(1779) 评论(0) 推荐(0) 编辑
windows OBJECT查找
摘要： PspCidTable表里。索引值总之4的倍数。也就是说 PID/4 才是PspCidTable索引。*8 才是PsPCidTable+偏移。获取进程对应的 _HANDLE_TABLE_ENTRY 结构 查找 Object_Header 地址 = Object对象地址-0x18 TypeIndex 阅读全文
posted @ 2016-09-26 10:10 狂客 阅读(272) 评论(0) 推荐(0) 编辑