句柄表

0x00:

找到句柄表并验证句柄多于512个句柄表之后，TableCode低2位为1。

1、

验证成功。

2、查表的步骤：

(1)、 找到进程结构体基址

(2)、 eprocess偏移0xc4的位置有ObjectTable结构体

(3)、结构体的第一个成员就是TableCode！

0x01:

通过句柄查表找到EPROCESS结构体:

1、

 

(1)、低3位是属性位，低2位默认是0；低1位表示该句柄是否可继承；低0位默认为1。

(2)、第3到31位存储的是内核对象的地址。

(3)、47-32 位是访问掩码，OpenProcess 的第一个参数会影响这里的值。

(4)、63-56位会被SetHandleInformation 改变，如果参数是HANDLE_FLAG_PROTECT_FROM_CLOSE(0x02)，那么这个字节会设置成0x02。

 

2、

可以看到0x02

3、

查找结构体:首先得知道本进程的句柄表地址，然后把句柄号除以四再乘以8(除四是因为四个字节一个句柄号，乘以八是句柄占8字节)，再把句柄表地址低三位清0(因为是属性)

最后要记得所有内核对象都是以OBJECT_HEADER开头的，所以我们最后要加上这个结构体的大小..即0x18

 

对照进程结构体偏移0x174的位置，可以看到进程的名为notepad.exe,可知道实验成功了

 

__EOF__

本文作者：_TLSN
本文链接：https://www.cnblogs.com/lordtianqiyi/articles/15681081.html
关于博主：评论和私信会在第一时间回复。或者直接私信我。
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！
声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是博主的最大动力！