《Windows核心編程》第3章——深入理解handle
本文借助windbg來理解程序中的函數如何使用handle對句柄表進行查詢的。所以先要開啟Win7下Windbg的內和調試功能。
- 解決win7下內核調試的問題
重啟之後開啟Local Kernel Debugging：
開啟成功：
加載符號表之後，就可以使用！process命令了：
- 解決windbg源碼調試的問題：
添加源文件路徑：
開啟源碼級別的調試：
運行後自動彈出源碼調試：
- 研究句柄
再開一個windbg用內核調試。！process 0 0 命令找到TestHandle.exe的信息：
查看這個進程的所有句柄信息（同時也顯示出了OBJECT的信息，來給我們提供驗證）：
下面，借助對TestHandle.exe的調試我們知道38號句柄是hEvent：
查看0x38號句柄的信息（這個信息被我當做“結果”來驗證我的“推理”過程）：
- 推理步驟
查看TestHandle的EProcess結構：
得到TableCode，這個值指向一級、二級或三級句柄表（具體是幾級句柄表由末尾數決定）:
根據低兩位判斷句柄表的層級。TableCode低位是1，說明是一個二級句柄表（可以參考這個文章的分析：https://www.cnblogs.com/lsh123/p/7296423.html）：
這裏顯示了兩個一級句柄表。
不同級別的句柄表可以參考文章：https://www.2cto.com/kf/201609/543902.html
和圖：
那麽句柄值乘以4再加上fffff8a0`19ca8000就是指向對應的handle_table_entry：//為什麽這裏要乘以4？句柄是0x38，索引就是0x38/4，又由於每個handle_table_entry的大小是16字節。那麽為什麽索引是0x38/4?後面會回答
找到對應的handle_table_entry：
其中fffffa80`11399951 就是Object指針，偏移0x30-1就可以定位到OBJECT：
因為是在64位系統下，所以偏移是0x30-1，偏移發生了變化（32位系統下就是0x17）：
- handle的類型
在WinNT.h中定義的handle是這樣的： typedef void* handle；
- 為什麽要除以4？
這裏的handle就是我們本例中傳入的0x38。ExMapHandleToPointer 中又會調用ExpLookupHandleTableEntry。 在使用句柄去查找進程的句柄表時會調用函數ExpLookupHandleTableEntry，其原型如下：
這個 tHandle 結構將 Handle 值分為幾個部分，如下圖所示：
這個 TagBit 值占兩位（bit 0 到 bit 1），被清為 0 值。因此：tHandle.Value 值就是對齊在 4 bytes 邊界上。（出於某種原因）使用高30位作為索引來查找句柄表，低兩位的存在沒有意義。參考：https://www.cnblogs.com/ck1020/p/5897460.html
現在低兩位沒有意義不代表將來低兩位沒有意義，handle的含義和使用可能在未來發生變化。
《Windows核心編程》第3章——深入理解handle