Содержание материала

 

Хэндлы

 

Вызов NtQuerySystemInformation с классом SystemHandleInformation дает

нам массив всех открытых хэндлов в структуре _SYSTEM_HANDLE_INFORMATION_EX.

 

#define SystemHandleInformation 0x10

 

typedef struct _SYSTEM_HANDLE_INFORMATION {

ULONG ProcessId;

UCHAR ObjectTypeNumber;

UCHAR Flags;

USHORT Handle;

PVOID Object;

ACCESS_MASK GrantedAccess;

} SYSTEM_HANDLE_INFORMATION, *PSYSTEM_HANDLE_INFORMATION;

 

typedef struct _SYSTEM_HANDLE_INFORMATION_EX {

ULONG NumberOfHandles;

SYSTEM_HANDLE_INFORMATION Information[1];

} SYSTEM_HANDLE_INFORMATION_EX, *PSYSTEM_HANDLE_INFORMATION_EX;

 

ProcessId указывает процесс, владеющий этим хэндлом. ObjectTypeNumber -

это тип хэндла. NumberOfHandles - количество записей в массиве Information.

Скрытие одного элемента тривиально. Нужно сдвинуть последующие записи на одну

и уменьшить значение NumberOfHandles. Сдвиг последующих записей требуется,

потому что хэндлы в массиве сгруппированы по ProcessId. Это значит, что все

хэндлы одного процесса расположены последовательно. И для каждого процесса

значение поля Handle растет.

Вспомните структуру _SYSTEM_PROCESSES, которая возвращается этой

функцией с классом SystemProcessesAndThreadsInformation. Здесь мы можем

увидеть, что каждый процесс имеет информацию о количестве хэндлов в

HandleCount. Если мы хотим сделать все идеально, нам следует изменить поле

HandleCount (в соответствии с тем, сколько хэндлов мы скрыли), когда функция

будет вызвана с классом SystemProcessesAndThreadsInformation. Но эта поправка

может требовать слишком много времени. Множество хэндлов открываются и

закрываются в течении очень короткого времени при нормальной работе системы.

Легко может случиться, что количество хэндлов изменилось между двумя вызовами

функции, поэтому нам не нужно изменять здесь поле HandleCount.

 

Добавить комментарий

Не использовать не нормативную лексику.

Просьба писать ваши замечания, наблюдения и все остальное,
что поможет улучшить предоставляемую информацию на этом сайте.

ВСЕ КОММЕНТАРИИ МОДЕРИРУЮТСЯ ВРУЧНУЮ, ТАК ЧТО СПАМИТЬ БЕСПОЛЕЗНО!


Защитный код
Обновить