总结一下由对象名得到对象地址的方法

偏执的太偏执、 2022-08-09 06:16 239阅读 0赞

来源:http://blog.sina.com.cn/s/blog\_62a630640100gosp.html  
  
方法一、ObReferenceObjectByName  
声明：  
NTKERNELAPI  
NTSTATUS  
ObReferenceObjectByName(  
 IN PUNICODE\_STRING ObjectName,  
 IN ULONG Attributes,  
 IN PACCESS\_STATE PassedAccessState OPTIONAL,  
 IN ACCESS\_MASK DesiredAccess OPTIONAL,  
 IN POBJECT\_TYPE ObjectType,  
 IN KPROCESSOR\_MODE AccessMode,  
 IN OUT PVOID ParseContext OPTIONAL,  
 OUT PVOID \*  Object  
 );  
参数说明:   
1.名称的UNICODE\_STRING结构的地址　  
2.对象属性，如OBJ\_CASE\_INSENSITIVE  
3. 一般设置为0  
4.访问属性，如:GENERIC\_READ GENERIC\_WRITE  
5.对象类型,是内核导出的变量，通过windbg我找到了这些：  
IoControllerObjectType 805519ec  
IoDriverObjectType 805519e0  
IoFileObjectType 805519d8  
IoDeviceHandlerObjectType 805519dc  
IoDeviceObjectType 805519e4  
IoAdapterObjectType 805519f0  
IoCompletionObjectType 805519e8  
后面的地址是这些变量的地址，实际调用时用此地址处的值进行调用  
6. 常量KernelMode   
7.一般设置为0   
8.用于接收返回对象地址的变量的地址  
  
  
如:  
mov ecx,IoDriverObjectType  
mov ecx,dword ptr \[ecx\]  
mov ecx,dword ptr \[ecx\]  
invoke ObReferenceObjectByName,addr szDevLow,OBJ\_CASE\_INSENSITIVE,0,0,\\  
 ecx,KernelMode,0,addr @lpDevObj  
补充:并不是所有类型的对象都能正常返回,像Device类型的对象，就不能用这个函数来得到其对象  
  
方法二、ObOpenObjectByName()-->ObReferenceObjectByHandle()  
声明：  
NTKERNELAPI  
NTSTATUS  
ObOpenObjectByName(  
 IN POBJECT\_ATTRIBUTES ObjectAttributes,  
 IN POBJECT\_TYPE ObjectType,  
 IN KPROCESSOR\_MODE AccessMode,  
 IN OUT PACCESS\_STATE PassedAccessState OPTIONAL,  
 IN ACCESS\_MASK DesiredAccess OPTIONAL,  
 IN OUT PVOID ParseContext OPTIONAL,  
 OUT PHANDLE Handle  
 );  
参数说明  
1. OBJECT \_ATTRIBUTES类型的结构体的地址  
2.见ObReferenceObjectByName参数5的说明，这里我发现设置0也能正常返回  
3.常量KernelMode  
4.一般设置为0  
5.期望获得的权限，如GENERIC\_READ GENERIC\_WRITE  
6.一般设置为0  
7.用来接收返回句柄的变量的地址  
如： mov eax,\_lpObjName  
 mov @stOA.ObjectName,eax  
 mov @stOA.\_Length,sizeof  OBJECT \_ATTRIBUTES  
 mov @stOA.Attributes,OBJ\_CASE\_INSENSITIVE  
 invoke ObOpenObjectByName,addr @stOA,0,KernelMode,0,GENERIC\_READ or GENERIC\_WRITE,0,addr @hObj  
 .if !eax  
 ;打开成功，得到句柄,下面找到对象地址  
 invoke ObReferenceObjectByHandle,@hObj,0,0,KernelMode,addr @lpObj,0  
 ;--句柄不要了，关掉  
 invoke ZwClose,@hObj  
 .endif  
和第一种方法的限制一样，并不是所有类型的对象都能正常返回,像Device类型的对象，就不能用  
此方法得到其对象  
  
方法三、ZwCreateFile()-->ObReferenceObjectByHandle()  
如：  
 mov eax,\_lpObjName  
 mov @stOA.ObjectName,eax  
 mov @stOA.\_Length,sizeof  OBJECT \_ATTRIBUTES  
 invoke ZwCreateFile,addr @hObj,GENERIC\_WRITE,addr @stOA,addr @stISB,0,\\  
 FILE\_ATTRIBUTE\_NORMAL,0,FILE\_  OPEN \_IF,FILE\_SYNCHRONOUS\_IO\_NONALERT,0,0  
这种方法很容易，也没什么限制，是推荐使用的  
  
  
  
  
一直搜索论坛,都没人讲怎么获取DebugObject,头痛了一个礼拜啊.  
今天终于知道怎么取得对象基址了,接下来就是搞掉某P的ValidAccessMask了.  
  
  
来张图:  
[![点击图片以查看大图图片名称:	未命名.JPG查看次数:	22文件大小:	48.9 KB文件 ID :	81324][.JPG_22_48.9 KB_ ID _81324]][.JPG_22_48.9 KB_ ID _81324_.JPG_22_48.9 KB_ ID _81324]

[.JPG_22_48.9 KB_ ID _81324]: http://bbs.pediy.com/attachment.php?s=6e25b41080aba9022b1408d57fce592d&attachmentid=81324&thumb=1&d=1375322218
[.JPG_22_48.9 KB_ ID _81324_.JPG_22_48.9 KB_ ID _81324]: /images/20220731/a8c67dee09d34a10a3168e67f104bf70.png