windows内核句柄表学习

阳光穿透心脏的1/2处 2022-10-22 04:26 121阅读 0赞

Windows定义了很多**内核对象**：进程对象、线程对象、互斥量对象、信号量对象、事件对象、文件对象等等。在调用相应的函数创建这些对象后，我们都可以通过HANDLE类型的**句柄**来引用它们。  
句柄必须通过句柄表才能找到所引用的内核对象。  
Microsoft并未就句柄表发布过任何官方的文档。

通过windows公布的**WRK(windows research kernel)**源代码，可以了解windows**句柄表**。虽然是基于WRK的，不能保证其他版本的windows系统也采用相同的机制，但是或许都是大同小异的。

windows使用句柄对进程中的各种对象进行引用。实际上windows句柄就是一个索引，它存储了关联对象在句柄表的索引值，每个索引对应句柄表中的一个表项。通过句柄存储的索引，就可以很容易获得该句柄项对应的对象的指针。

句柄表中存储了很多了句柄表项；

句柄表是针对于进程而言的，在一个进程使用的句柄，直接在另一个进程中使用是毫无意义的。

在windows Server 2003（与WRK有相同的内核）中，句柄表是一个多层次的结构。  
它的类型为：HANDLE\_TABLE。定义如下：

typedef struct \_HANDLE\_TABLE \{  
        ULONG\_PTR TableCode;//指针指向句柄表的存储结构。  
        struct \_EPROCESS \*QuotaProcess;  // 所属进程的指针  
        HANDLE UniqueProcessId;     // 这个进程的 ProcessID  
        EX\_PUSH\_LOCK  HandleTableLock\[HANDLE\_TABLE\_LOCKS\];//句柄表所，仅在句柄表扩展时使用。  
        LIST\_ENTRY HandleTableList;   // 所有的 HandleTAble 在内核中形成一个 List ，这是 Entry  
        EX\_PUSH\_LOCK hangleConventionEvent//若在访问句柄表时发生了竞争则在此锁上等待。  
        PHANDLE\_TRACE\_DEBUG\_INFO DebugInfo;  
        LONG extrainfoPag;  
        ULONG FirstFree; // 空闲链表表头句柄索引。  
        ULONG LastFree; // 最近被释放的句柄索引。  
        ULONG NextHandleNeedingPool;//下一次句柄表扩展的起始句柄索引。  
        LONG HandleCount;//正在使用的句柄表项数量。  
     
    union\{  
          ULONG Flags;//标志域  
          BOOLEAN StrictFIFO:1;//是否使用FIFO风格的重用。  
         \};  
    \} HANDLE\_TABLE, \*PHANDLE\_TABLE;

句柄表项，它是HANDLE\_TABLE\_ENTRY结构，定义如下：

typedef struct \_HANDLE\_TABLE\_ENTRY  
    \{  
        union \{  
                 PVOID Object;//内核对象指针。  
                  ULONG ObAttributes;//内核对象属性。  
                  PHANDLE\_TABLE\_ENTRY\_INFO InfoTable;//  
                  ULONG\_PTR Value;  
             \};  
        union \{  
                union \{  
                           ACCESS\_MASK GrantedAccess;  
                           struct\{  
                                     USHORT GrantedAccessIndex;  
                              USHORT CreatorBackTraceIndex;  
                             \};  
                          \};  
                LONG NextFreeTableEntry;  
              \};  
    \} HANDLE\_TABLE\_ENTRY, \*PHANDLE\_TABLE\_ENTRY;

window提供的API：GetCurrentThread和GetCurrentProcess，可以返回当前线程和进程的句柄。其实在句柄表中是没有存储当前进程的句柄和当前线程句柄。GetCurrentThread返回句柄的值是-2，当我们以此句柄作为参数传递给windows其他API函数时，在函数内部如果检测到该句柄值为-2，不会查找句柄表，立即返回到线程对象地址。类似的调用GetCurrentProcess时，其实返回的是-1，当使用此进程句柄时，同样不需要查找句柄表，会立即返回指向当前进程对象的指针。