遍历内核对象目录

forwe

DriverEntry.c

1. #include "ntifs.h"
   
2. 
   
3. #define PAGEDCODE code_seg("PAGE")
   
4. #define LOCKEDCODE code_seg()
   
5. #define INITCODE code_seg("INIT")
   
6. 
   
7. #define PAGEDDATA data_seg("PAGE")
   
8. #define LOCKEDDATA data_seg()
   
9. #define INITDATA data_seg("INIT")
   
10. 
    
11. 
    
12. #define MAX_TABLE               37
    
13. #define MAX_OBJECT_COUNT        0x10000
    
14. 
    
15. typedef ULONG DEVICE_MAP;
    
16. typedef ULONG EX_PUSH_LOCK;
    
17. 
    
18. typedef struct _OBJECT_DIRECTORY_ENTRY{
    
19.         struct _OBJECT_DIRECTORY_ENTRY *ChainLink;
    
20.         PVOID        Object;
    
21.         ULONG        HashValue;
    
22. }OBJECT_DIRECTORY_ENTRY,*POBJECT_DIRECTORY_ENTRY;
    
23. 
    
24. typedef struct _OBJECT_DIRECTORY{
    
25.         POBJECT_DIRECTORY_ENTRY        HashBuckets[MAX_TABLE];
    
26.         EX_PUSH_LOCK        Lock;
    
27.         DEVICE_MAP                DeviceMap;
    
28.         ULONG                        SessionId;
    
29.         PVOID                        NamespaceEntry;
    
30.         ULONG                        Flags;
    
31. }OBJECT_DIRECTORY,*POBJECT_DIRECTORY;
    
32. 
    
33. typedef struct _OBJECT_HEADER_NAME_INFO{
    
34.         POBJECT_DIRECTORY        Directory;
    
35.         UNICODE_STRING                Name;
    
36.         ULONG                                ReferenceCount;
    
37. }OBJECT_HEADER_NAME_INFO,*POBJEC}OBJECT_HEADER_NAME_INFO,*POBJECT_HEADER_NAME_INFO;
    
38. 
    
39. 
    
40. typedef struct _OBJECT_CREATE_INFORMATION {
    
41.         ULONG Attributes;
    
42.         HANDLE RootDirectory;
    
43.         PVOID ParseContext;
    
44.         KPROCESSOR_MODE ProbeMode;
    
45.         ULONG PagedPoolCharge;
    
46.         ULONG NonPagedPoolCharge;
    
47.         ULONG SecurityDescriptorCharge;
    
48.         PSECURITY_DESCRIPTOR SecurityDescriptor;
    
49.         PSECURITY_QUALITY_OF_SERVICE SecurityQos;
    
50.         SECURITY_QUALITY_OF_SERVICE SecurityQualityOfService;
    
51. } OBJECT_CREATE_INFORMATION;
    
52. 
    
53. typedef struct _OBJECT_CREATE_INFORMATION *POBJECT_CREATE_INFORMATION;;
    
54. 
    
55. typedef struct _OBJECT_HEADER {
    
56.         LONG_PTR PointerCount;
    
57.         union {
    
58.                 LONG_PTR HandleCount;
    
59.                 PVOID NextToFree;
    
60.         };
    
61.         POBJECT_TYPE Type;
    
62.         UCHAR NameInfoOffset;
    
63.         UCHAR HandleInfoOffset;
    
64.         UCHAR QuotaInfoOffset;
    
65.         UCHAR Flags;
    
66. 
    
67.         union {
    
68.                 POBJECT_CREATE_INFORMATION ObjectCreateInfo;
    
69.                 PVOID QuotaBlockCharged;
    
70.         };
    
71. 
    
72.         PSECURITY_DESCRIPTOR SecurityDescriptor;
    
73.         QUAD Body;
    
74. } OBJECT_HEADER, *POBJECT_HEADER;
    
75. 
    
76. 
    
77. #define OBJECT_TO_OBJECT_HEADER( o ) \
    
78.         CONTAINING_RECORD( (o), OBJECT_HEADER, Body )
    
79. 
    
80. 
    
81. #define OBJECT_HEADER_TO_NAME_INFO( oh ) ((POBJECT_HEADER_NAME_INFO) \
    
82.         ((oh)->NameInfoOffset == 0 ? NULL : ((PCHAR)(oh) - (oh)->NameInfoOffset)))
    
83. 
    
84. 
    
85. 
    
86. typedef struct _OBJECT_TYPE_INITIALIZER {
    
87.         USHORT Length;
    
88.         BOOLEAN UseDefaultObject;
    
89.         BOOLEAN CaseInsensitive;
    
90.         ULONG InvalidAttributes;
    
91.         GENERIC_MAPPING GenericMapping;
    
92.         ULONG ValidAccessMask;
    
93.         BOOLEAN SecurityRequired;
    
94.         BOOLEAN MaintainHandleCount;
    
95.         BOOLEAN MaintainTypeList;
    
96.         POOL_TYPE PoolType;
    
97.         ULONG DefaultPagedPoolCharge;
    
98.         ULONG DefaultNonPagedPoolCharge;
    
99.         PVOID DumpProcedure;
    
100.         PVOID OpenProcedure;
     
101.         PVOID CloseProcedure;
     
102.         PVOID DeleteProcedure;
     
103.         PVOID ParseProcedure;
     
104.         PVOID SecurityProcedure;
     
105.         PVOID QueryNameProcedure;
     
106.         PVOID OkayToCloseProcedure;
     
107. } OBJECT_TYPE_INITIALIZER, *POBJECT_TYPE_INITIALIZER;
     
108. 
     
109. 
     
110. 
     
111. typedef struct _OBJECT_TYPE {
     
112.         ERESOURCE Mutex;
     
113.         LIST_ENTRY TypeList;
     
114.         UNICODE_STRING Name;            // Copy from object header for convenience
     
115.         PVOID DefaultObject;
     
116.         ULONG Index;
     
117.         ULONG TotalNumberOfObjects;
     
118.         ULONG TotalNumberOfHandles;
     
119.         ULONG HighWaterNumberOfObjects;
     
120.         ULONG HighWaterNumberOfHandles;
     
121.         OBJECT_TYPE_INITIALIZER TypeInfo;
     
122. #ifdef POOL_TAGGING
     
123.         ULONG Key;
     
124. #endif //POOL_TAGGING
     
125.         ERESOURCE ObjectLocks[4];
     
126. } OBJECT_TYPE, *POBJECT_TYPE;
     
127. 
     
128. 
     
129. //global
     
130. 
     
131. ULONG g_uObpRootDirectoryObjectAddr;
     
132. 
     
133. 
     
134. 
     
135. 
     
136. PUNICODE_STRING ObGetObjectName (
     
137.                                  IN PVOID Object
     
138.                                  )
     
139. 
     
140. {
     
141.         POBJECT_HEADER ObjectHeader;
     
142.         POBJECT_HEADER_NAME_INFO NameInfo;
     
143. 
     
144.         ObjectHeader = OBJECT_TO_OBJECT_HEADER( Object );
     
145.         NameInfo = OBJECT_HEADER_TO_NAME_INFO( ObjectHeader );
     
146. 
     
147. 
     
148.         if ((NameInfo != NULL) && (NameInfo->Name.Length != 0)) {
     
149. 
     
150.                 return &NameInfo->Name;
     
151. 
     
152.         } else {
     
153. 
     
154.                 return NULL;
     
155.         }
     
156. }
     
157. 
     
158. 
     
159. #pragma PAGEDCODE
     
160. ULONG GetObpRootDirectoryObjectAddr()
     
161. {
     
162. 
     
163.         ULONG uAddr = (ULONG)ObQueryNameString;
     
164. 
     
165. 
     
166.         PUCHAR p = (PUCHAR)uAddr;
     
167.         ULONG i = 0;
     
168.         BOOLEAN bFind = FALSE;
     
169. 
     
170.         while(i < 0x200)
     
171.         {
     
172.                 if (*p == 0xa1
     
173.                         && *(p + 5) == 0x39
     
174.                         && *(p + 8) == 0x0f
     
175.                         && *(p - 7) == 0xc7)
     
176.                 {
     
177.                         bFind = TRUE;
     
178.                         break;
     
179.                 }
     
180.                 i++;
     
181.                 p++;
     
182.         }
     
183. 
     
184.         if (!bFind)
     
185.         {
     
186.                 KdPrint(("Find faile!\n"));
     
187.                 return 0;
     
188.         }
     
189. 
     
190.         uAddr = *(PULONG)(p + 1);
     
191. 
     
192.         return uAddr;
     
193. }
     
194. 
     
195. 
     
196. VOID EnumObjectDirectory()
     
197. {
     
198.         ULONG u_index;
     
199.         ULONG u_front, u_rear;
     
200.         POBJECT_DIRECTORY ObpRootDirectoryObject;
     
201.         POBJECT_DIRECTORY_ENTRY *queue;
     
202.         PUNICODE_STRING pusObjectName;
     
203.         ULONG uType;
     
204.         POBJECT_TYPE pObjectType;
     
205.        
     
206.        
     
207. 
     
208.         ObpRootDirectoryObject = (POBJECT_DIRECTORY)(*(PULONG)g_uObpRootDirectoryObjectAddr);
     
209. 
     
210.         queue = (POBJECT_DIRECTORY_ENTRY *)ExAllocatePool(NonPagedPool, MAX_OBJECT_COUNT * sizeof(ULONG));
     
211. 
     
212.         if (!MmIsAddressValid(queue))
     
213.         {
     
214.                 KdPrint(("queue is null\n"));
     
215.                 return;
     
216.         }
     
217. 
     
218.         u_front = u_rear = 0;
     
219. 
     
220.         for (u_index = 0; u_index < MAX_TABLE; u_index++)
     
221.         {
     
222.                
     
223.                 if (MmIsAddressValid(ObpRootDirectoryObject->HashBuckets[u_index]))
     
224.                 {
     
225.                         u_rear = (u_rear + 1) % MAX_OBJECT_COUNT;
     
226.                         queue[u_rear] = ObpRootDirectoryObject->HashBuckets[u_index];
     
227.                 }
     
228.         }
     
229. 
     
230. 
     
231. 
     
232.         while(u_front != u_rear)
     
233.         {
     
234.                 u_front = (u_front + 1) % MAX_OBJECT_COUNT;
     
235.        
     
236.                 pusObjectName = ObGetObjectName(queue[u_front]->Object);
     
237.                 if (MmIsAddressValid(pusObjectName))
     
238.                 {
     
239.                         KdPrint(("%X:%wZ\n", queue[u_front]->Object, pusObjectName));
     
240.                 }
     
241. 
     
242. 
     
243.                 pObjectType = *(POBJECT_TYPE *)((ULONG)queue[u_front]->Object - 0x10);
     
244.                 uType = pObjectType->Index;
     
245.                
     
246.                 // 2 is Directory;
     
247.                 if (uType == 2)
     
248.                 {
     
249.                         for (u_index = 0; u_index < MAX_TABLE; u_index++)
     
250.                         {
     
251.                                 if (MmIsAddressValid(((POBJECT_DIRECTORY)queue[u_front]->Object)->HashBuckets[u_index]))
     
252.                                 {
     
253.                                         u_rear = (u_rear + 1) % MAX_OBJECT_COUNT;
     
254.                                         queue[u_rear] = ((POBJECT_DIRECTORY)queue[u_front]->Object)->HashBuckets[u_index];
     
255.                                 }
     
256.                         }
     
257.                 }
     
258. 
     
259.                 if (queue[u_front]->ChainLink != NULL)
     
260.                 {
     
261.                         u_rear = (u_rear + 1) % MAX_OBJECT_COUNT;
     
262.                         queue[u_rear] = queue[u_front]->ChainLink;
     
263.                 }
     
264.                
     
265.         }
     
266. 
     
267.         ExFreePool(queue);
     
268. }
     
269. 
     
270. 
     
271. 
     
272. 
     
273. 
     
274. #pragma PAGEDCODE
     
275. VOID MyDriverUnload(IN PDRIVER_OBJECT pDriverObject)
     
276. {
     
277. 
     
278.         KdPrint(("DriverEntry unLoading...\n"));
     
279. 
     
280. }
     
281. 
     
282. 
     
283. 
     
284. #pragma INITCODE
     
285. NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING RegistryPath)
     
286. {
     
287.         NTSTATUS status = STATUS_SUCCESS;
     
288.        
     
289.         g_uObpRootDirectoryObjectAddr = GetObpRootDirectoryObjectAddr();
     
290.         if (g_uObpRootDirectoryObjectAddr != 0)
     
291.         {
     
292.                 EnumObjectDirectory();
     
293.         }
     
294.        
     
295. 
     
296.         pDriverObject->DriverUnload = MyDriverUnload;
     
297.         return status;
     
298. }

复制代码