莫灰灰版主说“Object hook 自己定义Process Type和Thread Type才是王道。 ”
今天咱就来这个。
Windows系统的各种资源以对象(Object)的形式来组织，例如File Object, Driver Object,Device Object等等，但实际上这些所谓的“对象”在系统的对象管理器(Object Manager)看来只是完整对象的一个部分——对象实体(Object Body)。各种Object的共有的信息(例如，对象类型、对象的引用计数、句柄数等信息)保存在OBJECT_HEADER与其他的几个结构中。换而言之，在对象管理器内部，不同类型的对象具有相同的Object Header，但Object Body部分却是不同的。

　　一个对象由三部分组成，在Object Header之前是一段变长的区域，由四个独立的结构体组成：

typedef struct _OBJECT_HEADER_QUOTA_INFO {
　　ULONG PagedPoolCharge;
　　ULONG NonPagedPoolCharge;
　　ULONG SecurityDescriptorCharge;
　　PEPROCESS ExclusiveProcess;
　　#ifdef _WIN64
　　ULONG64 Reserved; // Win64 requires these structures to be 16 byte aligned.
　　#endif
　　} OBJECT_HEADER_QUOTA_INFO, *POBJECT_HEADER_QUOTA_INFO;
　　typedef struct _OBJECT_HEADER_HANDLE_INFO {
　　union {
　　POBJECT_HANDLE_COUNT_DATABASE HandleCountDataBase;
　　OBJECT_HANDLE_COUNT_ENTRY SingleEntry;
　　};
　　} OBJECT_HEADER_HANDLE_INFO, *POBJECT_HEADER_HANDLE_INFO;
　　// begin_ntosp
　　typedef struct _OBJECT_HEADER_NAME_INFO {
　　POBJECT_DIRECTORY Directory;
　　UNICODE_STRING Name;
　　ULONG QueryReferences;
　　#if DBG
　　ULONG Reserved2;
　　LONG DbgDereferenceCount;
　　#ifdef _WIN64
　　ULONG64 Reserved3; // Win64 requires these structures to be 16 byte aligned.
　　#endif
　　#endif
　　} OBJECT_HEADER_NAME_INFO, *POBJECT_HEADER_NAME_INFO;
　　// end_ntosp
　　typedef struct _OBJECT_HEADER_CREATOR_INFO {
　　LIST_ENTRY TypeList;
　　HANDLE CreatorUniqueProcess;
　　USHORT CreatorBackTraceIndex;
　　USHORT Reserved;
　　} OBJECT_HEADER_CREATOR_INFO, *POBJECT_HEADER_CREATOR_INFO;

kd> dt nt!_object_header 8985d9f0
　　nt!_OBJECT_HEADER
　　+0x000 PointerCount : 6
　　+0x004 HandleCount : 0
　　+0x004 NextToFree : (null)
　　+0x008 Type : 0x898df3b0 _OBJECT_TYPE
　　+0x00c NameInfoOffset : 0x10 ''
　　+0x00d HandleInfoOffset : 0 ''
　　+0x00e QuotaInfoOffset : 0 ''
　　+0x00f Flags : 0x32 '2'
　　+0x010 ObjectCreateInfo : 0x00000001 _OBJECT_CREATE_INFORMATION
　　+0x010 QuotaBlockCharged : 0x00000001
　　+0x014 SecurityDescriptor : 0xe100c843
　　+0x018 Body : _QUAD

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)