-
-
[原创]扩充_ETHREAD结构
-
发表于: 2018-9-2 17:09
-
应该过段时间就忘了，发个帖记录一下
在某些场景下，我想要系统的某些结构跟我自己的数据进行绑定。如map<EPROCESS process,uint64_t DebugPort>。但是在某些情况下map+lock并不适用。我希望扩充系统的这些结构，在分配这些结构体的时候多分配一部分出来来达到绑定的目的。
翻阅一下wrk，找到相关的地方:
在某些场景下，我想要系统的某些结构跟我自己的数据进行绑定。如map<EPROCESS process,uint64_t DebugPort>。但是在某些情况下map+lock并不适用。我希望扩充系统的这些结构，在分配这些结构体的时候多分配一部分出来来达到绑定的目的。
翻阅一下wrk，找到相关的地方:
ETHREAD:
EPROCESS:
可以看到调用ObCreateObject传入对应的结构体大小，即分配了对应的内存。但是在WIN10下，这个地方有少许改变,win10下仍然有ObCreateObject，
但是成了ObCreateObjectEx的封装，系统分配结构体的地方也变成了
可以看到ObCreateObjectEx比
ObCreateObject在后面多了一个参数
多的这个参数，是在
ObCreateObjectEx调用ObpAllocateObject所使用
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
 感谢分享！
|
|
|
好技术帖必须顶
最后于 2018-9-2 19:56
被shayi编辑
，原因：
|
|
|
|
|
|
因为楼主已经过了PG。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
