[求助]win10 1709中gSharedInfo->aheList->phead是句柄吗，如何转换成其对应的内核对象地址-求助问答-看雪-安全社区|安全招聘|kanxue.com

hhkqqs

2019-3-30 01:50

2215

最近研究gSharedInfo的句柄表，发现1709系统不再像1607之前那样aheList的phead直接指向一个对象的内核地址了，而是小于0x10000的按4对齐的数，这玩意能直接转换成相应对象的地址吗？

typedef struct _HANDLEENTRY

{

UINT64 pHead;

UINT64 pOwner;

UINT64 Unknown;

BYTE bType;

BYTE bFlags;

WORD wUniq;

INT padding;

}HANDLEENTRY, *PHANDLEENTRY;

目前还不知道这个新的HANDLEENTRY中的phead、Unknown和padding表示什么，请大家多多指教！

收藏・0

免费・0

支持

最新回复 (0)
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

hhkqqs

发帖

回帖

RANK

他的文章

看雪公众号