逆向ObReferenceObjectByHandle得到EPROCESS和修改句柄权限-逆向工程-看雪安全社区

# 确定大致方向

![](upload/attach/202601/1060579_JBM494MEXGJ3HYC.webp)

首先先用微软官方函数获取句柄信息

![](upload/attach/202601/1060579_TTZMX2XX5BTF7U5.webp)

![](upload/attach/202601/1060579_4M5E8MJ7HC6XHEA.webp)

验证`ProcessObject`可以发现`+0x480`的位置刚好就是`ImageFileName`, 说明这就是EPROCESS对象

![](upload/attach/202601/1060579_ZW58RT3228BEP7P.webp)

可以正确获取`EPORCESS`对象和句柄的权限, 但是尝试修改权限会发现并不会被修改成功, 因为它只是将权限copy出来了, 并不是真正的权限地址

于是即可开始逆向这个函数, 目标: 找出权限是从哪里取出来的? 以及如何根据句柄取到`EPROCESS`对象

# 逆向分析如何得到OBJECT_HANDLE_INFORMATION

![](upload/attach/202601/1060579_WYQ4284PXE59XT8.webp)

在此处给`info`下一个访问断点`ba w8 info`

![](upload/attach/202601/1060579_7D96D33UKDSPREU.webp)

![](upload/attach/202601/1060579_M74D9KBQ2GEGZ4N.webp)

发现在`mov dword ptr [rax+4],esi`断了下来, 此时查看寄存器`rsi`刚好等于`0x12345`是设置的权限, 此时需要找到是什么地方写入`rsi`

![](upload/attach/202601/1060579_NKHPASY2AMUHYZ7.webp)

![](upload/attach/202601/1060579_BQXFTW6D96279ST.webp)

继续跟踪发现`mov rsi,qword ptr [rsp+50h]`对`rsi`进行了写入, 并且进一步跟踪发现是由上面`jne`跳转过来的, 继续向上寻找

![](upload/attach/202601/1060579_BUDBJAYHGH7Q3WS.webp)

![](upload/attach/202601/1060579_XT6PM48ZEDEUAH5.webp)

在这里发现`rsi`被`rdx`赋值, 然后又回到了`rsi`, 继续向上跟踪发现`rsi`来自`[rax+8]`, 继续向上发现`rax`是来自`nt!ExpLookupHandleTableEntry`

![](upload/attach/202601/1060579_DM5XGJTZFAUMVKR.webp)

分析`nt!ExpLookupHandleTableEntry`可以发现这就是取句柄信息的核心算法, 首先判断传入句柄是否合法, 其次根据句柄表后2位判断是几级结构的句柄表, 共有三个层次

```
一级结构算法: poi(poi(poi(gs:[0x188]+0x0B8)+0x418)+0x8)+handle*0x4+0x8
二级结构算法: poi(poi(poi(poi(gs:[0x188]+0x0B8)+0x418)+0x8)+(handle>>0x10)*0x8-0x1)+(handle&0x3FF)*0x4+0x8
三级结构算法: poi(poi(poi(poi(poi(gs:[0x188]+0x0B8)+0x418)+0x8)+((handle>>0xA)>>0x9)*0x8-0x2)+((handle>>0xA)&0x1FF)*0x8)+(handle&0x3FF)*0x4+0x8
```

根据分析结果回推可以得到三级结构的各个算法如上所示

# 逆向分析如何得到_EPROCESS

![](upload/attach/202601/1060579_T37UY3AFHXSBSXX.webp)

继续分析如何得到`_EPROCESS`对象, 对`ProcessObject`下一个访问断点

![](upload/attach/202601/1060579_XAUMRUXYQTKWP6P.webp)

可以发现断点被触发, 在`mov qword ptr [r12],rax`对`ProcessObject`进行了写入, 明显当前`r12`=`ProcessObject`=`EPROCESS`, 继续向上跟踪发现`rax`被`lea rax,[rbx+30h]`赋值, 知道`EPROCESS`-30刚好就回到了`_OBJECT_HEADER`头部, 所以`rbx`=`_OBJECT_HEADER`, 需要继续向上跟踪`rbx`的由来...

![](upload/attach/202601/1060579_MUUBUUP82H967JW.webp)

继续跟踪发现`rbx`由`rax`赋值, 并且经过`sar rbx,10h`和`and rbx,0FFFFFFFFFFFFFFF0h`运算, 这也是重要的算法, 需要一并反推记录, 继续向上追踪`rax`由来

![](upload/attach/202601/1060579_5GB4AWJ553E2F93.webp)

`rax`被`r14`赋值, 继续追踪`r14`
 ![](upload/attach/202601/1060579_5CB2CPWJJSB5CYZ.webp)

继续跟踪得知`r14`来自`[rsp+30]`, `[rsp+30]`又来自`rcx`, `rcx`又来自`[rax]`, 而`rax`来自`call    nt!ExpLookupHandleTableEntry`, 经过上面分析`ExpLookupHandleTableEntry`得知`[rax]+8`=`OBJECT_HANDLE_INFORMATION`, 而对于`EPROCESS`则是用的`[rax]`, 于是可以反解出算法为`((poi(rax)>>0x10)&0x0FFFFFFFFFFFFFFF0)=_OBJECT_HEADER`

# 代码实现

下面直接上代码实现:

```
//一级表
// poi(poi(poi(gs:[0x188]+0x0B8)+0x418)+0x8)+handle*0x4
LONG_PTR GetObjectHandleInformation0(ULONG_PTR handle)
{
    return poi(poi(poi(__readgsqword(0x188)+0x0B8)+0x418)+0x8)+handle*0x4;
}
//二级表
//poi(poi(poi(poi(gs:[0x188]+0x0B8)+0x418)+0x8)+(handle>>0x10)*0x8-0x1)+(handle&0x3FF)*0x4
LONG_PTR GetObjectHandleInformation1(ULONG_PTR handle)
{
    return poi(poi(poi(poi(__readgsqword(0x188)+0x0B8)+0x418)+0x8)+(handle>>0x10)*0x8-0x1)+(handle&0x3FF)*0x4;
}
//三级表
// poi(poi(poi(poi(poi(gs:[0x188]+0x0B8)+0x418)+0x8)+((handle>>0xA)>>0x9)*0x8-0x2)+((handle>>0xA)&0x1FF)*0x8)+(handle&0x3FF)*0x4
LONG_PTR GetObjectHandleInformation2(ULONG_PTR handle)
{
    return poi(poi(poi(poi(poi(__readgsqword(0x188)+0x0B8)+0x418)+0x8)+((handle>>0xA)>>0x9)*0x8-0x2)+((handle>>0xA)&0x1FF)*0x8)+(handle&0x3FF)*0x4;
}
//获取权限地址
void GetObjectHandleInformation(ULONG_PTR handle, PVOID** object,OBJECT_HANDLE_INFORMATION** info)
{
    //句柄表地址
    ULONG_PTR handleTable = GetHandleTable(handle);
    //表等级
    ULONG level = handleTable & 0x3;
    LONG_PTR var1 = 0;
    if (level == 0) {
        PZY_PRINT("level=0");
        var1 = GetObjectHandleInformation0(handle);
    }
    else if (level == 1) {
        PZY_PRINT("level=1");
        var1 = GetObjectHandleInformation1(handle);
    }
    else if (level == 2) {
        PZY_PRINT("level=2");
        var1 = GetObjectHandleInformation2(handle);
    }
    //处理info
    UINT_PTR tempInof = (UINT_PTR)((UCHAR*)var1 + 0x8);
    *info = tempInof;
    //处理Object
    UINT_PTR tempObject = (((INT64)poi(var1) >> 0x10) & 0x0FFFFFFFFFFFFFFF0);
    *object = tempObject;
}

```

```
//自己实现的获取权限地址方法
OBJECT_HANDLE_INFORMATION* myInfo= { 0 };
PVOID* EPROCESS = 0;
GetObjectHandleInformation(handle, &EPROCESS, &myInfo);
PZY_PRINT("EPROCESS=%llX GrantedAccess=%llX HandleAttributes=%llX", EPROCESS,myInfo->GrantedAccess, myInfo->HandleAttributes);
```

取出的地址就是储存权限的真是地址, 修改此地址权限直接影响当前句柄权限

# 总结 
经过后续观察发现, 系统先会得到全局句柄表 方式: 获取当前线程`_KTHREAD`, 再由当前线程`+0x220 Process`找到当前进程, 当前进程`+0x418 ObjectTable`得到句柄表`_HANDLE_TABLE`, 句柄表继续偏移`+0x008 TableCode`得到句柄入口`_HANDLE_TABLE_ENTRY`, 继续偏移`+0x000 InfoTable`得到一个加密后的地址, 这个地址解密后是一个具体的对象, 这个具体对象是根据传入的参数而定的, 常用的有`事件对象`/`文件对象`/`进程对象`/`线程对象`, 其他的我还没摸到, 参考下图:

![图片描述](upload/attach/202601/1060579_4NBGY4MEDKZT84S.webp)

这些e开头的数据就是解密前的数据, 这些都是一个个`_HANDLE_TABLE_ENTRY`
 ![](upload/attach/202601/1060579_ZUKADPKRTUMRR76.webp)

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-3-15 16:30 被mb_binusgki编辑，原因：补充内容

#调试逆向 #系统底层 #问题讨论 #其他内容

最新回复 (1)
mb_binusgki 雪币： 390 能力值： ( LV1，RANK：0 ) 在线值：发帖 29 回帖 6 粉丝 25 关注私信	mb_binusgki 2 楼后续还有一个问题就是 gs:[188h]+0x0B8 = gs:[188h]+0x220 这两个值是相同的也就是_KTHREAD+B8也可以取得Process, _KTHREAD+220的值等同, 并且系统也是用的B8而不是220, 但根据_KTHREAD+0x098 ApcStateFill [43] UChar来看 ApcStateFill数组中包含了Process, 就是不懂ApcStateFill是什么 2026-1-19 01:49 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复