在win7中，根据_OBJECT_HEADER获得对象类型失败，经过检查，发现win7中的_OBJECT_HEADER结构和xp下有所不同
kd> !object 8525cd48
Object: 8525cd48  Type: (851af660) Thread
    ObjectHeader: 8525cd30 (new version)
    HandleCount: 0  PointerCount: 1

kd> dt _OBJECT_HEADER 8525cd30
ntdll!_OBJECT_HEADER
   +0x000 PointerCount     : 1
   +0x004 HandleCount      : 0
   +0x004 NextToFree       : (null)
   +0x008 Type             : (null)
   +0x00c NameInfoOffset   : 0x8 ''
   +0x00d HandleInfoOffset : 0 ''
   +0x00e QuotaInfoOffset  : 0 ''
   +0x00f Flags            : 0x2 ''
   +0x010 ObjectCreateInfo : 0x00000001 _OBJECT_CREATE_INFORMATION
   +0x010 QuotaBlockCharged : 0x00000001
   +0x014 SecurityDescriptor : 0x88a05c3e
   +0x018 Body             : _QUAD

kd> dt _OBJECT_HEADER 8525cd30
ntdll!_OBJECT_HEADER
   +0x000 PointerCount     : 1
   +0x004 HandleCount      : 0
   +0x004 NextToFree       : (null)
   +0x008 Type             : (null)
   +0x00c NameInfoOffset   : 0x8 ''
   +0x00d HandleInfoOffset : 0 ''
   +0x00e QuotaInfoOffset  : 0 ''
   +0x00f Flags            : 0x2 ''
   +0x010 ObjectCreateInfo : 0x00000001 _OBJECT_CREATE_INFORMATION
   +0x010 QuotaBlockCharged : 0x00000001
   +0x014 SecurityDescriptor : 0x88a05c3e
   +0x018 Body             : _QUAD

可以看到win7中的Type为null，而非xp中的_OBJECT_TYPE
但通过!object命令可获取类型为851af660
于是我查看了一下
kd> dd 851af660
851af660  851af660 851af660 000e000c 88a012c8
851af670  00000000 00000008 00000228 000003b1
851af680  0000023d 00000414 004a0050 00000004
851af690  000000b0 00020048 00020437 00120800
851af6a0  001fffff 001fffff 00100800 00000000
851af6b0  00000000 000002e8 00000000 83e6c891
851af6c0  00000000 83e53d8c 00000000 83e7ed13
851af6d0  00000000 00000000 00000000 65726854

kd> dt _OBJECT_TYPE 851af660
ntdll!_OBJECT_TYPE
   +0x000 Mutex            : _ERESOURCE
   +0x038 TypeList         : _LIST_ENTRY [ 0x20437 - 0x120800 ]
   +0x040 Name             : _UNICODE_STRING "--- memory read error at address 0x001fffff ---"
   +0x048 DefaultObject    : 0x00100800
   +0x04c Index            : 0
   +0x050 TotalNumberOfObjects : 0
   +0x054 TotalNumberOfHandles : 0x2e8
   +0x058 HighWaterNumberOfObjects : 0
   +0x05c HighWaterNumberOfHandles : 0x83e6c891
   +0x060 TypeInfo         : _OBJECT_TYPE_INITIALIZER
   +0x0ac Key              : 0
   +0x0b0 ObjectLocks      : [32] _EX_PUSH_LOCK

发现通过Type获取类型已经不能用了，但不知道windbg的!object命令如何获取对象类型的？有人研究过这个吗？

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法