未命名的目录对象

Windows 中的许多功能都基于各种内核对象。一个这样的对象是目录，不要与文件系统中的目录混淆。Directory 对象在概念上很简单：它是其他内核对象（包括其他 Directory 对象）的容器，从而创建内核的对象管理器用来管理命名对象的层次结构。

原文链接：https://scorpiosoftware.net/2022/12/13/unnamed-directory-objects/

这种安排可以很容易地看到像Sysinternals的WinObj这样的工具：

WinObj 的左侧显示对象管理器目录，其中“存储”了命名对象，并且可以按名称定位。足够清晰和简单。

但是，目录对象可以是未命名的，也可以是命名的。这怎么可能？这是我的对象资源管理器工具（我的系统资源管理器工具也提供了类似的功能）。其中一个视图是所有对象类型及其某些属性（如名称、类型索引、对象和句柄数、对象和句柄的峰值数、泛型访问映射以及从中分配它们的池类型）的“统计”视图。

如果右键单击目录对象类型并选择“所有对象”，您将看到另一个视图，其中显示了系统中的所有目录对象（不一定是全部，但大多数*）。

如果滚动一下，您将看到许多没有名称的未命名目录对象：

这似乎很奇怪，因为没有名称的目录没有意义。然而，这些目录是“真实的”，并且有一个重要目的 – 管理私有对象命名空间。几年前，我在博客上写过关于私有对象命名空间的文章（不幸的是，它在我的旧博客站点中丢失了），但这是它的要点：

对象名称非常有用，因为它们允许在进程之间轻松共享。例如，如果两个或多个进程想要共享内存，它们可以创建一个内存映射文件对象（在内核中称为 section），其名称都是它们都知道的。使用相同名称调用 CreateFileMapping（或其变体之一）将创建对象（由第一个调用方），后续调用方将获取现有对象的句柄，因为它是按名称查找的。

这既简单又有用，但有一个可能的陷阱：由于名称是使用工具或 API “可见”的，因此其他进程可以通过使用该可见名称获取自己的句柄并恶意或意外地“干预”对象来“干扰”对象。

这个问题的解决方案在Windows Vista中以私有对象命名空间的想法出现。一组协作进程可以创建一个只有它们才能使用的私有命名空间，受“机密”名称保护，更重要的是边界描述符保护。细节超出了本文的范围，但都记录在Windows API函数中，如CreateBoundaryDescriptor，CreatePrivateNamespace和friends。下面是使用这些 API 创建包含节对象的私有命名空间的示例（省略错误处理）：

此代码片段取自 Windows 10 系统编程第 1 部分书籍中的私人共享代码示例。

如果运行此演示应用程序，并在进程资源管理器或对象资源管理器等工具中查看上述代码中生成的句柄 （），您将看到未给出对象的名称：hSharedMem

不显示全名，无法从用户模式检索。即使可以以某种方式定位它，边界描述符也能提供进一步的保护。让我们在内核调试器中检查此对象。从对象的属性中复制其地址：

将地址粘贴到本地内核调试器中 – 首先使用通用 ！object 命令：

名称在那里，但目录对象也在那里。让我们检查一下：

此目录中有一个对象。目录的名称是什么？我们需要检查对象标头 – 它的地址在上面的输出中给出：

获取内核的对象名称有点棘手，这里不会完全描述。第一个要求是成员必须设置位 1，因为这表示存在名称。由于它不是（值为 0xa 或 10 十进制），因此此目录没有名称。我们可以通过查看给定对象原始地址的真实数据结构来更详细地检查目录对象：InfoMask

有趣的部分是成员，它不是 NULL。这表示此目录的用途：作为私有命名空间对象的容器。您也可以单击并在此处找到单个部分对象。NamespaceEntryHasBuckets

返回到进程资源管理器，启用未命名的对象句柄（“视图”菜单，显示未命名的句柄和映射）并查找未命名的目录对象：

目录的地址与我们查看的地址相同！

指针指向当前未随符号一起提供的未记录结构。但是，只要稍微超出目录的对象结构就会显示一个提示：NamespaceEntry

名称“MyDescriptor”清晰可见，这是上述代码中边界描述符的名称。

内核调试器的文档指示带有 -p 开关的 ！object 命令应显示私有命名空间。但是，这将失败：

调试器似乎无法定位全局内核变量。这可能是调试器命令中的一个错误，因为自从在 Windows 10 版本 1607 中引入服务器接收器以来，对象命名空间范围已更改（例如，Docker 在运行 Windows 容器时使用这些接收器）。每个思洛存储器都有自己的对象管理器命名空间，因此旧的全局变量不再存在。我怀疑微软尚未更新此命令开关以支持孤岛。即使没有运行服务器思洛存储器，主机也被视为位于其自己的（全局）思洛存储器中，称为主机思洛存储器。您可以使用 ！silo 调试器命令查看其详细信息：

单击“服务器思洛存储器全局”链接，显示更多详细信息：

ObSiloState是与对象管理器相关的根对象。单击此按钮显示：

PrivateNamespaceLookupTable是此思洛存储器的私有命名空间的根对象（在此示例中为主机思洛存储器）。

欢迎有兴趣的读者进一步深入研究。

如果将专用命名空间列表提升运行并启用了本地内核调试，则专用命名空间列表随 WinObjEx64 工具一起提供，因为它使用内核调试器的驱动程序读取内核内存。

* 大多数对象，因为对象资源管理器的工作方式是枚举句柄并将它们与对象关联。但是，某些对象使用来自内核的引用来保存，句柄为零。对象资源管理器无法检测到此类对象。