Win10遍历句柄表+修改权限过Callback保护
正篇：
XP 和 Win7 上关于句柄表的⽂章不少，⼀点不懂的朋友请⾃⾏百度⾕歌搜索，⽅法没变，依旧使⽤ ExpLookupHandleTableEntry 。
主要说说 Win10 的变化，相较于 Win7 这两个结构体有所改变： HANDLE_TABLE 和 HANDLE_TABLE_ENTRY ，另外多了⼀个HANDLE_TABLE_FREE_LIST 。
根据 WinDBG 逆向出的结构定义如下：
1: kd> dt nt!_HANDLE_TABLE
0x000 NextHandleNeedingPool : Uint4B
0x004 ExtraInfoPages : Int4B
0x008 TableCode : Uint8B
0x010 QuotaProcess : Ptr64 _EPROCESS
0x018 HandleTableList : _LIST_ENTRY
0x028 UniqueProcessId : Uint4B
0x02c Flags : Uint4B
0x02c StrictFIFO : Pos 0, 1 Bit
0x02c EnableHandleExceptions : Pos 1, 1 Bit
0x02c Rundown : Pos 2, 1 Bit
0x02c Duplicated : Pos 3, 1 Bit
0x02c RaiUMExceptionOnInvalidHandleClo : Pos 4, 1 Bit
0x030 HandleContentionEvent : _EX_PUSH_LOCK
折磨造句0x038 HandleTableLock : _EX_PUSH_LOCK
0x040 FreeLists : [1] _HANDLE_TABLE_FREE_LIST
0x040 ActualEntry : [32] UChar
0x060 DebugInfo : Ptr64 _HANDLE_TRACE_DEBUG_INFO
typedef struct _HANDLE_TABLE
{
ULONG32 NextHandleNeedingPool;
LONG32 ExtraInfoPages;
ULONG_PTR TableCode;
PEPROCESS QuotaProcess;
LIST_ENTRY HandleTableList;
ULONG32 UniqueProcessId;
union
{
ULONG32 Flags;
struct
{
BOOLEAN StrictFIFO : 1;
BOOLEAN EnableHandleExceptions : 1;
BOOLEAN Rundown : 1;
BOOLEAN Duplicated : 1;
BOOLEAN RaiUMExceptionOnInvalidHandleClo : 1;
孕妇头疼};
};
ULONG_PTR HandleContentionEvent;
ULONG_PTR HandleTableLock;
union
{
HANDLE_TABLE_FREE_LIST FreeLists[1];
BOOLEAN ActualEntry[32];
};
PVOID DebugInfo;
} HANDLE_TABLE, *PHANDLE_TABLE;
复制代码
1: kd> dt nt!_HANDLE_TABLE_ENTRY
0x000 VolatileLowValue : Int8B
0x000 LowValue : Int8B
0x000 InfoTable : Ptr64 _HANDLE_TABLE_ENTRY_INFO
0x008 HighValue : Int8B
0x008 NextFreeHandleEntry : Ptr64 _HANDLE_TABLE_ENTRY 0x008 LeafHandleValue : _EXHANDLE
0x000 RefCountField : Int8B
0x000 Unlocked : Pos 0, 1 Bit
0x000 RefCnt : Pos 1, 16 Bits
0x000 Attributes : Pos 17, 3 Bits
0x000 ObjectPointerBits : Pos 20, 44 Bits
0x008 GrantedAccessBits : Pos 0, 25 Bits
0x008 NoRightsUpgrade : Pos 25, 1 Bit
0x008 Spare1 : Pos 26, 6 Bits
0x00c Spare2 : Uint4B
typedef struct _HANDLE_TABLE_ENTRY
死有余辜是什么意思{
union
{
LONG_PTR VolatileLowValue;
LONG_PTR LowValue;
PVOID InfoTable;
LONG_PTR RefCountField;
struct
{
ULONG_PTR Unlocked : 1;
ULONG_PTR RefCnt : 16;
ULONG_PTR Attributes : 3;
ULONG_PTR ObjectPointerBits : 44;
};
邀请词};
union
{
LONG_PTR HighValue;
struct _HANDLE_TABLE_ENTRY *NextFreeHandleEntry; EXHANDLE LeafHandleValue;
struct
{
ULONG32 GrantedAccessBits : 25;
ULONG32 NoRightsUpgrade : 1;
ULONG32 Spare1 : 6;
};
ULONG32 Spare2;
};
} HANDLE_TABLE_ENTRY, *PHANDLE_TABLE_ENTRY;
复制代码
1: kd> dt nt!_HANDLE_TABLE_FREE_LIST
0x000 FreeListLock : _EX_PUSH_LOCK
0x008 FirstFreeHandleEntry : Ptr64 _HANDLE_TABLE_ENTRY 0x010 LastFreeHandleEntry : Ptr64 _HANDLE_TABLE_ENTRY 0x018 HandleCount : Int4B
0x01c HighWaterMark : Uint4B
0x020 Rerved : [8] Uint4B
typedef struct _HANDLE_TABLE_FREE_LIST
{
ULONG_PTR FreeListLock;
PHANDLE_TABLE_ENTRY FirstFreeHandleEntry;
PHANDLE_TABLE_ENTRY lastFreeHandleEntry;
LONG32 HandleCount;
ULONG32 HighWaterMark;
ULONG32 Rerved[8];
} HANDLE_TABLE_FREE_LIST, *PHANDLE_TABLE_FREE_LIST;
复制代码
只是⼀部分成员的偏移变化了，要注意的是表⽰对象地址的成员移到了 ObjectPointerBits 上，长度为 44 位的数据。
Win10上内核对象的地址算法：
Object = Entry->ObjectPointerBits;
Object <<= 4;
Object |= 0xFFFF000000000000;
Object += 0x30;
复制代码
另外对象权限也变到了 GrantedAccessBits 成员中，长度为 25 位的数据。
关于 ExpLookupHandleTableEntry 的实现上，相较 Win7 的版本仅仅优化了下代码逻辑，可以说没有变化。
直接抄 WRK 的代码，建议多看⼏遍代码，配合⽹上的其他帖⼦理解⼀下句柄表结构，我就不废话了（懒）。
本来想写⼀⼤堆，但感觉都是废话删掉了，结果就变成这么⼀篇偷懒贴，⼲脆直接上核⼼代码吧：
NTSTATUS ViewHandle(ULONG32 ProcessId, POBJECT_INFO Buffer)
{
PEPROCESS EProcess = NULL;
右眼皮有痣的女人ULONG_PTR Handle = 0;
PHANDLE_TABLE_ENTRY Entry = NULL;
PVOID Object = NULL;
POBJECT_TYPE ObjectType = NULL;
if (!NT_SUCCESS(PsLookupProcessByProcessId((HANDLE)ProcessId, &EProcess)))
{
return STATUS_UNSUCCESSFUL;
张鹤立}
for (Handle = 0;; Handle += HANDLE_VALUE_INC)
{
红烧地瓜Entry = ExpLookupHandleTableEntry(*(PHANDLE_TABLE*)((PUCHAR)EProcess + g_HandleTableOfft), *(PEXHANDLE)&Handle); if (Entry == NULL)
{
break;
}
*(ULONG_PTR*)&Object = Entry->ObjectPointerBits;
*(ULONG_PTR*)&Object <<= 4;
if (Object == NULL)
{
continue;
}
*(ULONG_PTR*)&Object |= 0xFFFF000000000000;
*(ULONG_PTR*)&Object += 0x30;
ObjectType = ObGetObjectType(Object);
if (ObjectType == NULL)
{
continue;
}
wcscpy(Buffer->szTypeName, *(PCWSTR*)((PUCHAR)ObjectType + 0x18));
Buffer->Handle = (HANDLE)Handle;
Buffer->AccessMask = Entry->GrantedAccessBits;
Buffer->Address = Object;
Buffer++;
}
ObDereferenceObject(EProcess);
return STATUS_SUCCESS;
}
桀骜不驯近义词
复制代码
效果是这样的，对照WIN64AST：
这点破东西貌似不够看，再加个然并卵的玩意。
修改进程句柄权限过 Callback 保护：
if (wcscmp((PCWSTR)((PUCHAR)ObjectType + 0x18), L"Process") == 0)
{
if (*(PULONG32)((PUCHAR)Object + 0x2E8) == PassiveId)
{
Entry->GrantedAccessBits = 0x1FFFFF;
Status = STATUS_SUCCESS;
}
}
复制代码
拿 TP 举例，通常情况下，在 Ring3 调⽤ OpenProcess 传递 PROCESS_ALL_ACCESS 参数，该句柄对应的进程对象权限是
0x1FFFFF ，但对 TP 保护的游戏进⾏同样做法后会发现权限变成了 0x1FFD85，它的 Callback 中抹掉了进程对象的这些权限：
#define PROCESS_CREATE_THREAD (0x0002)
#define PROCESS_VM_OPERATION (0x0008)
#define PROCESS_VM_READ (0x0010)
#define PROCESS_VM_WRITE (0x0020)
#define PROCESS_DUP_HANDLE (0x0040)
#define PROCESS_SET_INFORMATION (0x0200)
复制代码
直接在 TP 的 Callback 中写 ret 游戏会封号，⽽且 TP 卸载时会蓝屏，内部通信肯定是有的，尝试过逆向，⼀堆 jmp 把我弄晕了，⼲脆就换种办法。
如上代码，我的做法是，遍历句柄表，判断对象类型为 “PROCESS” ，然后根据 EPROCESS 对象获得对应进程进程的 PID ，如果是被保护的进程就把权限写成 0x1FFFFF ，测试过 DXF 有效。
效果是这样的，恢复权限之前和之后分别为：
听说这是⼀种⽐较⼆逼的解决⽅法，没办法谁让我菜呢。如果有更好的办法还望不吝赐教。
