Windows核心编程 第三章 内核对象

1. 什么是内核对象？

a）内核对象是一个内存块，它只能由操作系统内核分配管理，并由操作系统内核访问。但Windows系统一系列的调用接口供我们操纵这些内核对象。 这个内存块是一个数据结构，其成员维护着与该内核对象相关的信息。

b) 为了增强操作系统的可靠性，当一个进程创建一个内核对象后，函数返回的内核对象句柄只能在本进程中使用，因为这个句柄值是和进程相关的。但可以根据某种机制跨边界共享内核对象。

c)内核对象使用计数:

　　内核对象的所有者是操作系统内核，而不是进程。因此一个内核对象的生命周期可能长于创建它的那个进程。操作系统通过内核对象里的使用计数成员感知当前有多少个进程在使用这个内核对象，当这个内核对象计数器为0的时候，操作系统才会销毁该对象。

d)内核对象的安全性:

1) 用于创建内核对象的所有函数几乎指向一个SECURITY_ATTRIBUTES 用于保护该内核对象，如果这个参数传入NULL，则使用当前进程的安全令牌的默认安全属性。SECURITY_ATTRIBUTES中的lpSecurityDescriptor参指向一个SECURITY_DESCRIPTOR安全描述符结构，该结构用于设定内核对象的安全属性。

2) 对于需要通过安全访问标志访问的对象，应该正确地用访问标志来访问它，而不是使用ALL_ACCESS。

3) 区分内核对象和普通对象的方法 ：

　　几乎所欲创建内核对象的函数有指定安全属性信息的参数。

2. 进程内核对象句柄表

a) 每一个进程都维护一个内核对象句柄表，表中每一个项都是一个数据结构，这个数据结构的成员包含真实的内核对象地址和访问权限等。用户代码持有的句柄（这个句柄仅供这个进程的所有用户线程使用， 但可以通过某种机制实现跨边界共享内核对象）其实是这个进程内核对象句柄表对应内核对象项的索引值。因此当关闭一个内核对象之后没清空变量，而这个内核对象句柄表中在这个索引位置又重新创建一个内核对象，对之前的没清空变量的句柄进行访问就会造成BUG。而在其它进程访问这个句柄的内核对象，其实是扫描其它进程对应的内核对象句柄表的索引值，也会造成BUG。

b) 调用一个创建内核对象的函数时，若是调用失败，其返回值可能是0 或是 INVALID_HANDLE_VALUE（-1）。因此单一判断返回值是0或是INVALID_HANDLE_VALUE是错误的。

c) 无论以什么方式创建内核对象，都要调用CloseHandle向系统表明已经结束使用这个对象。CloseHandle内部先检查进程内核句柄表，验证该句柄是否有效，若是有效，则将索引到该内核对象数据结构的地址，并将结构中的使用计数器减一。若是使用计数器为0，操作系统内核则将该内核对象销毁。CloseHandle 函数在返回之前还会清除进程内核对象句柄表中对应的记录项。调用CloseHandle之后，即使该内核对象还存在，本进程都将该句柄视为无效。因此该进程不能再使用这个句柄。使用CloseHandle之后，该句柄应该设置为NULL。

d) 进程退出时，会释放所有对象等。系统会确保进程结束后不会留下任何东西。（内核对象是根据内核对象中的使用计数器来判定是否回收资源，如果计数器为0， 则释放该对象， 否则只是将计数器减一操作而已）

3. 跨边界共享内核对象

a) 对象句柄继承

i. 只有进程之间存在父子关系时，才可以使用对象句柄继承。而且只有句柄才可以继承，内核对象本身是不能继承的。

ii. 对象句柄的继承只会发生在生成子进程的时候发生。若是父进程后来又创建了新的内核对象，并将它们的句柄设置为可继承的句柄，那么正在运行的子进程是不会继承这些新的句柄的。

iii. 对象句柄继承的步骤：

1. 初始化一个SECURITY_ATTRIBUTES 结构体，把成员中 bInheritHandle 指定为TRUE来表明该内核对象可继承，并传给内核对象创建函数。或者使用SetHandleInformation设置一个内核对象句柄的可继承标志。对应的还有一个GetHandleInformation，用于返回句柄的继承标志。

2. 调用CreateProcess创建一个子进程，并将CreateProcess中的bInheritHandles参数设置为TRUE。表明子进程将继承父进程中可被继承的内核对象句柄。

3. 完成以上两步，操作系统便会将父进程中可被继承的对象句柄继承到子进程之中，而且其句柄值与父进程保持一直。但是，子进程并不会知道它已经继承了父进程的句柄。因此，子进程若是想要获得从父进程继承过来的句柄就必须通过某种机制来获取。

a) 向子进程传入命令行参数

b) 让父进程向其环境块添加一个环境变量，子进程通过环境变量取得。注意的是，要在生成子进程之前添加环境变量，否则子进程继承不到父进程的环境变量。

c) 通过其他进程通讯技术将继承的内核对象句柄值从父进程传入子进程。

iv. 改变句柄的标志

1. 通过SetHandleInformation可以修改内核对象句柄的继承标志

a) 第一个参数标识一个内核对象的有效句柄

b) 第二个参数dwMask告诉函数想要更改哪个或哪些标志

c) 第三个参数dwFlags指定希望把标志设置为什么。

2. 通过GetHandleInformation 可以取得内核对象句柄当前标志

　　父进程源码：

#define _CRT_SECURE_NO_DEPRECATE
#include <iostream>
#include <windows.h>
using namespace std;

DWORD _stdcall Thread(LPVOID param)
{
while (1)
{
cout << "loop" << endl;
Sleep(500);
}
return 0;
}

int AnsiToUnicode (char *str_ansi, wchar_t *str_wide, unsigned int chcount)
{
return MultiByteToWideChar(CP_ACP, 0, str_ansi, -1, str_wide, chcount);
}

int main(void)
{
/*
SECURITY_ATTRIBUTES sa;
sa.nLength = sizeof(sa);
sa.bInheritHandle = TRUE;
sa.lpSecurityDescriptor = NULL;*/

HANDLE hThread = CreateThread (NULL, 0, Thread, NULL, 0, NULL);
//CloseHandle(hThread);        //如果关闭句柄的话，子进程将不能访问父进程的内核对象

SetHandleInformation (hThread, HANDLE_FLAG_INHERIT, HANDLE_FLAG_INHERIT);

Sleep(1000);

STARTUPINFO info = {0};
PROCESS_INFORMATION pi = {0};
char comline[256];
TCHAR p[256];

sprintf(comline, "%d", hThread);
AnsiToUnicode(comline, p, sizeof(p));

SetEnvironmentVariable(L"hThread", p);            //要在生成子进程之前添加环境变量，否则子进程继承不到父进程的环境变量

CreateProcess (L"..\\debug\\child.exe", p, NULL, NULL, TRUE, CREATE_NEW_CONSOLE, NULL, NULL, &info, &pi);
CloseHandle(pi.hProcess);
CloseHandle(pi.hThread);

cin.get();
return 0;
}

　　　　子进程源码：

#include <iostream>
#include <windows.h>
using namespace std;

int UnicodeToAnsi(wchar_t *str_wide, char *str_ansi, unsigned int cbsize)
{
return WideCharToMultiByte(CP_ACP, 0, str_wide, -1, str_ansi, cbsize, NULL, NULL);
}

int main (int argv, char ** argc)
{

// 命令行获取继承句柄。
/*
HANDLE hThread = (HANDLE)atol(argc[0]);
cout << "get kernal handle: " << argc[0] << endl;
TerminateThread(hThread, 0);
cout << "kill my parent process thread " << endl;
*/

HANDLE hThread;
TCHAR buf[256] = {0};
char str[256] = {0};
GetEnvironmentVariable(L"hThread", buf, sizeof(buf));
UnicodeToAnsi(buf, str, sizeof(str));
cout << str << endl;
hThread = (HANDLE) atoi(str);
TerminateThread(hThread, 0);

cin.get();
return 0;
}

b) 为对象命名

i. 大部分内核对象都可以进行命名，通过对内核对象的命名可以实现共享一个对象。一般可以命名的内核对象创建函数在最后一个参数都是pszName。通过它可以实现内核对象的命名。如果此参数传入NULL，则表明创建一个匿名的内核对象。通过为对象命名来实现共享时，是否可以继承并非一个必要条件。

ii. 所有内核对象都共享同一个命名空间，即使它们的类型并不相同。

iii. 当一个进程调用Create* 创建内核对象函数时，如果已经存在一个pszName参数指定的内核对象名称，它会忽略其他参数。如果不存在pszName参数指定的内核对象名称，其它参数则会被传递进去。

iv. 除了Create* 还可以使用Open* 打开共享的内核对象。Open*的pszName 参数不能传入NULL。Create*和Open*函数的主要区别：如果对象不存在，Create*会创建它，Open*则会以调用失败告终。

v. 一个进程打开同一个共享内核对象N次，其共享内核对象使用计数器会增加，所以需要分别对它们进行关闭。另外，不同的进程中，其返回句柄可能会不同。

vi. 终端服务命名空间

1. 运行于终端服务的计算机中，有多个用于内核对象的命名空间，其中一个是全局命名空间。所有客户端都能访问的内核对象都放在这个命名空间中，这个命名空间主要由系统服务使用。而每个客户端会话都有一个自己的命名空间。这样使得同一个程序在不同的绘画中避免相互的干扰。即使对象名称相同。

2. 一个服务的命名内核对象应该始终位于全局命名空间内的。默认情况下，应用程序的命名内核对象在当前会话的命名空间内。若是想要让它加入全局命名空间，可以在其名称加上”Global\’前缀。而把一个命名内核对象放到当前会话的命名空间可以在其名称加上”Local\”前缀。同时可以使用”Session\<会话id>\”限制命名内核对象只能在哪个会话运行。注意，这些前缀大小写区分。

　　终端服务命名空间例子：

#include <iostream>
#include <windows.h>
using namespace std;

int main (void)
{
// 创建一个全局可使用的Mutex
HANDLE hMutex;
hMutex = CreateMutex (NULL, FALSE, L"Global\\Mutex");
if (GetLastError() == ERROR_ALREADY_EXISTS)
{
cout << "this is old mutex" << endl;
}
else if (NULL == hMutex)
{

cout << "create object error" << endl;
}
else
cout << "this is new mutex" << endl;

cin.get();
return 0;
}

vii. 私有命名空间

1. 为了防止一个共享对象的名称被劫持，可以使用私有命名空间。即在命名内核对象名称的前面加一个自定义最缀加以保护。使用私有命名空间，负责创建内核对象的服务器进程将定义一个边界描述符以对私有命名空间的保护。

2. 创建私有命名空间的步骤：

a) 创建一个边界描述符 CreateBoundaryDescriptor

b) 创建一个SID（标识用户、组和计算机帐户的唯一的号码） CreateWellKnownSid

c) 将SID与边界描述符关联起来。 AddSIDToBoundaryDescriptor

d) 初始化一个安全描述符 //书中使用ConvertStringSecurityDescriptorToSecurityDescriptor

e) 创建一个私有命名空间 CreatePrivateNamespace

3. 注意，CreatePrivateNamespace 和 OpenPrivateNamespace 返回的HANDLE 不是内核对象句柄，应该使用ClosePrivateNamspace来关闭它们返回的伪句柄。

4. 如果不希望私有命名空间在进程关闭后仍然可被其他进程引用，应该调用ClosePrivateNamespace，并在第二个参数传入PRIVATE_NAMESPACE_FLAG_DESTROY。

5. 边界将在进程终止或调用DeleteBoundaryDescriptor的情况下关闭。

6. 如果还有内核对象正在使用，私有命名空间一定不能关闭。

7. 我们为私有命名空间指定的名称是一个别名，只有在进程内可见。其他进程(甚至是同一个进程)可以打开同一个私有命名空间，并为它指定一个不同的别名。

　　私有命名空间例子：

　　

#include <windows.h>
#include <sddl.h>
#include <strsafe.h>
#include <iostream>
using namespace std;

void CheckInstances()
{

BOOL bIsNamespaceOpen = FALSE;

//创建一个边界描述符
HANDLE hBoundary = CreateBoundaryDescriptor(L"my_private_name", 0);

//创建一个SID
BYTE localAdminSID[SECURITY_MAX_SID_SIZE];
DWORD cbSID = sizeof(localAdminSID);
if ( !CreateWellKnownSid(WinBuiltinAdministratorsSid, NULL, localAdminSID, &cbSID) )
{
cout << "CreateWellKnownSID error : " << GetLastError() << endl;
return ;
}

//将SID与边界描述符关联起来
if ( !AddSIDToBoundaryDescriptor (&hBoundary, localAdminSID) )
{
cout << "AddSIDToBoundaryDescriptor error : " << GetLastError() << endl;
}

//将一个安全描述符字符串转为安全描述符
SECURITY_ATTRIBUTES sa;
sa.nLength = sizeof(sa);
sa.bInheritHandle = FALSE;
if ( !ConvertStringSecurityDescriptorToSecurityDescriptor (L"D:(A;;GA;;;BA)", SDDL_REVISION_1, &sa.lpSecurityDescriptor, NULL) )
{
cout << "ConvertStringSecurityDescriptorToSecurityDescriptor error : " << GetLastError() << endl;
return ;
}

//创建一个专有命名空间
TCHAR szNamespace[256] = L"my_private_name";
HANDLE hNamespace = CreatePrivateNamespace (&sa, hBoundary, szNamespace);
LocalFree (sa.lpSecurityDescriptor);
DWORD dwError = GetLastError();

if (hNamespace == NULL)
if (dwError == ERROR_ALREADY_EXISTS)
{
// 如果存在了这个命名空间则打开这个命名空间
cout << "CreatePrivateNamespace failed : " << GetLastError() << endl;
hNamespace = OpenPrivateNamespace (hBoundary, szNamespace);

bIsNamespaceOpen = TRUE;
}

TCHAR szMutex[256];
StringCchPrintf (szMutex, _countof(szMutex), L"%s\\%s", szNamespace, L"MyMutex");

HANDLE hMutex = CreateMutex (NULL, FALSE, szMutex);
if (GetLastError () == ERROR_ALREADY_EXISTS)
{
cout << "已存在这个内核对象" << endl;
}
else if (hMutex == NULL)
{
cout << "创建错误" << endl;
}
else
{
cout << "内核对象创建成功" << endl;
}

if (hNamespace != NULL)
{
if (bIsNamespaceOpen)
ClosePrivateNamespace (hNamespace, PRIVATE_NAMESPACE_FLAG_DESTROY);
else
ClosePrivateNamespace (hNamespace, PRIVATE_NAMESPACE_FLAG_DESTROY);
}

DeleteBoundaryDescriptor (hBoundary);

CloseHandle (hMutex);
}

int main (void)
{

CheckInstances();

while (1);
return 0;
}

c). 使用DuplicateHandle 可以复制一个对象句柄

1. DuplicateHandle获得一个进程句柄表中的一个记录项，然后在另一个进程的句柄表中创建这个记录项的一个副本。

2. DuplicateHandle 中dwOptions参数可以指定DUPLICATE_SAME_ACCESS和DUPLICATE_CLOSE_SOURCE标志。如果指定DUPLICATE_SAME_ACCESS标志将希望目标句柄拥有与源进程的句柄一样的访问掩码。如果指定DUPLICATE_CLOSE_SOURCE标志，会关闭源进程的句柄。使用这个标志，内核对象计数不会受到影响。

3. DuplicateHandle 函数与继承一样，目标进程并不知道它现在能访问一个新的内核对象，所以源进程以某种方式通知目标进程。与继承不一样的是，源进程不能使用命令行参数或更改目标进程的环境变量。

4. 可以利用DuplicateHandle修改内核对象的访问权限

5.绝对不能使用CloseHandle函数关闭通过phTargetHandle参数返回的句柄。

　　　DuplicateHandle 三个进程 例子:

　　　　　其中，S进程是源进程，T进程是目标进程，C进程将S进程的内核对象句柄复制到T进程中。

　　　　　　S进程源码：

　

#define _CRT_SECURE_NO_DEPRECATE
#include <iostream>
#include <windows.h>
using namespace std;

int AnsiToUnicode (char *str_ansi, wchar_t *str_wide, unsigned int chcount);
DWORD _stdcall Thread(LPVOID param);

int main(void)
{
cout << "我是进程S" << endl;

HANDLE hThread = CreateThread (NULL, 0, Thread, NULL, 0, NULL);
Sleep(1000);

// 将句柄值添加到环境块中
char comline[256];
TCHAR p[256];
sprintf(comline, "%d", hThread);
AnsiToUnicode(comline, p, sizeof(p));
SetEnvironmentVariable(L"hThread", p);

// 将线程句柄继承给C进程。
STARTUPINFO info = {0};
PROCESS_INFORMATION pi = {0};
CreateProcess (L"..\\debug\\C.exe", NULL, NULL, NULL, TRUE, CREATE_NEW_CONSOLE, NULL, NULL, &info, &pi);

CloseHandle(pi.hProcess);
CloseHandle(pi.hThread);
cin.get();
return 0;
}

DWORD _stdcall Thread(LPVOID param)
{
while (1)
{
Sleep(500);
cout << "loop" << endl;
}
return 0;
}

int AnsiToUnicode (char *str_ansi, wchar_t *str_wide, unsigned int chcount)
{
return MultiByteToWideChar(CP_ACP, 0, str_ansi, -1, str_wide, chcount);
}

　　　　T进程源码：

#include <iostream>
#include <Windows.h>
using namespace std;

int main (void)
{
cout << "我是进程T" << endl;

HANDLE hThread;

cout << "请输入复制过来内核对象句柄的值, 我将关闭S进程的线程：" << endl;
while (cin >> hThread)
TerminateThread(hThread, 0);

cin.get();
return 0;
}

　　　　C进程源码：

#include <iostream>
#include <windows.h>
#include <Tlhelp32.h>
using namespace std;

int UnicodeToAnsi(wchar_t *str_wide, char *str_ansi, unsigned int cbsize);
HANDLE GetProcessHandle (LPCTSTR szProceName);

int main (void)
{
cout << "我是进程C" << endl;

//取得从S进程的线程内核对象句柄
HANDLE hThread;
TCHAR buf[256] = {0};
char str[256] = {0};

GetEnvironmentVariable(L"hThread", buf, sizeof(buf));
UnicodeToAnsi(buf, str, sizeof(str));
hThread = (HANDLE) atoi(str);
cout << "取得从S进程的线程内核对象句柄： " << hThread << endl;

// 复制句柄
HANDLE hobj;
HANDLE hSProcess, hTProcess;
hSProcess = GetProcessHandle(L"S.exe");
hTProcess =  GetProcessHandle(L"T.exe");
if (TRUE == DuplicateHandle (hSProcess, hThread, hTProcess, &hobj, 0, TRUE, DUPLICATE_SAME_ACCESS) )
cout << "句柄: " <<  hobj << " 复制成功现在可以在T进程进行操作S进程的内核对象！" << endl;

CloseHandle (hSProcess);
CloseHandle (hTProcess);

cin.get();
return 0;
}

HANDLE GetProcessHandle (LPCTSTR szProceName)
{
HANDLE hSanpshot = CreateToolhelp32Snapshot (TH32CS_SNAPPROCESS, 0);
if (hSanpshot == INVALID_HANDLE_VALUE  || hSanpshot == NULL)
{
return NULL;
}

PROCESSENTRY32 pe;
BOOL ok;
pe.dwSize = sizeof(pe);
ok = Process32First (hSanpshot, &pe);
if ( !ok )
return NULL;

do{
if ( 0 == wcscmp( pe.szExeFile , szProceName) )
{
return OpenProcess (PROCESS_ALL_ACCESS, FALSE, pe.th32ProcessID);
}
ok = Process32Next (hSanpshot, &pe);
}while (ok);

return NULL;
}

int UnicodeToAnsi(wchar_t *str_wide, char *str_ansi, unsigned int cbsize)
{
return WideCharToMultiByte(CP_ACP, 0, str_wide, -1, str_ansi, cbsize, NULL, NULL);
}

　　　　DuplicateHandle 两个进程 例子

　　　　　　S进程拥有一个内核对象，将S进程中的内核对象句柄复制到T进程进程句柄表中。

　　S进程源码：

#include <iostream>
#include <windows.h>
#include <process.h>
#include <TlHelp32.h>

using namespace std;

unsigned __stdcall thread (void * lpPragma);
HANDLE GetProcessHandle(LPCTSTR szName);

int main (void)
{

HANDLE hThread;
hThread = (HANDLE)_beginthreadex(NULL, 0, thread, NULL, 0, NULL);
cout << "my thread handle: " << hThread << endl;

HANDLE hTarget;
if (DuplicateHandle (GetCurrentProcess(), hThread, GetProcessHandle(L"Target.exe"), &hTarget, 0, FALSE, DUPLICATE_SAME_ACCESS ) )
cout << "句柄复制成功, 其句柄值为：" << hTarget << endl;

cin.get();
return 0;
}

unsigned __stdcall thread (void * lpPragma)
{
while (1)
{
Sleep (500);
cout << "terminal me" << endl;
}

return 0;
}

HANDLE GetProcessHandle(LPCTSTR szName)
{
HANDLE hSanpshot;
hSanpshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
if ( INVALID_HANDLE_VALUE == hSanpshot )
{
return NULL;
}

PROCESSENTRY32 pe;
BOOL bOk;
pe.dwSize = sizeof(pe);

bOk = Process32First (hSanpshot, &pe);
if (!bOk)
return NULL;

do {
if ( !wcscmp (pe.szExeFile, szName) )
{
return OpenProcess (PROCESS_ALL_ACCESS, FALSE, pe.th32ProcessID);
}
bOk = Process32Next (hSanpshot, &pe);
}while (bOk);

return NULL;
}

　　T进程源码：

#include <iostream>
#include <windows.h>
#include <stdlib.h>
#include <process.h>
using namespace std;

unsigned __stdcall thread (void * lpPragma);

int main (void)
{
HANDLE hRecv;

HANDLE hThread;
hThread = (HANDLE)_beginthreadex(NULL, 0, thread, NULL, 0, NULL);

cout << "my thread handle: " << hThread << endl;
cout << "请输入复制过来的句柄 : "<< endl;
cin >> hRecv;

TerminateThread(hRecv, 0);

while (1);
return 0;
}

unsigned __stdcall thread (void * lpPragma)
{
while (1)
{

Sleep (1500);
MessageBox(NULL, L"run", L"", 0);
}

return 0;
}