您的位置：首页 > 其它

Windows内核对象(1) -- 内核对象与句柄

2018-01-25 16:42 330 查看

一、什么是内核对象

我们在windows开发中经常会遇到内核对象，如事件(Event)，管道(Pipe)，互斥量(Mutex)，完成端口(IOCP)，进程(Process)，线程(Thread)等，他们都是内核对象。这些内核对象虽然通过不同的系统API来创建，但这些API都有一个共同特点，就是都需要传入
SECURITY_ATTRIBUTES
安全描述符结构体指针，并且返回句柄(HANDLE)。依据这个特点，我们有一个简单方法来判断对象是否是内核对象，就是看创建它的函数是否允许传入
SECURITY_ATTRIBUTES
安全描述符。

二、内核对象的创建

大多数创建内核对象的系统API函数，如CreateEvent, CreateMutex, CreateThread, CreateProcess, CreatePipe, CreateNamedPipe等都会返回一个HANDLE（无论是以返回值的形式，还是以指针参数的形式返回），创建内核对象成功时HANDLE为
非NULL
，我们可以通过将HANDLE的值与NULL进行比较，来判断函数是否执行成功。但是有些函数比较例外，如
CreateFile
，这些函数执行失败时，返回的
HANDLE
的值为
INVALID_HANDLE_VALUIE
。

三、内核对象的访问

虽然内核对象属于系统内核，但创建函数返回的
HANDLE
句柄却只和当前进程有关，离开了当前进程这个句柄也就失去了意义。

内核对象属于系统内核级别，为了系统安全性，Windows不允许我们直接访问内核对象的内存区域，只允许我们通过Windows提供的一系列API来访问内核对象，如
SetEvent
, 
ResetEvent
等等，使用这些函数时我们都会用到
HANDLE
，windows头文件中
HANDLE
的定义如下：

typedef void *HANDLE;


虽然定义为
void*
类型，但很显然这个
HANDLE
不是指向内核对象的指针。

如何证明HANDLE不是指向内核对象的指针？

一方面直接执行内核对象毫无安全性可言；

另一方面内核对象保存在内核地址空间（32位系统是
0x80000000 到 0xFFFFFFFF
，64位系统是
0x00000040 00000000到0xFFFFFFFF FFFFFFFF
），我们可以调用类似
CreateEvent
的函数创建一个内核对象，观察其返回的HANDLE，明显不在内核地址空间的范围内，且值一般比较小。

那么这个
HANDLE句柄
是如何与内核对象关联起来的了？答案是：进程的句柄表。

每个进程在初始化的时候，系统都会为它分配一个句柄表(Windows没有提供官方的文档来介绍句柄表)，参考《Windows核心编程》得知句柄表的结构，如图：

索引指向内核对象内存块的指针访问掩码标志
10x????????0x????????0x????????
20x????????0x????????0x????????
…………
如我们调用类似
CreateEvent
的函数返回的句柄
HANDLE
就是句柄表中的
索引
。因为是
索引
，所以它的值一般比较小。我们向windows API函数传入这个
索引
，API再通过
索引
找到对应的
内核对象指针
。

四、内核对象的销毁

4.1 引用计数

内核对象的所有者是操作系统内核，而不是创建它的进程。

多个进程可以引用（使用）同一个内核对象，操作系统使用了计数器的方式来管理内核对象（这个和C++中的
std::shared_ptr
智能指针类似），一个内核对象其实有两个计数器：一个是给用户态(Ring3)用的句柄计数；另一个是指针计数，也叫引用计数，因为核心态程序(Ring0)也经常用到内核对象，为了使用方便，在核心态的代码用指针直接访问对象，所以内核对象的管理器也维护了这个指针引用计数。只有在内核对象的
句柄计数
和
引用计数
都为0时，该内核对象才被释放。一般而言，指针引用计数值比句柄计数值大。

4.2 正确的销毁方式

当程序不再使用内核对象时，需要调用
CloseHandle
将内核对象的计数减1，这样系统内核在该对象计数为0时（也就是没有被任何东西引用时）将销毁该对象。 并且在调用
CloseHandle
之后，程序还应该将
HANDLE
置为
NULL
。

如果
CloseHandle
之后不将
HANDLE
置为
NULL
，反而再次使用该
HANDLE
，就会出现2种情况：

进程句柄表中该
HANDLE
所在的索引项的记录已经被清除，且没有别的线程再次在该索引创建记录项，若此时使用这个过期的
HANDLE
调用Win32 API函数，Windows会返回无效参数错误。这种情况还比较好调试。

进程句柄表中该
HANDLE
所在的索引项的记录同样也已经被清除，但已经有别的线程（该进程中的其他线程）在该
索引
位置创建了记录项，若此时使用这个过期的
HANDLE
调用Win32 API函数，该
HANDLE
就会引用到其他线程新建的那个内核对象，从而出现一些难以预料的错误。这种错误很难调试。

4.3 获取内核对象的引用计数

虽然windows没有提供API让用户在用户态（Ring3）查询一个内核对象的句柄计数和引用计数，但我们可以从
Ntdll.dll
导出
NtQueryObject
函数来实现查询内核对象的当前状态(该函数没有被文档化)。

NtQueryObject
函数声明如下：

// 返回值：如果成功则返回0
//
DWORD WINAPI NtQueryObject(
HANDLE   handle,       // 待查询的句柄
DWORD   nQueryIndex,   // 0为查询对象的当前状态，包括句柄计数，引用计数等等。
VOID*   pOutBuffer,    // 存放查询结果
DWORD   cbInBufferSize,   // pOutBuffer的大小，如果nQueryIndex为0，这里为sizeof(SYSTEM_HANDLE_STATE)
VOID*   cbOutBufferSize   // 实际大小
);


将
NtQueryObject
函数调用的细节封装到
GetKernelObjectRefCount
函数中，方便使用：

bool GetKernelObjectRefCount(HANDLE handle, DWORD &handle_count, DWORD &point_count) {
typedef struct _SYSTEM_HANDLE_STATE {
DWORD   r1;
DWORD   GrantedAccess;
DWORD   HandleCount;      // 减1为句柄计数
DWORD   ReferenceCount;   // 减1为指针引用计数
DWORD   r5;
DWORD   r6;
DWORD   r7;
DWORD   r8;
DWORD   r9;
DWORD   r10;
DWORD   r11;
DWORD   r12;
DWORD   r13;
DWORD   r14;
}SYSTEM_HANDLE_STATE, *PSYSTEM_HANDLE_STATE;

typedef DWORD(WINAPI *PFN_NtQueryObject)(HANDLE handle,
DWORD nQueryIndex,
VOID* pOutBuffer,
DWORD cbInBufferSize,
VOID* cbOutBufferSize);

static PFN_NtQueryObject pfnNtQueryObject = NULL;
bool ret = false;

do {
if (pfnNtQueryObject == NULL) {
HMODULE ntdll = GetModuleHandle(TEXT("Ntdll.dll"));
if (ntdll == NULL)
break;

pfnNtQueryObject = (PFN_NtQueryObject)GetProcAddress(ntdll, "NtQueryObject");
if (pfnNtQueryObject == NULL)
break;
}

SYSTEM_HANDLE_STATE sys_handle_state;
memset(&sys_handle_state, 0, sizeof(SYSTEM_HANDLE_STATE));

DWORD out_buf_size = 0;
ret = (pfnNtQueryObject(handle, 0, &sys_handle_state, sizeof(SYSTEM_HANDLE_STATE), &out_buf_size) == 0);
if (ret) {
handle_count = sys_handle_state.HandleCount - 1;
point_count = sys_handle_state.ReferenceCount - 1;
}
} while (false);

return ret;
}
内容来自用户分享和网络整理，不保证内容的准确性，如有侵权内容，可联系管理员处理 点击这里给我发消息
标签： 
相关文章推荐
新的分享
章节导航