NtQueryObject 获得内核对象使用计数

一个内核对象有两个计数器:一个是句柄计数,句柄是给用户态用的:另一个是指针计数,也叫引用计数,因为核心态也常常用到内核对象,为了方便,在核心态的代码用指针直接访问对象,所以Object Manager维护了这个指针引用计数.只有在句柄计数和引用计数都为0时,对象才被释放.一般而言,指针引用计数值比句柄计数值大. 再进一步,实际上,在用户态其实是可以查询一个内核对象的句柄计数和引用计数的.Ntdll.dll里导出的NtQueryObject函数可以查询内核对象的当前状态,只不过它没有被文档化.…

windows内核对象句柄

内核对象用于管理进程.线程和文件等诸多种类的大量资源,每一个内核对象都只是一个句内存快,它由操作系统内核分配,并只能右操作系统内核访问.这个内存块是一个数据结构,其维护着与对象相关的信息,其中少数成员是所有对象都有的,其他大多数都是不同类型的对象特有的. 由于内核对象只能由操作系统内核访问,因此windows提供了句柄来标识内核对象,对于应用程序来说,这个句柄就相当于这个内核对象.应用程序创建一个内核对象,就会返回对应的句柄,然后可以以这个句柄作为参数,去调用操纵和关闭内核对象的函数. 操作系统…

内核对象 windows操作系统

问题: 什么是内核对象? 答:内核对象实际上时由内核分配的一块内存,而且只能由内核来访问.它时一个数据结构,成员包含有关于该对象的信息.一些成员对于所有对象类型都是一样的,比如对象名称.安全描述.使用计数等,而大部分时针对某一特定对象类型的.比如进程对象ID.基本优先级和返回码. 内核对象 windows操作系统创建和管理着已下几种类型. 对象英文名称对象中文名称 Event objects 事件对象 File-mapping objects 文件映射对象 File objects 文件对…

windows核心编程---第八章使用内核对象进行线程同步

使用内核对象进行线程同步. 前面我们介绍了用户模式下线程同步的几种方式.在用户模式下进行线程同步的最大好处就是速度非常快.因此当需要使用线程同步时用户模式下的线程同步是首选. 但是用户模式下的线程同步也存在缺点.如InterLocked系列函数只能对一个值进行操作.关键段虽然可以对一段代码进行操作,但是只能对同一个进程内的线程进行同步.为了解决上述问题,我们将会讨论使用内核对象进行线程同步. 与用户模式下的速度快相比较,使用内核对象进行线程同步性能很低.原因就是:在创建或清除内核对象时调用线程必…

第9章用内核对象进行线程同步（4）_死锁(DeadLock）及其他

9.7 线程同步对象速查表对象何时处于未触发状态何时处于触发状态成功等待的副作用进程进程仍在运行的时候进程终止的时(ExitProcess.TerminateProcess) 没有线程线程仍在运行的时候线程终止的时候(ExitThread.TermimateThread) 没有作业作业尚未超时的时候作业超时的时候没有文件有待处理的I/O请求的时候 I/O请求完成的时候没有控制台输入没有输入的时候有输入的时候没有文件变更通知文件没有变更的时候文件系统…

第9章用内核对象进行线程同步（3）_信号量(semaphore）、互斥对象(mutex)

9.5 信号量内核对象(Semaphore) (1)信号量的组成 ①计数器:该内核对象被使用的次数 ②最大资源数量:标识信号量可以控制的最大资源数量(带符号的32位) ③当前资源数量:标识当前可用资源的数量(带符号的32位).即表示当前开放资源的个数(注意不是剩下资源的个数),只有开放的资源才能被线程所申请.但这些开放的资源不一定被线程占用完.比如,当前开放5个资源,而只有3个线程申请,则还有2个资源可被申请,但如果这时总共是7个线程要使用信号量,显然开放的资源5个是不够的.这时还可以再开放2个…

第9章用内核对象进行线程同步（2）_可等待计时器（WaitableTimer）

9.4 可等待的计时器内核对象——某个指定的时间或每隔一段时间触发一次 (1)创建可等待计时器:CreateWaitableTimer(使用时应把常量_WIN32_WINNT定义为0x0400) 参数描述 psa 安全属性(如使用计数.句柄继承等) bManualReset 手动重置计时器还是自动重置计时器. ①当手动计时器被触发,所有正在等待计时器的线程都变可为可调度. ②当自动计时器被触发时,只有一个正在等待计数器的线程变为可调度 pszName 对象的名字 (2)也可以打开一个己经存在的…

第9章用内核对象进行线程同步（1）_事件对象（Event）

9.1 等待函数 (1)WaitForSingleObject(hObject,dwMilliseonds); ①dwMilliseconds为INFINITE时表示无限等待 ②dwMilliseconds=0时表示立即返回,即使它要等待的条件还没满足 ③dwMilliseconds为其它值时(单位为ms),其返回值有三种情况:A.WAIT_OBJECT_0表示等待的对象触发.WAIT_TIMEOUT表示超时.WAIT_FAILED:表示可能传入了无效句柄,可进一步调用GetLastError来…

windows核心编程---第三章内核对象及句柄本质

本章讨论的是相对抽象的概念,不涉及任何具体的内核对象的细节而是讨论所有内核对象的共有特性. 首先让我们来了解一下什么是内核对象.内核对象通过API来创建,每个内核对象是一个数据结构,它对应一块内存,由操作系统内核分配,并且只能由操作系统内核访问.在此数据结构中少数成员如安全描述符和使用计数是所有对象都有的,但其他大多数成员都是不同类型的对象特有的.内核对象的数据结构只能由操作系统提供的API访问,应用程序在内存中不能访问.调用创建内核对象的函数后,该函数会返回一个句柄,它标识了所创建的对象.…

Windows内核对象

1. 内核对象 Windows中每个内核对象都只是一个内存块,它由操作系统内核分配,并只能由操作系统内核进行访问,应用程序不能在内存中定位这些数据结构并直接更改其内容.这个内存块是一个数据结构,其成员维护着与对象相关的信息.少数成员(安全描述符和使用计数)是所有内核对象都有的,但大多数成员都是不同类型对象特有的. 2. 内核对象的使用计数与生命期内核对象的所有者是操作系统内核,而非进程.换言之也就是说当进程退出,内核对象不一定会销毁.操作系统内核通过内核对象的使用计数,知道当前有多少个进程正在…

Windows API学习---线程与内核对象的同步

前言若干种内核对象,包括进程,线程和作业.可以将所有这些内核对象用于同步目的.对于线程同步来说,这些内核对象中的每种对象都可以说是处于已通知或未通知的状态之中.这种状态的切换是由Microsoft为每个对象建立的一套规则来决定的.例如,进程内核对象总是在未通知状态中创建的.当进程终止运行时,操作系统自动使该进程的内核对象处于已通知状态.一旦进程内核对象得到通知,它将永远保持这种状态,它的状态永远不会改为未通知状态. 当进程正在运行的时候,进程内核对象处于未通知状态,当进程终止运行的时候,它就变…

sysfs - 用于导出内核对象（kobject）的文件系统

sysfs - _The_ filesystem for exporting kernel objects.sysfs - 用于导出内核对象(kobject)的文件系统Patrick Mochel <mochel@osdl.org>翻译 : tekkamanninja <tekkamanninja@163.com>10 January 20032003年1月10日翻译时间:2007年12月29日What it is: 简介:~~~~~~~~~~~sysfs is a ram-bas…

Windows核心编程学习九：利用内核对象进行线程同步

注:源码为学习<Windows核心编程>的一些尝试,非原创.若能有助于一二访客,幸甚. 1.程序框架 #include "Queue.h" #include <tchar.h> #include <windowsx.h> #include <StrSafe.h> #include <process.h> #include "resource.h" /*****************************…

内核对象kobject和sysfs（3）——kobj分析

内核对象kobject和sysfs(3)--kobj分析在分析kobj之前,先总结下kobj的功能: 实现结构的动态管理: 实现内核对象到sysfs的映射: 实现自定义属性的管理. 关注一下kobj的结构: struct kobject { const char *name;// 该内核对象的名称 struct list_head entry;// 链入kset的连接件 struct kobject *parent;// 指向父对象,可以为空 struct kset *kset; // 指向的…

内核对象kobject和sysfs（2）——kref分析

内核对象kobject和sysfs(2)--kref分析在介绍ref之前,先贴上kref的结构: struct kref { atomic_t refcount; }; 可以看到,kref只是包含一个原子量的数而已,并没有别的成员提供自动回收的功能.实际上,kref只是记录了某个模块的引用次数,初始状态为1.当引用计数为0的时候,将调用自定义的释放函数. 下面我们介绍内核提供的kref的操作函数: kref初始化函数kref_init: static inline void kref_init…

Windows核心编程&内核对象

1. 一个进程在初始化时,系统将会他分配一个空的句柄表,这个句柄表仅供内核对象使用,不供用户对象和GDI对象使用.进程在首次初始化时,该句柄表为空.句柄表是一个由数据结构组成的数组,包含一个内核对象指针,一个访问掩码和一些标志.系统用索引来标识内核对象的信息保存在进程句柄表中的具体位置,句柄值除以4即为索引值(针对不同版本的windows系统可能不同). 2. 要注意内核对象返回值INVALID_HANDLE_VALUE(-1)和NULL(0)的区别,凡是用于创建内核对象的函数,在检查它们的…

Windows Internals 笔记——内核对象

1.每个内核对象都只是一个内存块,它由操作系统内核分配,并只能由操作系统内核访问.这个内存块是一个数据结构,其成员维护着与对象相关的信息. 2.调用一个会创建内核对象的函数后,函数会返回一个句柄,它标识了所创建的对象.在32位windows进程中,句柄是一个32位的值,在64位windows进程中,则是一个64位的值. 3.为了增强操作系统的可靠性,这些句柄值是与进程相关的,不可以直接跨进程使用. 4.内核对象的所有者是操作系统内核,而非进程,在进程内创建的内核对象在进程终止时不一定会被销毁.大…

win32进程概念之句柄表,以及内核对象.

句柄表跟内核对象一丶什么是句柄表什么是内核对象. 1.句柄表的生成我们知道.我们使用CreateProcess 的时候会返回一个进程句柄.以及线程句柄. 其实在调用CreateProcess的时候.内核中会新建一个EPROCESS结构来存储我们的进程信息. 例如如下图: 但是有一个问题.怎么给三环使用.难道直接返回EPROCESS? 其实不是这样的. 第一EPROCESS在高两G. 三环程序是不可以访问的.所以返回的地址是高两G所以不能使用. 但是为了解决这一问题. windows创建了一个…

[4]Windows内核情景分析---内核对象

写过Windows应用程序的朋友都常常听说"内核对象"."句柄"等术语却无从得知他们的内核实现到底是怎样的, 本篇文章就揭开这些技术的神秘面纱. 常见的内核对象有: Job.Directory(对象目录中的目录).SymbolLink(符号链接),Section(内存映射文件).Port(LPC端口).IoCompletion(Io完成端口).File(并非专指磁盘文件).同步对象(Mutex.Event.Semaphore.Timer).Key(注册表中的键).T…

Windows进程的内核对象句柄表

当一个进程被初始化时,系统要为它分配一个句柄表.该句柄表只用于内核对象 ,不用于用户对象或GDI对象. 创建内核对象当进程初次被初始化时,它的句柄表是空的.然后,当进程中的线程调用创建内核对象的函数时,比如CreateFileMapping,内核就为该对象分配一个内存块,并对它初始化.这时,内核对进程的句柄表进行扫描,找出一个空项.由于表 3 - 1中的句柄表是空的,内核便找到索引1位置上的结构并对它进行初始化.该指针成员将被设置为内核对象的数据结构的内存地址,访问屏蔽设置为全部访问权,同时,…

Windows核心编程：第3章内核对象

Github https://github.com/gongluck/Windows-Core-Program.git //第3章内核对象.cpp: 定义应用程序的入口点. // #include "stdafx.h" #include "第3章内核对象.h" int APIENTRY wWinMain(_In_ HINSTANCE hInstance, _In_opt_ HINSTANCE hPrevInstance, _In_ LPWSTR lpCmdLin…

windows编程之内核对象

学好windows编程,理解内核对象还是至关重要的(●'◡'●).闲话不多说,下面先来了解一下关于内核对象的知识: 内核对象(kernel object):内核对象是用于管理进程.线程和文件等诸多种类的大量资源. 内核对象的分类:进程对象,线程对象,互斥量(mutex)对象,信号量(semaphore)对象,事件对象,作业对象,文件对象,文件映射对象,管道(pipe)对象,邮件槽(mailslot)对象,I/O完成端口对象,线程池工厂(thread pool …

Windows核心编程(第5版)----关闭内核对象

无论怎样创建内核对象,都要向系统指明将通过调用 CloseHandle 来结束对该对象的操作: BOOL CloseHandle(HANDLE hobj); 该函数首先检查调用进程的句柄表,以确保传递给它的索引(句柄)用于标识一个进程实际上无权访问的对象.如果该索引是有效的,那么系统就可以获得内核对象的数据结构的地址,并可确定该结构中的使用计数的数据成员.如果使用计数是0,该内核便从内存中撤消该内核对象.如果将一个无效句柄传递给CloseHandle,将会出现两种情况之一.如果进程运行正常,Cl…