逆WIN7X64内核调试之NTCreateDebugObject

debra

1. NTSTATUS __fastcall proxyNtCreateDebugObject(
   
2.         OUT PHANDLE DebugObjectHandle,
   
3.         IN ACCESS_MASK DesiredAccess,
   
4.         IN POBJECT_ATTRIBUTES ObjectAttributes,
   
5.         IN ULONG Flags )
   
6. {
   
7.         NTSTATUS status;
   
8.         HANDLE Handle;
   
9.         PDEBUG_OBJECT DebugObject;
   
10.         KPROCESSOR_MODE        PreviousMode;
    
11. 
    
12.         PreviousMode = ExGetPreviousMode();
    
13. 
    
14.         //判断用户层句柄地址是否合法
    
15.         try {
    
16.                 if (PreviousMode != KernelMode) {
    
17.                 ProbeForWriteHandle (DebugObjectHandle);
    
18.                         *DebugObjectHandle = *DebugObjectHandle;
    
19.                 }
    
20.                 *DebugObjectHandle = NULL;
    
21. 
    
22.         } except(ExSystemExceptionFilter()) {
    
23.                 return GetExceptionCode();
    
24.         }
    
25. 
    
26.         if (Flags & ~DEBUG_KILL_ON_CLOSE) {
    
27.                 return STATUS_INVALID_PARAMETER;
    
28.         }
    
29. 
    
30.         //创建调试对象
    
31.         status = ObCreateObject(
    
32.                 PreviousMode,
    
33.                 NewDbgObject,        //调试对象类型，后面我们要换成我们新建的调试对象类型
    
34.                 ObjectAttributes,
    
35.                 PreviousMode,
    
36.                 NULL,
    
37.                 sizeof(DEBUG_OBJECT),
    
38.                 0,
    
39.                 0,
    
40.                 (PVOID*)&DebugObject);
    
41. 
    
42.         if (!NT_SUCCESS(status)) {
    
43.                 return status;
    
44.         }
    
45. 
    
46.         //初始化调试对象
    
47.         ExInitializeFastMutex(&DebugObject->Mutex);
    
48.         InitializeListHead(&DebugObject->EventList);
    
49.         KeInitializeEvent(&DebugObject->EventsPresent, NotificationEvent, FALSE);
    
50. 
    
51.         if (Flags & DEBUG_KILL_ON_CLOSE) {
    
52.                 DebugObject->Flags = DEBUG_OBJECT_KILL_ON_CLOSE;
    
53.         }
    
54.         else {
    
55.                 DebugObject->Flags = 0;
    
56.         }
    
57. 
    
58.         //调试对象插入句柄表
    
59.         status = ObInsertObject(
    
60.                 DebugObject,
    
61.                 NULL,
    
62.                 DesiredAccess,
    
63.                 0,
    
64.                 NULL,
    
65.                 &Handle);
    
66.         if (!NT_SUCCESS(status)) {
    
67.                 return status;
    
68.         }
    
69. 
    
70.         try {
    
71.                 *DebugObjectHandle = Handle;
    
72.         } except(ExSystemExceptionFilter()) {
    
73.                 status = GetExceptionCode();
    
74.         }
    
75. 
    
76.         return status;
    
77. }

复制代码