分析进程、线程创建过程

元始天尊

由WRK源码可以得到如下结论：
PspCreateThread
        检测是否为PsInitialSystemProcess
        创建ETHREAD对象，并初始化
        创建TEB
        KeInitThread
        将线程加入进程链表结构
        若是创建首个线程，处理创建进程APC回调
        处理进程job
        处理创建线程回调
        设CreateSuspended则挂起
        创建访问状态对象并构造线程句柄
       
PspCreateProcess
        创建PEPROCESS对象
        获取SectionObject
        检查DebugPort ExceptionPort
        创建进程地址空间
        KeInitializeProcess
        设置进程对象安全属性
        复制父进程句柄表
        创建进程id，设置句柄表
        处理父进程job
        创建PEB
        创建访问状态对象并构造进程句柄

RtlCreateUserThread
        创建线程栈
        初始化线程上下文context
        PspCreateThread

RtlCreateUserProcess
        打开文件
        创建文件内存映射
        PspCreateProcess
        获取pe头信息
        分配环境变量和参数空间
        RtlCreateUserThread

__star__

顶chao哥

元始天尊

关于获取objecttype的一点技巧

1. ObReferenceObjectByHandle(
   
2.   _In_      HANDLE                     Handle,
   
3.   _In_      ACCESS_MASK                DesiredAccess,
   
4.   _In_opt_  POBJECT_TYPE               ObjectType,
   
5.   _In_      KPROCESSOR_MODE            AccessMode,
   
6.   _Out_     PVOID                      *Object,
   
7.   _Out_opt_ POBJECT_HANDLE_INFORMATION HandleInformation
   
8. );
   
9. 
   
10. typedef struct _OBJECT_HEADER {
    
11.     LONG_PTR PointerCount;
    
12.     union {
    
13.         LONG_PTR HandleCount;
    
14.         PVOID NextToFree;
    
15.     };
    
16.     POBJECT_TYPE Type;
    
17.     UCHAR NameInfoOffset;
    
18.     UCHAR HandleInfoOffset;
    
19.     UCHAR QuotaInfoOffset;
    
20.     UCHAR Flags;
    
21. 
    
22.     union {
    
23.         POBJECT_CREATE_INFORMATION ObjectCreateInfo;
    
24.         PVOID QuotaBlockCharged;
    
25.     };
    
26. 
    
27.     PSECURITY_DESCRIPTOR SecurityDescriptor;
    
28.     QUAD Body;
    
29. } OBJECT_HEADER, *POBJECT_HEADER;
    
30. 
    
31. typedef struct _OBJECT_TYPE {
    
32.     ERESOURCE Mutex;
    
33.     LIST_ENTRY TypeList;
    
34.     UNICODE_STRING Name;            // Copy from object header for convenience
    
35.     PVOID DefaultObject;
    
36.     ULONG Index;
    
37.     ULONG TotalNumberOfObjects;
    
38.     ULONG TotalNumberOfHandles;
    
39.     ULONG HighWaterNumberOfObjects;
    
40.     ULONG HighWaterNumberOfHandles;
    
41.     OBJECT_TYPE_INITIALIZER TypeInfo;
    
42. #ifdef POOL_TAGGING
    
43.     ULONG Key;
    
44. #endif //POOL_TAGGING
    
45.     ERESOURCE ObjectLocks[ OBJECT_LOCK_COUNT ];
    
46. } OBJECT_TYPE, *POBJECT_TYPE;
    
47. 
    
48. POBJECT_HEADER pObjectHeader = OBJECT_TO_OBJECT_HEADER(Object);
    
49. POBJECT_TYPE ObjectType = ReadForWriteAccess(&ObjectHeader->Type);
    
50. 或
    
51. POBJECT_TYPE ObjectType = ObGetObjectType(Object);
    
52. 
    
53. 实现：
    
54. int __stdcall ObGetObjectType(int a1)
    
55. {
    
56.   return *(&ObTypeIndexTable + *(_BYTE *)(a1 - 0xC));
    
57. }
    
58. 
    
59. ObjectType can be *ExEventObjectType, *ExSemaphoreObjectType, *IoFileObjectType, *PsProcessType, *PsThreadType, *SeTokenObjectType, *TmEnlistmentObjectType, *TmResourceManagerObjectType, *TmTransactionManagerObjectType, or *TmTransactionObjectType
    

复制代码