关于枚举句柄的问题

^_^

话说枚举句柄一般用SystemHandleInformation，但SYSTEM_HANDLE_TABLE_ENTRY_INFO的成员HandleValue只有两个字节，但HANDLE在64位不是8个字节吗？在32位也是4个字节啊？是结构体错了还是咋地？

1. typedef struct SYSTEM_HANDLE_TABLE_ENTRY_INFO
   
2. {
   
3.     ULONG ProcessId;
   
4.     BYTE ObjectTypeNumber;
   
5.     BYTE Flags;
   
6.     USHORT Handle;
   
7.     PVOID Object;
   
8.     ACCESS_MASK GrantedAccess;
   
9. } SYSTEM_HANDLE_TABLE_ENTRY_INFO, *PSYSTEM_HANDLE_TABLE_ENTRY_INFO;

复制代码

Tesla.Angela

你可以使用SystemExtendedHandleInformation，对应结构体SYSTEM_HANDLE_INFORMATION_EX。

1. typedef struct _SYSTEM_HANDLE_TABLE_ENTRY_INFO_EX
   
2. {
   
3.     PVOID Object;
   
4.     ULONG_PTR UniqueProcessId;
   
5.     ULONG_PTR HandleValue;
   
6.     ULONG GrantedAccess;
   
7.     USHORT CreatorBackTraceIndex;
   
8.     USHORT ObjectTypeIndex;
   
9.     ULONG HandleAttributes;
   
10.     ULONG Reserved;
    
11. } SYSTEM_HANDLE_TABLE_ENTRY_INFO_EX, *PSYSTEM_HANDLE_TABLE_ENTRY_INFO_EX;
    
12. typedef struct _SYSTEM_HANDLE_INFORMATION_EX
    
13. {
    
14.     ULONG_PTR NumberOfHandles;
    
15.     ULONG_PTR Reserved;
    
16.     SYSTEM_HANDLE_TABLE_ENTRY_INFO_EX Handles[1];
    
17. } SYSTEM_HANDLE_INFORMATION_EX, *PSYSTEM_HANDLE_INFORMATION_EX;

复制代码

gfw

学习学习

sijin

学习了，谢谢