获取内核对象窗口列表

Question

• 嗨！

我打赌一个多星期，我无法完整地了解如何获取内核对象列表。我的算法如下：

• 1) 连接 NTDLL.dll (LoadLibrary)
• 2) GetProcAddress (variable_Library_name, "NtQueryDirectoryObject") 和预告结构：_OBJDIR_INFORMATION， _OBJECT_ATTRIBUTES
• 3) 尝试将函数 NtOpenDirectoryObject 应用于以下列表 对象

这里有一段代码负责使用函数NtOpenDirectoryObject：

 OBJDIR_INFORMATION *ssinfo  =(OBJDIR_INFORMATION* ) HeapAlloc(GetProcessHeap(), 0, 0x800);
           ///////////////////////
                    HANDLE hFile,hThread,hMapFile;
  HMODULE hNtdll ,hKernel;
  DWORD dwThreadId;
  OBJECT_ATTRIBUTES obj;
  WCHAR  * uString=L"\\BaseNamedObjects";
  UNICODE_STRING str;
  DWORD i,a,iStrLen,b=0;
  char sObjName[30],sTmp[50];
  LPVOID lpMapAddress;
  FARPROC pWinExec,pExitThread;
  bool bFound;
  char* sCommand;
            /////////////////////////////////////////////////////////////////
            NtQueryDirectoryObject = (NTQUERYDIRECTORYOBJECT )GetProcAddress(hinstLib,"NtQueryDirectoryObject");
            InitializeObjectAttributes (&obj, &str, 0, 0, 00);
            NtOpenDirectoryObject(&hFile,0x20001,&obj);

完整代码（包括结构定义）位于：http://pastebin.com/pDNb3GTn

调用带参数NtOpenDirectoryObject的函数时得到异常c0000005，表示访问被阻塞。

请告诉我，我做错了什么，我的错误在哪里。可以不使用本机api吗？谢谢你的帮助

Answer 1

异常c0000005 是访问冲突。这并不意味着访问被阻止。这意味着访问了无效的内存，例如访问了 NULL/未初始化的指针，或者您未正确对齐数据并访问超出分配范围的内容。

正如 Andrew 所说，您根本没有初始化 UNICODE_STRING。试试这个：

hNtdll = LoadLibrary("ntdll.dll");
NtOpenDirectoryObject = (NTOPENDIRECTORYOBJECT) GetProcAddress(hNtdll, "NtOpenDirectoryObject");
...
if (NtOpenDirectoryObject)
{ 
    // add these three lines
    str.Length = lstrlenW(uString) * sizeof(WCHAR);  
    str.MaximumLength = str.Length; 
    str.Buffer = uString;

    InitializeObjectAttributes (&obj, &str, 0, NULL, NULL);
    NtOpenDirectoryObject(&hFile, 0x20001, &obj);
}