3

Как восстановить хендл файла по хендлу объекта отображения в память?

0

1 ответ 1

2
+50

Возможно если разкопать ядро винды, что б понять как "обойти" узкие места, то можно проще. Я сделаю упрощение, что файл мапится один файл один раз. Если это не так, то программу нужно немного усложнить. Так же прийдется узнать хоть одно место, куда мапится файл. Без этого не получится. Есть две функции, которые возвращают имя в одинаковых форматах GetMappedFileNameW и NtQueryObject. Через них можно просто просканировать хандлы

HANDLE GetMemFileHandle(void *mem) {
    wchar_t name1[512] = {0,};
    wchar_t name2[512] = {0,};
    DWORD q1, q2;
    int HandleCount = 10000; //TODO: Подобрать/почитать
    // Вызов psapi.dll GetMappedFileNameW
    if ((q1=GetMappedFileNameW(GetCurrentProcess(),mem,name1,sizeof(name1)/2))== 0) return 0;
    for (int i=4;i<HandleCount;i+=4) {
       // TODO: проверить тип хандла
       // Узнаём имя обьекта 1=ObjectNameInformation
       if (NtQueryObject( (HANDLE)i,1,&name2,sizeof(name2),&q2)!=0) continue;
       // Длинна имени совпала?
       if (name2[0]/2 != q1) continue; 
       // Имя совпало?
       if (lstrcmpW(name1,name2+4) != 0) continue;
       // Да совпало
       return (HANDLE)i;
       }
    return 0;
    }

Получить участок памяти... несложно. Можно так

  HANDLE GetFileMappingFileHanlde(HANDLE hMap){
     HANDLE ret = 0;
     void *mem = MapViewOfFile(hMap,FILE_MAP_READ,0,0,1);
     if (mem == 0) return 0;
     ret = GetMemFileHandle(mem);
     UnmapViewOfFile(mem);
     return ret;
     }

Что б не подключать psapi.dll можно так же пошаманить с NtQueryVirtualMemory(NtCurrentProcess(), File1MappedAsAnImage, MemoryMappedFilenameInformation, buf, cb, &rcb) которая даст тот же результат что и GetMappedFileNameW.

Так же есть ф-ция NtAreMappedFilesTheSame которая проверяет, соответствует ли пара участков памяти одному файлу, но с ней мороки больше. Добавление проверки с даной функцией улучшит программу.

Ссылки

6
  • Почему +=4 для хэндлов?
    – Qwertiy
    30 июл 2019 в 8:53
  • Вроде бы у меня был хэндл 10 когда-то.
    – Qwertiy
    30 июл 2019 в 9:01
  • Опыт показывает, что хендлы располагаются кратно 4. Например тут web-how.ru/wp-content/uploads/2014/05/… Хендлы - это адрес в таблице хендлов (32-битный массив void* для 32-ной среды). Возможно microsoft хотели сделать индекс, но получилось адрес. Возможно в 64-битной среде будет кратно 8. А 10 или 10h? И какая версия винды? Да, в старом добром DOS было кратно 1. В win98 не проверял, но даный пример там работать и не будет.
    – nick_n_a
    30 июл 2019 в 9:03
  • Вот с Win10 x64 - всё ещё кратны 4. Но ведь это хэндлы процессов, а не файлов. У меня был хэндл файла, причём когда я пытался открывать сам диск на чтение. Либо семёрка, либо десятка. Хм.. Я считал, что десятичная десятка, но сейчас не уверен - вдруг я действительно не так выводил?
    – Qwertiy
    30 июл 2019 в 9:07
  • Вы показали не ту таблицу, я вам показал таблицу именно хендлов (eё показывает handles.exe и processexplorer). ID-процесса даётся генератором, а таблица хендлов находится в другом месте и формируется по-другому.
    – nick_n_a
    30 июл 2019 в 9:08

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.