首先我们需要安装WinDbg并在必要时设置符号路径。如果没有符号你将无法看到内核中已加载模块的信息。在文件菜单中可以选择设置内核调试 → 附加到内核。在Process Explorer中你可以识别对象并获取它们在内核空间中的地址。点击任何这些句柄可以查看对应的内存地址。Windbg信息解释和屏幕对象 0xFFFFE2843B1B0090这条命令要求WinDbg显示内存地址0xFFFFE2843B1B0090处内核对象的信息。对象: ffffe2843b1b0090 类型: (ffffe28434ff72a0) ALPC端口:这一行告诉你内存地址ffffe2843b1b0090持有一个类型为“ALPC端口”的对象。ALPC高级本地过程调用是Windows操作系统中使用的一种通信方法用于进程之间更快、更安全的通信。类型指针(ffffe28434ff72a0)指向这个ALPC端口对象的类型信息这有助于系统适当地管理该对象。对象头: ffffe2843b1b0060 (新版本):Windows内核中的每个对象都有一个对象头其中包含关于该对象的元数据。地址ffffe2843b1b0060处的对象头包含关键信息如引用计数、句柄计数以及可能的安全或审计信息。句柄计数: 1 指针计数: 29073:句柄计数指的是当前有多少个句柄通过句柄引用打开着这个对象。在这种情况下这个ALPC端口有1个句柄意味着它被系统中的一个句柄显式引用。指针计数指的是指向该对象的指针或引用数量包括句柄和其他引用例如来自其他对象或系统组件的指针。指针计数达到29073非常高表明这个ALPC端口在系统内被广泛引用这对于一个被许多组件使用的通信通道来说可能是典型的。你看到的输出是来自WinDbg中使用的!findhandle命令WinDbg是Windows环境中一个强大的调试器特别适用于内核调试。此命令通常用于搜索系统中的所有句柄或特定句柄这在系统故障排除和安全评估中非常有用。以下是输出结果的分解进程 ffffe2843ad8c080这表明在内存地址ffffe2843ad8c080的进程内没有找到引用指定对象地址ffffe2843b1b0090的句柄。这意味着该对象没有被这个特定进程访问或使用。[ffffe2843ab71080 unsecapp.exe]这里识别了另一个进程unsecapp.exe位于内存地址ffffe2843ab71080。unsecapp.exe通常是一个与WMIWindows Management Instrumentation相关的系统进程用于促进客户端应用程序与远程服务器上的WMI之间的通信。1ac: 条目 ffff8003244fe6b0 授予访问权限 1f0001 (继承) (审计):这一行详细说明了unsecapp.exe进程中的一个特定句柄标识符1ac。条目 ffff8003244fe6b0指的是句柄表中的句柄条目。授予访问权限 1f0001指定了授予该句柄的访问权限。十六进制值1f0001描述了具体的访问权限如读、写、执行包括继承Inherit和审计Audit标志。FINISHEDCSD0tFqvECLokhw9aBeRqmTqKjMg7DMSECIQsr2pFIQfR38iZkitvkvpLmoXoqk6TVGUqcKKdN1plqLTJk8ysx0DXmWP/3LJ623yfnHlTV9eLIVY9Qsx0oCCFKygC1Hmp1Cpdt/bhMBsNRglx48AQg更多精彩内容 请关注我的个人公众号 公众号办公AI智能小助手对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号网络安全技术点滴分享