NtOpenSection → OpenFileMapping

@Jin X · Регистрация: 14.12.2014

Студворк — интернет-сервис помощи студентам

Привет!

Подскажите, кто знает, как открыть \Device\PhysicalMemory через OpenFileMapping, а не через NtOpenSection ?
Проблема в том, что OpenFileMapping задаёт в качестве поля ObjectAttributes.RootDirectory (при вызове NtOpenSection) значение, возвращаемое BaseGetNamedObjectDirectory(), а не NULL. Т.е. если заменить это поле на NULL (изнутри функции OpenFileMappingW), всё работает. Иначе возвращается ошибка.

MSDN пишет про поле RootDirectory:

Optional handle to the root object directory for the path name specified by the ObjectName member. If RootDirectory is NULL, ObjectName must point to a fully qualified object name that includes the full path to the target object. If RootDirectory is non-NULL, ObjectName specifies an object name relative to the RootDirectory directory. The RootDirectory handle can refer to a file system directory or an object directory in the object manager namespace.

Т.е. надо полный путь \Device\PhysicalMemory преобразовать относительно пути, хендл которого выдаёт BaseGetNamedObjectDirectory(). Как это сделать?
Я так понял, это путь \BaseNamedObjects, только что это за путь и как относительно него адресовать \Device\PhysicalMemory – х/з.

@ОС · 01.10.2018, 05:55

Может быть, \\.\Device\PhysicalMemory
как у других устройств?

Это на XP?

@Ethereal · 01.10.2018, 06:18

Ни хрена не понимаю в этой галиматье, но имею сказать, что если у тебя имеется хендл ObjectAttributes.RootDirectory , то применив его к
NTSTATUS
ObReferenceObjectByHandle(
IN HANDLE Handle,
IN ACCESS_MASK DesiredAccess,
IN POBJECT_TYPE ObjectType OPTIONAL,
IN KPROCESSOR_MODE AccessMode,
OUT PVOID *Object,
OUT POBJECT_HANDLE_INFORMATION HandleInformation OPTIONAL
) ты получишь *Object - corresponding pointer to the object's body. А там в этой "боде" как выглядит

Сообщение от Jin X

что это за путь

посмотреть ?
Т.е. если в поле ObjectAttributes.RootDirectory лежит хендл объекта Рут_Директори, то получить по этому хендлу адрес самого объекта Рут_Директори и посмотреть что там лежит. Ну там строчки или ссылки на строчки. Должен же там этот путь Рут_Директори в виде строки лежать.

@politoto · 01.10.2018, 09:49

Из Win32 объекты могут быть и не видны под своими именами.

Добавлено через 6 минут
https://docs.microsoft.com/en-... namespaces

Добавлено через 56 минут



>dir lpt9



 Содержимое папки \\.



Файл не найден

Сообщение от ОС

\\.\Device\PhysicalMemory
как у других устройств?

Если как других, то должно быть что-то вроде \\.\PhysicalMemory

@Jin X · 01.10.2018, 15:11 **[ТС]**

Сообщение от ОС

Это на XP?

Да. И ниже.

Сообщение от ОС

Может быть, \\.\Device\PhysicalMemory
как у других устройств?

Я тоже так думал, но это не работает

GetLastError выдаёт 000000A1 (ERROR_BAD_PATHNAME), (NtOpenSection выдаёт там C000003B (STATUS_OBJECT_PATH_SYNTAX_BAD)).

Сообщение от Ethereal

Должен же там этот путь Рут_Директори в виде строки лежать.

А что толку? Как это мне поможет правильно адресовать нужный мне путь? К тому же, я почти уверен, что это

Сообщение от Jin X

\BaseNamedObjects

(где-то нашёл эту инфу)

Сообщение от politoto

\\.\PhysicalMemory

К сожалению, это тоже не работает. Ошибка та же

@politoto · 01.10.2018, 15:19

А в чём минусы NtOpenSection?

Может быть, попробовать добавить ДОС-устройство?

Это же символическая ссылка на объект.

@Ethereal · 01.10.2018, 20:34

Сообщение от Jin X

Как это мне поможет

Сообщение от Jin X

К тому же, я почти уверен

Вот это почти отпадет.

Сообщение от Jin X

Я так понял, это путь \BaseNamedObjects, только что это за путь и как относительно него адресовать \Device\PhysicalMemory – х/з.

Если думать тупорыло, то ..\..\..\Device\PhysicalMemory , т.е. три раза вверх по пути от \BaseNamedObjects и там будет корень в котором \Device

@Jin X · 02.10.2018, 00:20 **[ТС]**

Сообщение от politoto

А в чём минусы NtOpenSection?

Мне интересно сделать без натива.
Ну и через OpenFileMapping не надо инициализировать ObjectAttributes и записывать строку в UNICODE-формате (да, я понимаю, что там куча обёрток и пр. ерунды).

Сообщение от Ethereal

т.е. три раза вверх

Почему три? И почему не с \ начинается?
В общем, перепробовал 6 вариантов:
..\PhysicalMemory
\..\PhysicalMemory
..\..\PhysicalMemory
\..\..\PhysicalMemory
..\..\..\PhysicalMemory
\..\..\..\PhysicalMemory
Всё бестолку. Иногда, правда, вместо STATUS_OBJECT_PATH_SYNTAX_BAD выдаётся STATUS_OBJECT_PATH_NOT_FOUND.

@Ethereal · 02.10.2018, 06:09

Сообщение от Jin X

В общем, перепробовал 6 вариантов:
..\PhysicalMemory
\..\PhysicalMemory
..\..\PhysicalMemory
\..\..\PhysicalMemory
..\..\..\PhysicalMemory
\..\..\..\PhysicalMemory

Тут \Device куда-то подевалось.

Сообщение от Jin X

Почему три?

Просто предположил, что речь шла о \Sessions\1\BaseNameObjects и тогда до корня надо 3 раза вверх. Но я-же говорю, что ничего в этой галиматье не понимаю. Просто у меня большой опыт разбираться в черных ящиках. Когда знаний почерпнуть неоткуда кроме как из самого черного ящика. Так-что представляю, что у тебя там черный ящик и каким бы я тогда пошел логическим ходом

Нет, ну реально, берем черный ящик, документации по нему тебе не дадут, кто в нем понимает говорить с тобой не станет и начинаем с "тупорыло предположим, что".
Все равно того кто знает в топике нет, так-что чем в данном случае не метод ?

Вот есть такая дивная утилита : https://docs.microsoft.com/en-... ads/winobj
Если она показывает то с чем ты имеешь дело, то \BaseNameObjects там в двух местах, в корне и внутри \Sessions\1 , \Device есть, а вот \Device\PhysicalMemory что-то не видать.

Добавлено через 4 часа 35 минут

Сообщение от Jin X

Иногда, правда, вместо STATUS_OBJECT_PATH_SYNTAX_BAD

А это STATUS_OBJECT_PATH_SYNTAX_BAD было когда начало пути \.. или когда .. ?

@Jin X · 02.10.2018, 19:45 **[ТС]**

Сообщение от Ethereal

Тут \Device куда-то подевалось.

Тем не менее, добавление \Device не помогло.

Сообщение от Ethereal

А это STATUS_OBJECT_PATH_SYNTAX_BAD было когда начало пути \.. или когда .. ?

Когда \..

@Ethereal · 03.10.2018, 01:31

Боюсь, что
Название может иметь префикс "Global" или "Local", чтобы явно открывать объект в глобальном или сессионном пространстве имен. Остаточный член имени может содержать любые символы кроме символа обратного слэша (\).
то есть у функции OpenFileMapping принудительно закрыта возможность ползать по путям куда захочется.

Добавлено через 4 минуты
Global или Local - это символические ссылки. Global - ссылка на \BaseNamedObjects . И еще вижу ссылку Section . Вот если бы там лежала бы еще одна символическая ссылка на \Device . Если ее как-нибудь туда подкинуть.

Добавлено через 15 минут
По ссылкам вроде-бы можно бегать сколько угодно. Например до объекта \BaseNamedObjects\RasPbFile я вроде как добрался (сужу только по изменениям номеров ошибок) именем "RasPbFile" и именем "Session\0\RasPbFile" где ссылка Session указывает на \Sessions\BNOLINK , внутри которого еще одна ссылка 0 на \BaseNamedObjects . То есть по ссылкам я прошел как-бы по кругу.

@ОС · 03.10.2018, 06:02

У меня вроде получилось сделать какую-то ссылку.

Code
1
2
3
4
5
6
7
8
(gdb) p QueryDosDeviceA( "lpt4", buffer, 4000 )
$14 = 0
(gdb) p DefineDosDeviceA(1, "lpt4", "\\Device\\PhysicalMemory")
$15 = 1
(gdb) p QueryDosDeviceA( "lpt4", buffer, 4000 )
$16 = 24
(gdb) x /s buffer
0x22ef8c:        "\\Device\\PhysicalMemory"

Команды type lpt4, copy ругаются на Неверный дескриптор.

@Jin X · 03.10.2018, 11:50 **[ТС]**

Сообщение от Ethereal

то есть у функции OpenFileMapping принудительно закрыта возможность ползать по путям куда захочется.

Есть такое подозрение, но мало ли?

Сообщение от ОС

У меня вроде получилось сделать какую-то ссылку.

Я так и не понял, какая ссылка в итоге получилась? lpt4 не стал же алиасом \Device\PhysicalMemory.

@politoto · 03.10.2018, 12:32

Jin X, если не стал, то где-то в DosDevices или ещё где-нибудь есть соответствие lpt4 -> [inline]\Device\PhysicalMemory[/quote]

Если бы это было не так, почему тогда QueryDosDevice( "lpt4") вернул \Device\PhysicalMemory ?
Напрямую через досовое имя секция, скорее всего, не окроется, хотя бы потому, что искать начинает с другого корня, но можно попытаться найти эту ссылку через относительный путь.

Добавлено через 10 минут
Но лучше, наверно, не пытаться, а пользоваться тем, что работает.
Для подобных программ и предназначены нативные функции.

@Ethereal · 03.10.2018, 20:39

Просто идея. Лень проверять. Если с помощью NtCreateSymbolicLinkObject в \BaseNamedObjects создать символическую ссылку Blabla на \Device , то именем Blabla\PhysicalMemory ты бы открыл то, что тебе нужно. Если в \BaseNamedObjects уже есть три символические ссылки, то они должны обрабатываться каким-то общим алгоритмом. Ну и раз по этим трем ссылкам мы ходить можем, то и по четвертой сможем.

Добавлено через 3 минуты
Просто пока у меня получется, что ос отказывается воспринимать .. как переход на каталог вверх в этом пространстве имен объектов. ..\BaseNamedObjects по идее должна не изменять путь, потому-что сначала вверх, а потом обратно вниз. Но ругается ERROR_PATH_NOT_FOUND. Ну и если по .. пройти наверх нельзя, то по ссылке-то можно и сразу куда нужно.

Добавлено через 1 минуту
Вот так бегать по ссылкам туда-сюда не вопрос "Local\Global\Local\Global\Local\Global\ Local\Global\RasPbFile"

Добавлено через 51 минуту
NtCreateSymbolicLinkObject , как понял, должна создать ссылку, которая не есть перманентный объект. Как только ты проделаешь CloseHandle с хендлом этой ссылки она удалится. Но это ведь то, что надо. Временной ссылкой проложить куда надо путь. Проторить так-сказать дорогу.

@politoto · 04.10.2018, 07:22

Зачем торить, если NtOpenSection() сразу открывает \Device\PhysicalMemory ?

@Ethereal · 04.10.2018, 09:37

Сообщение от politoto

Зачем торить, если NtOpenSection() сразу открывает \Device\PhysicalMemory ?

Читать что писал тс будем ?

Сообщение от Jin X

Подскажите, кто знает, как открыть \Device\PhysicalMemory через OpenFileMapping, а не через NtOpenSection ?

Да сам топик называется NtOpenSection → OpenFileMapping

@politoto · 04.10.2018, 09:48

Сообщение от Jin X

Сообщение от politoto
А в чём минусы NtOpenSection?
Мне интересно сделать без натива.

Для создания ссылок где угодно может понадобиться больше захватить прав и запросить привилегий, чем для открытия существующего объекта

@R71MT · 04.10.2018, 10:36

М.Руссинович, Д.Соломон
Внутреннее устройство Microsoft Windows. 6-е изд.

Место хранения имен объектов зависит от типа объекта.
В табл. 3.17 перечислены стандартные каталоги объектов, находящиеся во всех системах Windows, и те типы объектов, чьи имена в них хранятся. Из перечисленных каталогов стандартные Win-приложения видят только каталоги \BaseNamedObjects и \Global?? (см.раздел «Пространство имен сеанса»).

Для этой функции запрещена косая черта в любом виде: хоть в голове, хоть в тушке.
Разрешено читать только содержимое указанных выше каталогов по именам объектов, которое ищется сначала в "\BaseName", потом в "\Global??". Если такого имени нет, то встречаем ошибку "Файл не найден!".

Можно создавать объекты самому чз "CreateFileMapping", но они помещаются только в эти каталоги, а "\Device" находится выше, ..значит подобраться к нему будет проблематично. Хоть ты и получишь как-нибудь ссылку, то нужно будет указать её в пути, опять-же через косую черту, которая запрещена.

Например вот прожка для теста ошибки (чтоб не ловить эрроры в отладчике), и при косой черте в любом виде выплёвывает "Недопустимый путь!". Если оставить только "PhysicalMemory", то и создаётся и открывается без проблем, но только в дирах Base и Global, а значит драйверам IO (которые читаю память) из папки \Device, этот файл становится не доступным.

Assembler
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
format   PE gui
include  'win32ax.inc'
 
.data
szName   db  '\Device\PhysicalMemory',0
lpfmt    db  'Error code: %08X',0
buff     db  32 dup(0)
errMes   db  128 dup(0)
 
.code
start:
;        invoke  CreateFileMappingA,0,0,PAGE_READONLY,0,512,szName
;       stdcall  GetError
 
        invoke  OpenFileMapping,FILE_MAP_READ,0,szName
       stdcall  GetError
 
        invoke  ExitProcess,0
 
;-- Сообщение об ошибке ------------
GetError:
        invoke  GetLastError
        invoke  FormatMessage,FORMAT_MESSAGE_FROM_SYSTEM,0,eax,0,errMes,128,0
        invoke  MessageBox,0, errMes, <'Get_Last_Error',0>, 0
ret
;-- Код ошибки ---------------------
GetErrorCode:
        invoke  GetLastError
       cinvoke  wsprintf,buff,lpfmt,eax
        invoke  MessageBox,0, buff,<'GetLastError',0>, 0
ret
.end start

По сабжу, почитать ещё можно Рихтер. Windows для профессионалов
он разжёвывает тему объектов не по-детски и с примерами.

@Jin X · 04.10.2018, 13:47 **[ТС]**

В общем, получается, что задача нерешаемая, открыть можно только через NtOpenSection...

Новые блоги и статьи Все статьи Все блоги /
Отчёт о затраченных материалах за определенный период с макетом печатной формы Maks 21.04.2026 Отчёт из решения ниже размещён в конфигурации КА2. Задача: разработка отчёта по затраченным материалам за определённый период, с возможностью вывода печатной формы отчёта с шапкой и подвалом. В. . .	Отчёт о спецтехнике находящейся в ремонте Maks 20.04.2026 Отчёт из решения ниже размещен в конфигурации КА2. Задача: отобразить спецтехнику, которая на данный момент находится в ремонте. Есть нетиповой документ "Заявка на ремонт спецтехники" который. . .	Памятка для бота и "визитка" для читателей "Semantic Universe Layer (Слой семантической вселенной)" Hrethgir 19.04.2026 Сгенерировано для краткого описания по случаю сборки и компиляции скелета серверного приложения. И пусть после этого скажут, что статьи сгенерированные AI - туфта и не интересно. И это не реклама -. . .	Запрет удаления строк ТЧ документа при определённом условии Maks 19.04.2026 Алгоритм из решения ниже реализован на примере нетипового документа "Аккумуляторы", разработанного в конфигурации КА2. У данного документа есть ТЧ, в которой в зависимости от прав доступа. . .
Модель заражения группы наркоманов alhaos 17.04.2026 Условия задачи сформулированы тут Суть: - Группа наркоманов из 10 человек. - Только один инфицирован ВИЧ. - Колются одной иглой. - Колются раз в день. - Колются последовательно через. . .	Мысли в слух. Про "навсегда". kumehtar 16.04.2026 Подумалось тут, что наверное очень глупо использовать во всяких своих установках понятие "навсегда". Это очень сильное понятие, и я только начинаю понимать край его смысла, не смотря на то что давно. . .	My Business CRM MaGz GoLd 16.04.2026 Всем привет, недавно возникла потребность создать CRM, для личных нужд. Собственно программа предоставляет из себя базу данных клиентов, в которой можно фиксировать звонки, стадии сделки, а также. . .	Знаешь почему 90% людей редко бывают счастливыми? kumehtar 14.04.2026 Потому что они ждут. Ждут выходных, ждут отпуска, ждут удачного момента. . . а удачный момент так и не приходит.

@ОС 328 / 81 / 2 Регистрация: 21.07.2018 Сообщений: 112 Записей в блоге: 1
	01.10.2018, 05:55
	Может быть, \\.\Device\PhysicalMemory как у других устройств? Это на XP? 0

@politoto Модератор 2131 / 1000 / 170 Регистрация: 23.07.2018 Сообщений: 3,349 Записей в блоге: 3
	01.10.2018, 15:19
	А в чём минусы NtOpenSection? Может быть, попробовать добавить ДОС-устройство? Это же символическая ссылка на объект. 0

@Ethereal 6773 / 2741 / 385 Регистрация: 17.02.2013 Сообщений: 4,048
	03.10.2018, 01:31
	Боюсь, что Название может иметь префикс "Global" или "Local", чтобы явно открывать объект в глобальном или сессионном пространстве имен. Остаточный член имени может содержать любые символы кроме символа обратного слэша (\). то есть у функции OpenFileMapping принудительно закрыта возможность ползать по путям куда захочется. Добавлено через 4 минуты Global или Local - это символические ссылки. Global - ссылка на \BaseNamedObjects . И еще вижу ссылку Section . Вот если бы там лежала бы еще одна символическая ссылка на \Device . Если ее как-нибудь туда подкинуть. Добавлено через 15 минут По ссылкам вроде-бы можно бегать сколько угодно. Например до объекта \BaseNamedObjects\RasPbFile я вроде как добрался (сужу только по изменениям номеров ошибок) именем "RasPbFile" и именем "Session\0\RasPbFile" где ссылка Session указывает на \Sessions\BNOLINK , внутри которого еще одна ссылка 0 на \BaseNamedObjects . То есть по ссылкам я прошел как-бы по кругу. 0

@politoto Модератор 2131 / 1000 / 170 Регистрация: 23.07.2018 Сообщений: 3,349 Записей в блоге: 3
	03.10.2018, 12:32
	Jin X, если не стал, то где-то в DosDevices или ещё где-нибудь есть соответствие `lpt4` -> [inline]\Device\PhysicalMemory[/quote] Если бы это было не так, почему тогда `QueryDosDevice( "lpt4")` вернул \Device\PhysicalMemory ? Напрямую через досовое имя секция, скорее всего, не окроется, хотя бы потому, что искать начинает с другого корня, но можно попытаться найти эту ссылку через относительный путь. Добавлено через 10 минут Но лучше, наверно, не пытаться, а пользоваться тем, что работает. Для подобных программ и предназначены нативные функции. 0

@Ethereal 6773 / 2741 / 385 Регистрация: 17.02.2013 Сообщений: 4,048
	03.10.2018, 20:39
	Просто идея. Лень проверять. Если с помощью NtCreateSymbolicLinkObject в \BaseNamedObjects создать символическую ссылку Blabla на \Device , то именем Blabla\PhysicalMemory ты бы открыл то, что тебе нужно. Если в \BaseNamedObjects уже есть три символические ссылки, то они должны обрабатываться каким-то общим алгоритмом. Ну и раз по этим трем ссылкам мы ходить можем, то и по четвертой сможем. Добавлено через 3 минуты Просто пока у меня получется, что ос отказывается воспринимать .. как переход на каталог вверх в этом пространстве имен объектов. ..\BaseNamedObjects по идее должна не изменять путь, потому-что сначала вверх, а потом обратно вниз. Но ругается ERROR_PATH_NOT_FOUND. Ну и если по .. пройти наверх нельзя, то по ссылке-то можно и сразу куда нужно. Добавлено через 1 минуту Вот так бегать по ссылкам туда-сюда не вопрос "Local\Global\Local\Global\Local\Global\ Local\Global\RasPbFile" Добавлено через 51 минуту NtCreateSymbolicLinkObject , как понял, должна создать ссылку, которая не есть перманентный объект. Как только ты проделаешь CloseHandle с хендлом этой ссылки она удалится. Но это ведь то, что надо. Временной ссылкой проложить куда надо путь. Проторить так-сказать дорогу. 1

@politoto Модератор 2131 / 1000 / 170 Регистрация: 23.07.2018 Сообщений: 3,349 Записей в блоге: 3
	04.10.2018, 07:22
	Зачем торить, если `NtOpenSection()` сразу открывает \Device\PhysicalMemory ? 0

@Jin X Asm/C++/Delphi/Py/PHP/VBA 6812 / 2052 / 238 Регистрация: 14.12.2014 Сообщений: 4,311 Записей в блоге: 12
	04.10.2018, 13:47 [ТС]
	В общем, получается, что задача нерешаемая, открыть можно только через NtOpenSection... 0

NtOpenSection → OpenFileMapping

Решение