易语言枚举内核对象句柄源码

系统结构:枚举系统句柄,CloseRemoteHandle,结束内核对象句柄,测试线程,CompareFunc3,RtlMoveMemory1,CopyMemory_SYSTEM_PROCESSES,ZwQueryInformationProcess,NtQueryInformationThread,ZwQueryObject,ZwDuplicateObject,ZwTerminateProcess,LookupAccountSid,ZwClose,ZwCreateJobObject,ZwAssignProcessToJobObject,ZwTerminateJobObject,ZwWriteVirtualMemory,ZwProtectVirtualMemory,GetProcessTimes,FileTimeToSystemTime,SystemTimeToVariantTime,FileTimeToLocalFileTime,GetThreadTimes,NtUnmapViewOfSection,DebugActiveProcess,NtQuerySystemInformation,ZwQuerySystemInformation,GetFileType,ShowWindow,OpenIcon,WToM,LocalAlloc,LocalFree,GetTokenInformation,OpenProcessToken,

======程序集1
           |  |
           |  |------ _启动子程序
           |  |
           |  |------ _临时子程序
           |  |
           |  |------ 枚举系统句柄
           |  |
           |  |------ CloseRemoteHandle
           |  |
           |  |------ 结束内核对象句柄
           |  |
           |  |------ 测试线程
           |  |
           |  |------ CompareFunc3
           |  |
           |  |
======窗口程序集3
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   RtlMoveMemory1
           |  |
           |  |---[dll]------   CopyMemory_SYSTEM_PROCESSES
           |  |
           |  |---[dll]------   ZwQueryInformationProcess
           |  |
           |  |---[dll]------   NtQueryInformationThread
           |  |
           |  |---[dll]------   ZwQueryObject
           |  |
           |  |---[dll]------   ZwDuplicateObject
           |  |
           |  |---[dll]------   ZwTerminateProcess
           |  |
           |  |---[dll]------   LookupAccountSid
           |  |
           |  |---[dll]------   ZwClose
           |  |
           |  |---[dll]------   ZwCreateJobObject
           |  |
           |  |---[dll]------   ZwAssignProcessToJobObject
           |  |
           |  |---[dll]------   ZwTerminateJobObject
           |  |
           |  |---[dll]------   ZwWriteVirtualMemory
           |  |
           |  |---[dll]------   ZwProtectVirtualMemory
           |  |
           |  |---[dll]------   GetProcessTimes
           |  |
           |  |---[dll]------   FileTimeToSystemTime
           |  |
           |  |---[dll]------   SystemTimeToVariantTime
           |  |
           |  |---[dll]------   FileTimeToLocalFileTime
           |  |
           |  |---[dll]------   GetThreadTimes
           |  |
           |  |---[dll]------   NtUnmapViewOfSection
           |  |
           |  |---[dll]------   DebugActiveProcess
           |  |
           |  |---[dll]------   NtQuerySystemInformation
           |  |
           |  |---[dll]------   ZwQuerySystemInformation
           |  |
           |  |---[dll]------   GetFileType
           |  |
           |  |---[dll]------   ShowWindow
           |  |
           |  |---[dll]------   OpenIcon
           |  |
           |  |---[dll]------   WToM
           |  |
           |  |---[dll]------   LocalAlloc
           |  |
           |  |---[dll]------   LocalFree
           |  |
           |  |---[dll]------   GetTokenInformation
           |  |
           |  |---[dll]------   OpenProcessToken

  

调用的DLL命令:

.DLL命令 RtlMoveMemory1, 整数型, , "RtlMoveMemory"
    .参数 dest, SYSTEM_HANDLE_TABLE_ENTRY_INFO
    .参数 Source, 整数型
    .参数 len, 整数型

.DLL命令 CopyMemory_SYSTEM_PROCESSES, , "kernel32", "RtlMoveMemory"
    .参数 Destination, SYSTEM_PROCESSES
    .参数 Source, 整数型
    .参数 Length, 整数型

.DLL命令 ZwQueryInformationProcess, 整数型, "ntdll.dll", "ZwQueryInformationProcess"
    .参数 SystemInformationClass, 整数型
    .参数 dd, 整数型
    .参数 SystemInformation, PROCESS_BASIC_INFORMATION
    .参数 SystemInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 NtQueryInformationThread, 整数型, "Ntdll.dll"
    .参数 hThread, 整数型
    .参数 ThreadInformationClass, 整数型
    .参数 ThreadInformation, THREAD_BASIC_INFORMATION, 传址
    .参数 ThreadInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 ZwQueryObject, 整数型, "NTDLL.DLL"
    .参数 ObjectHandle
    .参数 ObjectInformationClass
    .参数 ObjectInformation, OBJECT_NAME_INFORMATION, 传址
    .参数 ObjectInformationLength
    .参数 ReturnLength, , 传址

.DLL命令 ZwDuplicateObject, 整数型, "ntdll.dll"
    .参数 SourceProcessHandle, 整数型
    .参数 SourceHandle, 整数型
    .参数 TargetProcessHandle, 整数型
    .参数 TargetHandle, 整数型, 传址
    .参数 DesiredAccess, 整数型
    .参数 HandleAttributes, 整数型
    .参数 Options, 整数型

.DLL命令 ZwTerminateProcess, 整数型, "ntdll.dll"
    .参数 ProcessHandle, 整数型
    .参数 ExitStatus, 整数型

.DLL命令 LookupAccountSid, 整数型, "advapi32.dll", "LookupAccountSidA"
    .参数 lpSystemName, 文本型
    .参数 SID, 整数型
    .参数 name, 文本型
    .参数 cbName, 整数型, 传址
    .参数 ReferencedDomainName, 文本型
    .参数 cbReferencedDomainName, 整数型, 传址
    .参数 peUse, 整数型, 传址

.DLL命令 ZwClose, 整数型, "ntdll.dll", "ZwClose"
    .参数 handle

.DLL命令 ZwCreateJobObject, 整数型, "ntdll.dll"
    .参数 JobHandle, 整数型, 传址
    .参数 DesiredAccess, 整数型
    .参数 ObjectAttributes, OBJECT_ATTRIBUTES

.DLL命令 ZwAssignProcessToJobObject, 整数型, "ntdll.dll"
    .参数 JobHandle, 整数型
    .参数 ProcessHandle, 整数型

.DLL命令 ZwTerminateJobObject, 整数型, "ntdll.dll"
    .参数 JobHandle, 整数型
    .参数 ExitStatus, 整数型

.DLL命令 ZwWriteVirtualMemory, 整数型, "NTDLL.DLL", "ZwWriteVirtualMemory"
    .参数 ProcessHandle, 整数型
    .参数 BaseAddress, 整数型
    .参数 pBuffer, 字节集
    .参数 NumberOfBytesToWrite, 整数型
    .参数 NumberOfBytesWritten, 整数型, 传址

.DLL命令 ZwProtectVirtualMemory, 整数型, "NTDLL.DLL", "ZwProtectVirtualMemory"
    .参数 ProcessHandle, 整数型
    .参数 BaseAddress, 整数型
    .参数 RegionSize, 整数型
    .参数 NewProtect, 整数型
    .参数 OldProtect, 整数型

.DLL命令 GetProcessTimes, 整数型, "kernel32", "GetProcessTimes", ,   获取与一个进程的经过时间有关的信息
    .参数 hProcess, 整数型
    .参数 lpCreationTime, FILETIME, 传址
    .参数 lpExitTime, FILETIME, 传址
    .参数 lpKernelTime, 整数型, 传址 数组
    .参数 lpUserTime, 整数型, 传址 数组

.DLL命令 FileTimeToSystemTime, 整数型, "kernel32", "FileTimeToSystemTime"
    .参数 lpFileTime, FILETIME, 传址
    .参数 lpSystemTime, SYSTEMTIME, 传址

.DLL命令 SystemTimeToVariantTime, 整数型, "oleaut32.dll", "SystemTimeToVariantTime"
    .参数 lpSystemTime, SYSTEMTIME, 传址
    .参数 pvtime, 日期时间型, 传址

.DLL命令 FileTimeToLocalFileTime, 整数型, "kernel32", "FileTimeToLocalFileTime"
    .参数 lpFileTime, FILETIME, 传址
    .参数 lpLocalFileTime, FILETIME, 传址

.DLL命令 GetThreadTimes, 整数型, "kernel32", "GetThreadTimes"
    .参数 hThread, 整数型
    .参数 lpCreationTime, FILETIME
    .参数 lpExitTime, 整数型, 传址 数组
    .参数 lpKernelTime, 整数型, 传址 数组
    .参数 lpUserTime, 整数型, 传址 数组

.DLL命令 NtUnmapViewOfSection, 整数型, "ntdll.dll", "NtUnmapViewOfSection"
    .参数 hProcess
    .参数 addr

.DLL命令 DebugActiveProcess, 逻辑型, "kernel32", "DebugActiveProcess"
    .参数 dwProcessId, 整数型

.DLL命令 NtQuerySystemInformation, 整数型, "ntdll.dll", "NtQuerySystemInformation"
    .参数 SystemInformationClass, 整数型
    .参数 SystemInformation, 整数型
    .参数 SystemInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 ZwQuerySystemInformation, 整数型, "ntdll.dll", "ZwQuerySystemInformation"
    .参数 SystemInformationClass, 整数型
    .参数 SystemInformation, 字节集
    .参数 SystemInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 GetFileType, 整数型, "kernel32", "GetFileType"
    .参数 hFile, 整数型

.DLL命令 ShowWindow, 整数型, "user32", "ShowWindow"
    .参数 窗口句柄, 整数型
    .参数 nCmdShow, 整数型

.DLL命令 OpenIcon, 整数型, "user32", "OpenIcon"
    .参数 窗口句柄, 整数型

.DLL命令 WToM, 整数型, "kernel32.dll", "WideCharToMultiByte"
    .参数 CodePage, 整数型
    .参数 dwFlags, 整数型
    .参数 lpWideCharStr, 整数型
    .参数 cchWideChar, 整数型
    .参数 lpMultiByteStr, 整数型
    .参数 cchMultiByte, 整数型
    .参数 lpDefaultChar, 整数型
    .参数 lpUsedDefaultChar, 整数型

.DLL命令 LocalAlloc, 整数型, "kernel32", "LocalAlloc"
    .参数 wFlags, 整数型
    .参数 wBytes, 整数型

.DLL命令 LocalFree, 整数型, "kernel32", "LocalFree"
    .参数 hMem, 整数型

.DLL命令 GetTokenInformation, 逻辑型, "Advapi32.dll", "GetTokenInformation"
    .参数 TokenHandle, 整数型
    .参数 TokenInformationClass, 整数型
    .参数 TokenInformation, 字节集, 传址
    .参数 TokenInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 OpenProcessToken, 逻辑型, "Advapi32.dll", "OpenProcessToken"
    .参数 ProcessHandle, 整数型
    .参数 DesiredAccess, 整数型
    .参数 TokenHandle, 整数型, 传址