• Erkunden Sie den gesamten Windows-Objekt-Manager-Namespace

  • Hierarchischer Objektbaum

  • Auflösung symbolischer Verknüpfungen

  • Versionsinformationen für Objekte vom Typ Section, die durch eine Bilddatei gestützt werden

  • Zusätzliche Informationen für Objekte vom Typ WindowStation

  • Objektdetails anzeigen:

    • Beschreibungen
    • Flags
    • Ungültige Attribute
    • Speicherpool-Typ
    • Objekttypspezifische Informationen
    • Speicherauszüge der objektspezifischen Struktur¹:
      • ALPC_PORT
      • CALLBACK_OBJECT
      • DEVICE_OBJECT
      • DRIVER_OBJECT
      • DIRECTORY_OBJECT
      • FLT_SERVER_PORT_OBJECT
      • KEVENT
      • KMUTANT
      • KSEMAPHORE
      • KTIMER
      • KQUEUE (IoCompletion)
      • OBJECT_SYMBOLIC_LINK
      • OBJECT_TYPE
    • Geöffnete Handles
    • Statistiken
    • Unterstützte Zugriffsrechte
    • Prozessvertrauensbezeichnung (Process Trust label)
    • Und mehr...

  • Anzeige in Substrukturen des Dumps¹:

    • ALPC_PORT_ATTRIBUTES
    • DEVICE_MAP
    • LDR_DATA_TABLE_ENTRY
    • OBJECT_TYPE_INITIALIZER
    • UNICODE_STRING
    • Und viele andere

  • Bearbeiten objektspezifischer Sicherheitsinformationen²

  • Erkennung von IRP-Modifikationen des Treiberobjekts (über Struktur-Dump)¹

  • Erkennung von Kernel-Object-Hooking (über Struktur-Dump)¹

  • Suche nach Objekten nach Name und/oder Typ

• Systeminformationsbetrachter

  • Startstatus und Starttyp
  • Code-Integritätsoptionen
  • Mitigationsflags
  • Windows-Version und Build

• Liste der geladenen Treiber anzeigen

  • Ausgewählten Treiber ausgeben (Dump)¹
  • Treiberliste in CSV-Datei exportieren
  • Zur Treiberdatei springen
  • „Shimmed“ Treiber (Kernel Shim Engine) erkennen¹
  • Treiberdateieigenschaften anzeigen

• Mailslots/Named Pipes anzeigen

  • Alle registrierten Mailslots/Named Pipes auflisten
  • Sicherheitsinformationen von Named Pipes bearbeiten⁴
  • Objektstatistiken

• Hierarchischer Prozessbaum-Betrachter²

  • Prozess-ID, Benutzername, EPROCESS-Adressen anzeigen
  • Prozesse nach Typ hervorheben (ähnlich wie Process Explorer)
  • Thread-Liste für ausgewählten Prozess anzeigen
  • ETHREAD-Adressen anzeigen
  • Allgemeine Eigenschaften für Prozess-/Threadobjekte:
    • Basiseigenschaften (wie bei anderen Objekttypen)
    • Startzeit
    • Prozesstyp
    • Bilddateiname
    • Befehlszeile
    • Aktuelles Verzeichnis
    • Angewandte Mitigations
    • Schutz
    • Status des Flags „Kritischer Prozess“
    • Sicherheitsbearbeitung
  • Zur Prozessdatei springen
  • Tokeninformationen für Prozess/Thread:
    • Benutzername
    • Benutzer-SID
    • AppContainer-SID
    • Sitzung
    • UIAccess
    • Erhöhungsstatus
    • Integritätsstufe
    • Berechtigungen und Gruppen
  • Zusätzliche Token-Eigenschaften:
    • Basiseigenschaften (wie bei anderen Objekttypen)
    • Sicherheitsattributliste
    • Sicherheitsbearbeitung

• Software Licensing Cache Anzeige

  • Registrierte Lizenzen auflisten
  • Lizenzdaten anzeigen
  • SL_DATA_BINARY-Lizenzdaten in Datei ausgeben

• Benutzerfreigegebene Daten (User Shared Data) anzeigen

  • Strukturierter Dump der wichtigsten Abschnitte von KUSER_SHARED_DATA

• Systemrückrufe (Callbacks) anzeigen¹

  • Rückrufadressen, Module und Details anzeigen für:
    • PsSetCreateProcessNotifyRoutine
    • PsSetCreateProcessNotifyRoutineEx
    • PsSetCreateProcessNotifyRoutineEx2
    • PsSetCreateThreadNotifyRoutine
    • PsSetCreateThreadNotifyRoutineEx
    • PsSetLoadImageNotifyRoutine
    • PsSetLoadImageNotifyRoutineEx
    • KeRegisterBugCheckCallback
    • KeRegisterBugCheckReasonCallback
    • CmRegisterCallback
    • CmRegisterCallbackEx
    • IoRegisterShutdownNotification
    • IoRegisterLastChanceShutdownNotification
    • PoRegisterPowerSettingCallback
    • SeRegisterLogonSessionTerminatedRoutine
    • SeRegisterLogonSessionTerminatedRoutineEx
    • IoRegisterFsRegistrationChange
    • IopFsListsCallbacks
    • IoRegisterPlugPlayNotification
    • ObRegisterCallbacks
    • DbgSetDebugPrintCallback
    • DbgkLkmdRegisterCallback
    • PsRegisterAltSystemCallHandler
    • CodeIntegrity SeCiCallbacks
    • ExRegisterExtension
    • PoRegisterCoalescingCallback
    • PsRegisterPicoProvider
    • KeRegisterNmiCallback
    • PsRegisterSiloMonitor
    • EmProviderRegister

• Privaten Windows-Objekt-Manager-Namespace anzeigen¹

  • Namespace-Eintragsinformationen
  • Details zur Grenzbeschreibung (Boundary Descriptor)
  • Allgemeine Objekteigenschaften

• KiServiceTable anzeigen¹

  • Dump der von Ntoskrnl verwalteten KiServiceTable (SSDT)
  • Zum Service-Eintragsmodul springen
  • In CSV-Datei exportieren

• W32pServiceTable anzeigen¹

  • Dump der von Win32k verwalteten W32pServiceTable (Shadow SSDT)
  • Unterstützung für Win32k-Importweiterleitung
  • Auflösung von Win32k-ApiSets
  • Zum Service-Eintragsmodul springen
  • In CSV-Datei exportieren

• CmControlVector anzeigen

  • Dump des Ntoskrnl-Arrays CmControlVector
  • Kernel-Speicherdaten in Datei exportieren¹
  • In CSV-Datei exportieren

• Zwischenablage-Integration: Objektadressen/-namen in die Zwischenablage kopieren

• Wine/Wine-Staging-Unterstützung³

• Plugin-Subsystem

  • Enthaltene Plugins:
    • ApiSetView: Windows ApiSetSchema-Betrachter (unterstützt das Laden von Schemas aus Datei)
    • Example plugin: Entwicklervorlage
    • Sonar: NDIS-Protokollbetrachter (zeigt Protokolldetails an)
    • ImageScope: Erweiterte Details für Objekte vom Typ Section (über Kontextmenü)

• Dokumentation

  • Windows-Rückrufe (Callbacks)
  • Plugin-Subsystem

1. Erfordert Treiberunterstützung (siehe Abschnitt „Treiberunterstützung“).
2. Administratorrechte können erforderlich sein.
3. Windows-Interna-Funktionen sind unter Wine/Wine-Staging nicht verfügbar.
4. Administratorrechte erforderlich für einige Named Pipes.

Treiberunterstützung

WinObjEx64 unterstützt zwei Arten von Treiberhilfen:

1. Hilfe für schreibgeschützten Zugriff auf den Kernel-Speicher:

   • Die Standardversion verwendet den Kernel Local Debugging Driver (KLDBGDRV) von WinDbg.
   • Erfordert:
     • Windows, das im Debug-Modus gestartet wurde (bcdedit -debug on)
     • WinObjEx64 wird mit Administratorrechten ausgeführt
   • Benutzerdefinierte Hilfstreiberversionen benötigen keinen Windows-Debug-Modus.
   • Es können mehrere Drittanbieter-Treiber als Helfer verwendet werden, aber standardmäßig ist nur der WinDbg-Typ-Treiber enthalten.

2. Hilfe für den Zugriff auf Objekt-Handles:

   • WinObjEx64 (jede Variante) unterstützt den Process Explorer-Treiber v1.5.2 zum Öffnen von Prozessen/Threads.
   • Aktivieren Sie dies, indem Sie sowohl Process Explorer als auch WinObjEx64 mit Administratorrechten ausführen.

Hinweis: Alle Treiberhelfer erfordern, dass WinObjEx64 mit Administratorrechten ausgeführt wird.