• Explore todo el espacio de nombres del Administrador de Objetos de Windows

  • Árbol jerárquico de objetos

  • Resolución de enlaces simbólicos

  • Información de versión para objetos de tipo Section respaldados por un archivo de imagen

  • Información adicional para objetos de tipo WindowStation

  • Ver detalles de objetos:

    • Descripciones
    • Banderas
    • Atributos no válidos
    • Tipo de pool de memoria
    • Información específica del tipo de objeto
    • Volcados de memoria de estructuras relacionadas con objetos¹:
      • ALPC_PORT
      • CALLBACK_OBJECT
      • DEVICE_OBJECT
      • DRIVER_OBJECT
      • DIRECTORY_OBJECT
      • FLT_SERVER_PORT_OBJECT
      • KEVENT
      • KMUTANT
      • KSEMAPHORE
      • KTIMER
      • KQUEUE (IoCompletion)
      • OBJECT_SYMBOLIC_LINK
      • OBJECT_TYPE
    • Identificadores abiertos
    • Estadísticas
    • Derechos de acceso admitidos
    • Etiqueta de confianza del proceso
    • Y más...

  • Visualización en subestructuras de volcado¹:

    • ALPC_PORT_ATTRIBUTES
    • DEVICE_MAP
    • LDR_DATA_TABLE_ENTRY
    • OBJECT_TYPE_INITIALIZER
    • UNICODE_STRING
    • Y muchos otros

  • Editar información de seguridad relacionada con objetos²

  • Detectar modificaciones de IRP en objetos de controlador (mediante volcado de estructura)¹

  • Detectar hooking de objetos del kernel (mediante volcado de estructura)¹

  • Buscar objetos por nombre y/o tipo

• Visor de información del sistema

  • Estado y tipo de arranque
  • Opciones de integridad de código
  • Banderas de mitigación
  • Versión y compilación de Windows

• Visor de lista de controladores cargados

  • Volcar el controlador seleccionado¹
  • Exportar lista de controladores a archivo CSV
  • Ir a la ubicación del archivo del controlador
  • Detectar controladores "shimmed" del Kernel Shim Engine¹
  • Ver propiedades del archivo del controlador

• Visor de Mailslots/Tuberías con nombre

  • Listar todos los mailslots/tuberías con nombre registrados
  • Editar información de seguridad de tuberías con nombre⁴
  • Estadísticas de objetos

• Visor de árbol de procesos jerárquico²

  • Mostrar ID de proceso, nombre de usuario, direcciones EPROCESS
  • Resaltar procesos por tipo (similar a Process Explorer)
  • Mostrar lista de hilos para el proceso seleccionado
  • Mostrar direcciones ETHREAD
  • Propiedades comunes para objetos Process/Thread:
    • Propiedades básicas (como otros tipos de objetos)
    • Hora de inicio
    • Tipo de proceso
    • Nombre del archivo de imagen
    • Línea de comandos
    • Directorio actual
    • Mitigaciones aplicadas
    • Protección
    • Estado de la bandera "Critical Process"
    • Edición de seguridad
  • Ir a la ubicación del archivo del proceso
  • Información del token de Process/Thread:
    • Nombre de usuario
    • SID de usuario
    • SID de AppContainer
    • Sesión
    • UIAccess
    • Estado de elevación
    • Nivel de integridad
    • Privilegios y grupos
  • Propiedades adicionales del token:
    • Propiedades básicas (como otros tipos de objetos)
    • Lista de atributos de seguridad
    • Edición de seguridad

• Visor de caché de licencias de software

  • Listar licencias registradas
  • Mostrar datos de licencia
  • Volcar datos de licencia SL_DATA_BINARY a un archivo

• Visor de datos compartidos de usuario

  • Volcado estructurado de secciones clave KUSER_SHARED_DATA

• Visor de callbacks del sistema¹

  • Mostrar direcciones, módulos y detalles de callback para:
    • PsSetCreateProcessNotifyRoutine
    • PsSetCreateProcessNotifyRoutineEx
    • PsSetCreateProcessNotifyRoutineEx2
    • PsSetCreateThreadNotifyRoutine
    • PsSetCreateThreadNotifyRoutineEx
    • PsSetLoadImageNotifyRoutine
    • PsSetLoadImageNotifyRoutineEx
    • KeRegisterBugCheckCallback
    • KeRegisterBugCheckReasonCallback
    • CmRegisterCallback
    • CmRegisterCallbackEx
    • IoRegisterShutdownNotification
    • IoRegisterLastChanceShutdownNotification
    • PoRegisterPowerSettingCallback
    • SeRegisterLogonSessionTerminatedRoutine
    • SeRegisterLogonSessionTerminatedRoutineEx
    • IoRegisterFsRegistrationChange
    • IopFsListsCallbacks
    • IoRegisterPlugPlayNotification
    • ObRegisterCallbacks
    • DbgSetDebugPrintCallback
    • DbgkLkmdRegisterCallback
    • PsRegisterAltSystemCallHandler
    • CodeIntegrity SeCiCallbacks
    • ExRegisterExtension
    • PoRegisterCoalescingCallback
    • PsRegisterPicoProvider
    • KeRegisterNmiCallback
    • PsRegisterSiloMonitor
    • EmProviderRegister

• Visor de espacio de nombres privado del Administrador de Objetos de Windows¹

  • Información de entrada de espacio de nombres
  • Detalles del descriptor de límites
  • Propiedades comunes de objetos

• Visor de KiServiceTable¹

  • Volcar KiServiceTable (SSDT) administrada por Ntoskrnl
  • Ir al módulo de entrada de servicio
  • Exportar a archivo CSV

• Visor de W32pServiceTable¹

  • Volcar W32pServiceTable (Shadow SSDT) administrada por Win32k
  • Soporte de reenvío de importación de Win32k
  • Resolución de ApiSets de Win32k
  • Ir al módulo de entrada de servicio
  • Exportar a archivo CSV

• Visor de CmControlVector

  • Volcar el array CmControlVector de Ntoskrnl
  • Exportar datos de memoria del kernel a un archivo¹
  • Exportar a archivo CSV

• Integración con el portapapeles: Copiar direcciones/nombres de objetos al portapapeles

• Soporte para Wine/Wine-Staging³

• Subsistema de plugins

  • Plugins incluidos:
    • ApiSetView: Visor de ApiSetSchema de Windows (admite carga de esquema desde archivo)
    • Example plugin: Plantilla para desarrolladores
    • Sonar: Visor de protocolos NDIS (vuelca detalles de protocolo)
    • ImageScope: Detalles mejorados de objetos de tipo Section (mediante menú contextual)

• Documentación

  • Callbacks de Windows
  • Subsistema de plugins

1. Requiere soporte de controlador (ver sección "Soporte de controlador").
2. Pueden requerirse privilegios de administrador.
3. Las funciones internas de Windows no están disponibles en Wine/Wine-Staging.
4. Se requieren privilegios de administrador para algunas tuberías con nombre.

Soporte de controlador

WinObjEx64 admite dos tipos de asistentes de controlador:

1. Asistente para acceso de solo lectura a la memoria del kernel:

   • La versión predeterminada utiliza el Controlador de depuración local del kernel (KLDBGDRV) de WinDbg.
   • Requiere:
     • Windows arrancado en modo depuración (bcdedit -debug on)
     • WinObjEx64 ejecutándose con privilegios de administrador
   • Las versiones personalizadas del controlador asistente no requieren modo de depuración de Windows.
   • Se pueden usar varios controladores de terceros como asistentes, aunque solo el controlador tipo WinDbg se incluye de forma predeterminada.

2. Asistente para acceder a identificadores de objetos:

   • WinObjEx64 (cualquier variante) admite el controlador de Process Explorer v1.5.2 para abrir procesos/hilos.
   • Habilitar ejecutando ambos, Process Explorer y WinObjEx64, con privilegios de administrador.

Nota: Todos los asistentes de controlador requieren que WinObjEx64 se ejecute con privilegios de administrador.