Explore todo el espacio de nombres del Administrador de Objetos de Windows

• Árbol jerárquico de objetos

• Resolución de enlaces simbólicos

• Información de versión para objetos de tipo Section respaldados por un archivo de imagen

• Información adicional para objetos de tipo WindowStation

• Ver detalles de objetos:

  • Descripciones
  • Banderas
  • Atributos no válidos
  • Tipo de pool de memoria
  • Información específica del tipo de objeto
  • Volcados de memoria de estructuras relacionadas con objetos¹:
    • ALPC_PORT
    • CALLBACK_OBJECT
    • DEVICE_OBJECT
    • DRIVER_OBJECT
    • DIRECTORY_OBJECT
    • FLT_SERVER_PORT_OBJECT
    • KEVENT
    • KMUTANT
    • KSEMAPHORE
    • KTIMER
    • KQUEUE (IoCompletion)
    • OBJECT_SYMBOLIC_LINK
    • OBJECT_TYPE
  • Identificadores abiertos
  • Estadísticas
  • Derechos de acceso admitidos
  • Etiqueta de confianza del proceso
  • Y más...

• Visualización en subestructuras de volcado¹:

  • ALPC_PORT_ATTRIBUTES
  • DEVICE_MAP
  • LDR_DATA_TABLE_ENTRY
  • OBJECT_TYPE_INITIALIZER
  • UNICODE_STRING
  • Y muchos otros

• Editar información de seguridad relacionada con objetos²

• Detectar modificaciones de IRP en objetos de controlador (mediante volcado de estructura)¹

• Detectar hooking de objetos del kernel (mediante volcado de estructura)¹

• Buscar objetos por nombre y/o tipo

Visor de información del sistema

• Estado y tipo de arranque
• Opciones de integridad de código
• Banderas de mitigación
• Versión y compilación de Windows

Visor de lista de controladores cargados

• Volcar el controlador seleccionado¹
• Exportar lista de controladores a archivo CSV
• Ir a la ubicación del archivo del controlador
• Detectar controladores "shimmed" del Kernel Shim Engine¹
• Ver propiedades del archivo del controlador

Visor de Mailslots/Tuberías con nombre

• Listar todos los mailslots/tuberías con nombre registrados
• Editar información de seguridad de tuberías con nombre⁴
• Estadísticas de objetos

Visor de árbol de procesos jerárquico²

• Mostrar ID de proceso, nombre de usuario, direcciones EPROCESS
• Resaltar procesos por tipo (similar a Process Explorer)
• Mostrar lista de hilos para el proceso seleccionado
• Mostrar direcciones ETHREAD
• Propiedades comunes para objetos Process/Thread:
  • Propiedades básicas (como otros tipos de objetos)
  • Hora de inicio
  • Tipo de proceso
  • Nombre del archivo de imagen
  • Línea de comandos
  • Directorio actual
  • Mitigaciones aplicadas
  • Protección
  • Estado de la bandera "Critical Process"
  • Edición de seguridad
• Ir a la ubicación del archivo del proceso
• Información del token de Process/Thread:
  • Nombre de usuario
  • SID de usuario
  • SID de AppContainer
  • Sesión
  • UIAccess
  • Estado de elevación
  • Nivel de integridad
  • Privilegios y grupos
• Propiedades adicionales del token:
  • Propiedades básicas (como otros tipos de objetos)
  • Lista de atributos de seguridad
  • Edición de seguridad

Visor de caché de licencias de software

• Listar licencias registradas
• Mostrar datos de licencia
• Volcar datos de licencia SL_DATA_BINARY a un archivo

Visor de datos compartidos de usuario

• Volcado estructurado de secciones clave KUSER_SHARED_DATA

Visor de callbacks del sistema¹

• Mostrar direcciones, módulos y detalles de callback para:
  • PsSetCreateProcessNotifyRoutine
  • PsSetCreateProcessNotifyRoutineEx
  • PsSetCreateProcessNotifyRoutineEx2
  • PsSetCreateThreadNotifyRoutine
  • PsSetCreateThreadNotifyRoutineEx
  • PsSetLoadImageNotifyRoutine
  • PsSetLoadImageNotifyRoutineEx
  • KeRegisterBugCheckCallback
  • KeRegisterBugCheckReasonCallback
  • CmRegisterCallback
  • CmRegisterCallbackEx
  • IoRegisterShutdownNotification
  • IoRegisterLastChanceShutdownNotification
  • PoRegisterPowerSettingCallback
  • SeRegisterLogonSessionTerminatedRoutine
  • SeRegisterLogonSessionTerminatedRoutineEx
  • IoRegisterFsRegistrationChange
  • IopFsListsCallbacks
  • IoRegisterPlugPlayNotification
  • ObRegisterCallbacks
  • DbgSetDebugPrintCallback
  • DbgkLkmdRegisterCallback
  • PsRegisterAltSystemCallHandler
  • CodeIntegrity SeCiCallbacks
  • ExRegisterExtension
  • PoRegisterCoalescingCallback
  • PsRegisterPicoProvider
  • KeRegisterNmiCallback
  • PsRegisterSiloMonitor
  • EmProviderRegister

Visor de espacio de nombres privado del Administrador de Objetos de Windows¹

• Información de entrada de espacio de nombres
• Detalles del descriptor de límites
• Propiedades comunes de objetos

Visor de KiServiceTable¹

• Volcar KiServiceTable (SSDT) administrada por Ntoskrnl
• Ir al módulo de entrada de servicio
• Exportar a archivo CSV

Visor de W32pServiceTable¹

• Volcar W32pServiceTable (Shadow SSDT) administrada por Win32k
• Soporte de reenvío de importación de Win32k
• Resolución de ApiSets de Win32k
• Ir al módulo de entrada de servicio
• Exportar a archivo CSV

Visor de CmControlVector

• Volcar el array CmControlVector de Ntoskrnl
• Exportar datos de memoria del kernel a un archivo¹
• Exportar a archivo CSV

Integración con el portapapeles: Copiar direcciones/nombres de objetos al portapapeles

Soporte para Wine/Wine-Staging³

Subsistema de plugins

• Plugins incluidos:
  • ApiSetView: Visor de ApiSetSchema de Windows (admite carga de esquema desde archivo)
  • Example plugin: Plantilla para desarrolladores
  • Sonar: Visor de protocolos NDIS (vuelca detalles de protocolo)
  • ImageScope: Detalles mejorados de objetos de tipo Section (mediante menú contextual)

Documentación

• Callbacks de Windows
• Subsistema de plugins