Explorer tout l'espace de noms du Gestionnaire d'objets Windows

• Arborescence hiérarchique des objets

• Résolution des liens symboliques

• Informations de version pour les objets de type Section basés sur un fichier image

• Informations supplémentaires pour les objets de type WindowStation

• Afficher les détails des objets :

  • Descriptions
  • Indicateurs
  • Attributs invalides
  • Type de pool mémoire
  • Informations spécifiques au type d'objet
  • Vidages mémoire des structures liées aux objets¹ :
    • ALPC_PORT
    • CALLBACK_OBJECT
    • DEVICE_OBJECT
    • DRIVER_OBJECT
    • DIRECTORY_OBJECT
    • FLT_SERVER_PORT_OBJECT
    • KEVENT
    • KMUTANT
    • KSEMAPHORE
    • KTIMER
    • KQUEUE (IoCompletion)
    • OBJECT_SYMBOLIC_LINK
    • OBJECT_TYPE
  • Handles ouverts
  • Statistiques
  • Droits d'accès pris en charge
  • Étiquette de confiance du processus
  • Et plus encore...

• Afficher dans les sous-structures de vidage¹ :

  • ALPC_PORT_ATTRIBUTES
  • DEVICE_MAP
  • LDR_DATA_TABLE_ENTRY
  • OBJECT_TYPE_INITIALIZER
  • UNICODE_STRING
  • Et bien d'autres

• Modifier les informations de sécurité liées aux objets²

• Détecter les modifications IRP des objets pilotes (via le vidage de structure)¹

• Détecter le hooking des objets noyau (via le vidage de structure)¹

• Rechercher des objets par nom et/ou type

Visionneuse d'informations système

• État et type de démarrage
• Options d'intégrité du code
• Indicateurs d'atténuation
• Version et build de Windows

Visionneuse de la liste des pilotes chargés

• Vider le pilote sélectionné¹
• Exporter la liste des pilotes vers un fichier CSV
• Accéder à l'emplacement du fichier du pilote
• Détecter les pilotes "shimmés" par le Kernel Shim Engine¹
• Afficher les propriétés du fichier du pilote

Visionneuse de mailslots/tubes nommés

• Lister tous les mailslots/tubes nommés enregistrés
• Modifier les informations de sécurité des tubes nommés⁴
• Statistiques des objets

Visionneuse hiérarchique de l'arborescence des processus²

• Afficher l'ID du processus, le nom d'utilisateur, les adresses EPROCESS
• Mettre en évidence les processus par type (similaire à Process Explorer)
• Afficher la liste des threads pour le processus sélectionné
• Afficher les adresses ETHREAD
• Propriétés communes pour les objets Processus/Thread :
  • Propriétés de base (comme pour les autres types d'objets)
  • Heure de début
  • Type de processus
  • Nom du fichier image
  • Ligne de commande
  • Répertoire actuel
  • Mesures d'atténuation appliquées
  • Protection
  • État du flag "Processus critique"
  • Édition de la sécurité
• Accéder à l'emplacement du fichier du processus
• Informations sur le jeton du processus/thread :
  • Nom d'utilisateur
  • SID utilisateur
  • SID AppContainer
  • Session
  • UIAccess
  • État d'élévation
  • Niveau d'intégrité
  • Privilèges et groupes
• Propriétés supplémentaires du jeton :
  • Propriétés de base (comme pour les autres types d'objets)
  • Liste des attributs de sécurité
  • Édition de la sécurité

Visionneuse du cache de licences logicielles

• Lister les licences enregistrées
• Afficher les données de licence
• Vider les données de licence SL_DATA_BINARY dans un fichier

Visionneuse des données partagées utilisateur

• Vidage structuré des sections clés de KUSER_SHARED_DATA

Visionneuse des rappels système¹

• Afficher les adresses des rappels, les modules et les détails pour :
  • PsSetCreateProcessNotifyRoutine
  • PsSetCreateProcessNotifyRoutineEx
  • PsSetCreateProcessNotifyRoutineEx2
  • PsSetCreateThreadNotifyRoutine
  • PsSetCreateThreadNotifyRoutineEx
  • PsSetLoadImageNotifyRoutine
  • PsSetLoadImageNotifyRoutineEx
  • KeRegisterBugCheckCallback
  • KeRegisterBugCheckReasonCallback
  • CmRegisterCallback
  • CmRegisterCallbackEx
  • IoRegisterShutdownNotification
  • IoRegisterLastChanceShutdownNotification
  • PoRegisterPowerSettingCallback
  • SeRegisterLogonSessionTerminatedRoutine
  • SeRegisterLogonSessionTerminatedRoutineEx
  • IoRegisterFsRegistrationChange
  • IopFsListsCallbacks
  • IoRegisterPlugPlayNotification
  • ObRegisterCallbacks
  • DbgSetDebugPrintCallback
  • DbgkLkmdRegisterCallback
  • PsRegisterAltSystemCallHandler
  • CodeIntegrity SeCiCallbacks
  • ExRegisterExtension
  • PoRegisterCoalescingCallback
  • PsRegisterPicoProvider
  • KeRegisterNmiCallback
  • PsRegisterSiloMonitor
  • EmProviderRegister

Visionneuse de l'espace de noms privé du Gestionnaire d'objets Windows¹

• Informations sur les entrées de l'espace de noms
• Détails du descripteur de limite
• Propriétés communes des objets

Visionneuse de KiServiceTable¹

• Vider KiServiceTable (SSDT) géré par Ntoskrnl
• Accéder au module d'entrée de service
• Exporter vers un fichier CSV

Visionneuse de W32pServiceTable¹

• Vider W32pServiceTable (SSDT fantôme) géré par Win32k
• Prise en charge du transfert d'importation Win32k
• Résolution des ApiSets Win32k
• Accéder au module d'entrée de service
• Exporter vers un fichier CSV

Visionneuse de CmControlVector

• Vider le tableau CmControlVector de Ntoskrnl
• Exporter les données mémoire du noyau vers un fichier¹
• Exporter vers un fichier CSV

Intégration du presse-papiers : Copier les adresses/noms des objets dans le presse-papiers

Prise en charge de Wine/Wine-Staging³

Sous-système de plugins

• Plugins inclus :
  • ApiSetView : Visionneuse du schéma ApiSet Windows (prend en charge le chargement du schéma à partir d'un fichier)
  • Exemple de plugin : Modèle pour développeurs
  • Sonar : Visionneuse des protocoles NDIS (affiche les détails du protocole)
  • ImageScope : Détails améliorés pour les objets de type Section (via le menu contextuel)

Documentation

• Rappels Windows
• Sous-système de plugins