• Esplora l'intero spazio dei nomi del Windows Object Manager

  • Albero gerarchico degli oggetti

  • Risoluzione dei collegamenti simbolici

  • Informazioni sulla versione per oggetti di tipo Section supportati da un file immagine

  • Informazioni aggiuntive per oggetti di tipo WindowStation

  • Visualizza i dettagli degli oggetti:

    • Descrizioni
    • Flag
    • Attributi non validi
    • Tipo di pool di memoria
    • Informazioni specifiche del tipo di oggetto
    • Dump della memoria delle strutture relative all'oggetto¹:
      • ALPC_PORT
      • CALLBACK_OBJECT
      • DEVICE_OBJECT
      • DRIVER_OBJECT
      • DIRECTORY_OBJECT
      • FLT_SERVER_PORT_OBJECT
      • KEVENT
      • KMUTANT
      • KSEMAPHORE
      • KTIMER
      • KQUEUE (IoCompletion)
      • OBJECT_SYMBOLIC_LINK
      • OBJECT_TYPE
    • Handle aperti
    • Statistiche
    • Diritti di accesso supportati
    • Etichetta di fiducia del processo
    • E altro ancora...

  • Visualizza nelle sotto-strutture del dump¹:

    • ALPC_PORT_ATTRIBUTES
    • DEVICE_MAP
    • LDR_DATA_TABLE_ENTRY
    • OBJECT_TYPE_INITIALIZER
    • UNICODE_STRING
    • E molti altri

  • Modifica le informazioni di sicurezza relative agli oggetti²

  • Rileva modifiche IRP negli oggetti driver (tramite dump delle strutture)¹

  • Rileva hooking del kernel negli oggetti (tramite dump delle strutture)¹

  • Cerca oggetti per nome e/o tipo

• Visualizzatore di informazioni di sistema

  • Stato e tipo di avvio
  • Opzioni di integrità del codice
  • Flag di mitigazione
  • Versione e build di Windows

• Visualizzatore dell'elenco dei driver caricati

  • Dump del driver selezionato¹
  • Esporta l'elenco dei driver in file CSV
  • Salta alla posizione del file del driver
  • Rileva driver "shimmed" dal Kernel Shim Engine¹
  • Visualizza le proprietà del file del driver

• Visualizzatore di mailslot/named pipe

  • Elenca tutti i mailslot/named pipe registrati
  • Modifica le informazioni di sicurezza delle named pipe⁴
  • Statistiche degli oggetti

• Visualizzatore dell'albero gerarchico dei processi²

  • Mostra ID processo, nome utente, indirizzi EPROCESS
  • Evidenzia i processi per tipo (simile a Process Explorer)
  • Mostra l'elenco dei thread per il processo selezionato
  • Mostra indirizzi ETHREAD
  • Proprietà comuni per oggetti Process/Thread:
    • Proprietà di base (come per altri tipi di oggetti)
    • Ora di inizio
    • Tipo di processo
    • Nome del file immagine
    • Riga di comando
    • Directory corrente
    • Mitigazioni applicate
    • Protezione
    • Stato del flag "Critical Process"
    • Modifica della sicurezza
  • Salta alla posizione del file del processo
  • Informazioni sul token del processo/thread:
    • Nome utente
    • SID utente
    • SID AppContainer
    • Sessione
    • UIAccess
    • Stato di elevazione
    • Livello di integrità
    • Privilegi e gruppi
  • Proprietà aggiuntive del token:
    • Proprietà di base (come per altri tipi di oggetti)
    • Elenco degli attributi di sicurezza
    • Modifica della sicurezza

• Visualizzatore della cache delle licenze software

  • Elenca le licenze registrate
  • Visualizza i dati della licenza
  • Dump dei dati della licenza SL_DATA_BINARY su file

• Visualizzatore dei dati utente condivisi

  • Dump strutturato delle sezioni chiave di KUSER_SHARED_DATA

• Visualizzatore delle callback di sistema¹

  • Mostra indirizzi, moduli e dettagli delle callback per:
    • PsSetCreateProcessNotifyRoutine
    • PsSetCreateProcessNotifyRoutineEx
    • PsSetCreateProcessNotifyRoutineEx2
    • PsSetCreateThreadNotifyRoutine
    • PsSetCreateThreadNotifyRoutineEx
    • PsSetLoadImageNotifyRoutine
    • PsSetLoadImageNotifyRoutineEx
    • KeRegisterBugCheckCallback
    • KeRegisterBugCheckReasonCallback
    • CmRegisterCallback
    • CmRegisterCallbackEx
    • IoRegisterShutdownNotification
    • IoRegisterLastChanceShutdownNotification
    • PoRegisterPowerSettingCallback
    • SeRegisterLogonSessionTerminatedRoutine
    • SeRegisterLogonSessionTerminatedRoutineEx
    • IoRegisterFsRegistrationChange
    • IopFsListsCallbacks
    • IoRegisterPlugPlayNotification
    • ObRegisterCallbacks
    • DbgSetDebugPrintCallback
    • DbgkLkmdRegisterCallback
    • PsRegisterAltSystemCallHandler
    • CodeIntegrity SeCiCallbacks
    • ExRegisterExtension
    • PoRegisterCoalescingCallback
    • PsRegisterPicoProvider
    • KeRegisterNmiCallback
    • PsRegisterSiloMonitor
    • EmProviderRegister

• Visualizzatore dello spazio dei nomi privato del Windows Object Manager¹

  • Informazioni sulle voci dello spazio dei nomi
  • Dettagli del descrittore di confine
  • Proprietà comuni degli oggetti

• Visualizzatore di KiServiceTable¹

  • Dump di KiServiceTable (SSDT) gestito da Ntoskrnl
  • Salta al modulo della voce di servizio
  • Esporta in file CSV

• Visualizzatore di W32pServiceTable¹

  • Dump di W32pServiceTable (Shadow SSDT) gestito da Win32k
  • Supporto per l'inoltro di importazione di Win32k
  • Risoluzione degli ApiSet di Win32k
  • Salta al modulo della voce di servizio
  • Esporta in file CSV

• Visualizzatore di CmControlVector

  • Dump dell'array CmControlVector di Ntoskrnl
  • Esporta i dati della memoria del kernel in un file¹
  • Esporta in file CSV

• Integrazione negli appunti: Copia indirizzi/nomi degli oggetti negli appunti

• Supporto per Wine/Wine-Staging³

• Sottosistema di plugin

  • Plugin inclusi:
    • ApiSetView: Visualizzatore di Windows ApiSetSchema (supporta il caricamento dello schema da file)
    • Example plugin: Template per sviluppatori
    • Sonar: Visualizzatore di protocolli NDIS (dump dei dettagli del protocollo)
    • ImageScope: Dettagli migliorati per oggetti di tipo Section (tramite menu contestuale)

• Documentazione

  • Callback di Windows
  • Sottosistema di plugin

1. Richiede il supporto del driver (vedere la sezione "Driver Support").
2. Potrebbero essere necessari privilegi amministrativi.
3. Le funzionalità interne di Windows non sono disponibili su Wine/Wine-Staging.
4. Per alcune named pipe sono necessari privilegi amministrativi.

Supporto driver

WinObjEx64 supporta due tipi di helper driver:

1. Helper per accesso in sola lettura alla memoria del kernel:

   • La versione predefinita utilizza il Kernel Local Debugging Driver (KLDBGDRV) di WinDbg.
   • Richiede:
     • Windows avviato in modalità debug (bcdedit -debug on)
     • WinObjEx64 eseguito con privilegi amministrativi
   • Le versioni personalizzate dell'helper driver non richiedono la modalità debug di Windows.
   • È possibile utilizzare diversi driver di terze parti come helper, ma per impostazione predefinita è incluso solo il driver di tipo WinDbg.

2. Helper per accedere agli handle degli oggetti:

   • WinObjEx64 (qualsiasi variante) supporta il driver Process Explorer v1.5.2 per l'apertura di processi/thread.
   • Abilitalo eseguendo sia Process Explorer che WinObjEx64 con privilegi amministrativi.

Nota: Tutti gli helper driver richiedono che WinObjEx64 venga eseguito con privilegi amministrativi.