• Windows Object Manager 네임스페이스 전체 탐색

  • 계층적 객체 트리

  • 심볼릭 링크 확인

  • 이미지 파일로 백업된 Section 유형 객체의 버전 정보

  • WindowStation 유형 객체의 추가 정보

  • 객체 세부 정보 보기:

    • 설명
    • 플래그
    • 잘못된 속성
    • 메모리 풀 유형
    • 객체 유형별 정보
    • 객체 관련 구조체 메모리 덤프¹:
      • ALPC_PORT
      • CALLBACK_OBJECT
      • DEVICE_OBJECT
      • DRIVER_OBJECT
      • DIRECTORY_OBJECT
      • FLT_SERVER_PORT_OBJECT
      • KEVENT
      • KMUTANT
      • KSEMAPHORE
      • KTIMER
      • KQUEUE (IoCompletion)
      • OBJECT_SYMBOLIC_LINK
      • OBJECT_TYPE

  • 덤프 하위 구조체 표시¹:

    • ALPC_PORT_ATTRIBUTES
    • DEVICE_MAP
    • LDR_DATA_TABLE_ENTRY
    • OBJECT_TYPE_INITIALIZER
    • UNICODE_STRING
    • 기타 여러 구조체

  • 객체 관련 보안 정보 편집²

  • 드라이버 객체 IRP 수정 감지 (구조체 덤프를 통해)¹

  • 커널 객체 후킹 감지 (구조체 덤프를 통해)¹

  • 이름 및/또는 유형별 객체 검색

• 시스템 정보 뷰어

  • 부팅 상태 및 유형
  • 코드 무결성 옵션
  • 완화 플래그
  • Windows 버전 및 빌드

• 로드된 드라이버 목록 뷰어

  • 선택한 드라이버 덤프¹
  • 드라이버 목록을 CSV 파일로 내보내기
  • 드라이버 파일 위치로 이동
  • Kernel Shim Engine "shimmed" 드라이버 감지¹
  • 드라이버 파일 속성 보기

• 메일슬롯/명명된 파이프 뷰어

  • 등록된 모든 메일슬롯/명명된 파이프 나열
  • 명명된 파이프 보안 정보 편집⁴
  • 객체 통계

• 계층적 프로세스 트리 뷰어²

  • 프로세스 ID, 사용자 이름, EPROCESS 주소 표시
  • 프로세스 유형별 강조 표시 (Process Explorer와 유사)
  • 선택한 프로세스의 스레드 목록 표시
  • ETHREAD 주소 표시
  • 프로세스/스레드 객체의 공통 속성:
    • 기본 속성 (다른 객체 유형과 동일)
    • 시작 시간
    • 프로세스 유형
    • 이미지 파일 이름
    • 명령줄
    • 현재 디렉터리
    • 적용된 완화
    • 보호
    • "Critical Process" 플래그 상태
    • 보안 편집
  • 프로세스 파일 위치로 이동
  • 프로세스/스레드 토큰 정보:
    • 사용자 이름
    • 사용자 SID
    • AppContainer SID
    • 세션
    • UIAccess
    • 상승 상태
    • 무결성 수준
    • 권한 및 그룹
  • 추가 토큰 속성:
    • 기본 속성 (다른 객체 유형과 동일)
    • 보안 속성 목록
    • 보안 편집

• Software Licensing Cache 뷰어

  • 등록된 라이선스 나열
  • 라이선스 데이터 표시
  • SL_DATA_BINARY 라이선스 데이터를 파일로 덤프

• User Shared Data 뷰어

  • 주요 KUSER_SHARED_DATA 섹션의 구조화된 덤프

• 시스템 콜백 뷰어¹

  • 다음에 대한 콜백 주소, 모듈 및 세부 정보 표시:
    • PsSetCreateProcessNotifyRoutine
    • PsSetCreateProcessNotifyRoutineEx
    • PsSetCreateProcessNotifyRoutineEx2
    • PsSetCreateThreadNotifyRoutine
    • PsSetCreateThreadNotifyRoutineEx
    • PsSetLoadImageNotifyRoutine
    • PsSetLoadImageNotifyRoutineEx
    • KeRegisterBugCheckCallback
    • KeRegisterBugCheckReasonCallback
    • CmRegisterCallback
    • CmRegisterCallbackEx
    • IoRegisterShutdownNotification

• Windows Object Manager 전용 네임스페이스 뷰어¹

  • 네임스페이스 항목 정보
  • 경계 설명자 세부 정보
  • 공통 객체 속성

• KiServiceTable 뷰어¹

  • Ntoskrnl 관리 KiServiceTable (SSDT) 덤프
  • 서비스 진입 모듈로 이동
  • CSV 파일로 내보내기

• W32pServiceTable 뷰어¹

  • Win32k 관리 W32pServiceTable (Shadow SSDT) 덤프
  • Win32k 가져오기 전달 지원
  • Win32k ApiSets 확인
  • 서비스 진입 모듈로 이동
  • CSV 파일로 내보내기

• CmControlVector 뷰어

  • Ntoskrnl CmControlVector 배열 덤프
  • 커널 메모리 데이터를 파일로 내보내기¹
  • CSV 파일로 내보내기

• 클립보드 통합: 객체 주소/이름을 클립보드에 복사

• Wine/Wine-Staging 지원³

• 플러그인 하위 시스템

  • 포함된 플러그인:
    • ApiSetView: Windows ApiSetSchema 뷰어 (파일에서 스키마 로드 지원)
    • Example plugin: 개발자 템플릿
    • Sonar: NDIS 프로토콜 뷰어 (프로토콜 세부 정보 덤프)
    • ImageScope: 향상된 Section 유형 객체 세부 정보 (컨텍스트 메뉴를 통해)

• 문서

  • Windows 콜백
  • 플러그인 하위 시스템

1. 드라이버 지원 필요 ("드라이버 지원" 섹션 참조).
2. 관리자 권한이 필요할 수 있습니다.
3. Windows 내부 기능은 Wine/Wine-Staging에서 사용할 수 없습니다.
4. 일부 명명된 파이프는 관리자 권한이 필요합니다.

드라이버 지원

WinObjEx64는 두 가지 유형의 드라이버 도우미를 지원합니다:

1. 커널 메모리 읽기 전용 액세스용 도우미:

   • 기본 버전은 WinDbg의 **Kernel Local Debugging Driver (KLDBGDRV)**를 사용합니다.
   • 필요 조건:
     • Windows가 디버그 모드로 부팅됨 (bcdedit -debug on)
     • WinObjEx64가 관리자 권한으로 실행 중
   • 사용자 지정 도우미 드라이버 버전은 Windows 디버그 모드가 필요하지 않습니다.
   • 여러 타사 드라이버를 도우미로 사용할 수 있지만, 기본적으로는 WinDbg 유형 드라이버만 포함됩니다.

2. 객체 핸들 액세스용 도우미:

   • WinObjEx64 (모든 변형)는 프로세스/스레드 열기를 위해 Process Explorer 드라이버 v1.5.2를 지원합니다.
   • Process Explorer와 WinObjEx64를 모두 관리자 권한으로 실행하여 활성화합니다.

참고: 모든 드라이버 도우미는 WinObjEx64가 관리자 권한으로 실행되어야 합니다.