• Explore todo o namespace do Gerenciador de Objetos do Windows

  • Árvore hierárquica de objetos

  • Resolução de links simbólicos

  • Informações de versão para objetos do tipo Section associados a um arquivo de imagem

  • Informações adicionais para objetos do tipo WindowStation

  • Visualize detalhes dos objetos:

    • Descrições
    • Flags
    • Atributos inválidos
    • Tipo de pool de memória
    • Informações específicas do tipo de objeto
    • Dumps de memória de estruturas relacionadas ao objeto¹:
      • ALPC_PORT
      • CALLBACK_OBJECT
      • DEVICE_OBJECT
      • DRIVER_OBJECT
      • DIRECTORY_OBJECT
      • FLT_SERVER_PORT_OBJECT
      • KEVENT
      • KMUTANT
      • KSEMAPHORE
      • KTIMER
      • KQUEUE (IoCompletion)
      • OBJECT_SYMBOLIC_LINK
      • OBJECT_TYPE
    • Handles abertos
    • Estatísticas
    • Direitos de acesso suportados
    • Rótulo de confiança do processo
    • E mais...

  • Exibição em subestruturas de dump¹:

    • ALPC_PORT_ATTRIBUTES
    • DEVICE_MAP
    • LDR_DATA_TABLE_ENTRY
    • OBJECT_TYPE_INITIALIZER
    • UNICODE_STRING
    • E muitas outras

  • Editar informações de segurança relacionadas a objetos²

  • Detectar modificações de IRP em objetos de driver (via dump de estrutura)¹

  • Detectar hooking de objetos do kernel (via dump de estrutura)¹

  • Pesquisar objetos por nome e/ou tipo

• Visualizador de informações do sistema

  • Estado e tipo de inicialização
  • Opções de Integridade de Código
  • Flags de mitigação
  • Versão e compilação do Windows

• Visualizador de lista de drivers carregados

  • Dump do driver selecionado¹
  • Exportar lista de drivers para arquivo CSV
  • Ir para o local do arquivo do driver
  • Detectar drivers "shimmed" pelo Kernel Shim Engine¹
  • Visualizar propriedades do arquivo do driver

• Visualizador de Mailslots/Named Pipes

  • Listar todos os mailslots/named pipes registrados
  • Editar informações de segurança de named pipes⁴
  • Estatísticas do objeto

• Visualizador hierárquico de árvore de processos²

  • Mostrar ID do processo, nome de usuário, endereços do EPROCESS
  • Destacar processos por tipo (semelhante ao Process Explorer)
  • Mostrar lista de threads para o processo selecionado
  • Mostrar endereços do ETHREAD
  • Propriedades comuns para objetos Process/Thread:
    • Propriedades básicas (como outros tipos de objeto)
    • Hora de início
    • Tipo de processo
    • Nome do arquivo de imagem
    • Linha de comando
    • Diretório atual
    • Mitigações aplicadas
    • Proteção
    • Estado da flag "Critical Process"
    • Edição de segurança
  • Ir para o local do arquivo do processo
  • Informações de token do processo/thread:
    • Nome de usuário
    • SID do usuário
    • SID do AppContainer
    • Sessão
    • UIAccess
    • Estado de elevação
    • Nível de integridade
    • Privilégios e grupos
  • Propriedades adicionais do token:
    • Propriedades básicas (como outros tipos de objeto)
    • Lista de atributos de segurança
    • Edição de segurança

• Visualizador de Cache de Licenciamento de Software

  • Listar licenças registradas
  • Exibir dados da licença
  • Dump dos dados de licença SL_DATA_BINARY para arquivo

• Visualizador de Dados Compartilhados do Usuário

  • Dump estruturado das seções-chave do KUSER_SHARED_DATA

• Visualizador de callbacks do sistema¹

  • Exibir endereços de callback, módulos e detalhes para:
    • PsSetCreateProcessNotifyRoutine
    • PsSetCreateProcessNotifyRoutineEx
    • PsSetCreateProcessNotifyRoutineEx2
    • PsSetCreateThreadNotifyRoutine
    • PsSetCreateThreadNotifyRoutineEx
    • PsSetLoadImageNotifyRoutine
    • PsSetLoadImageNotifyRoutineEx
    • KeRegisterBugCheckCallback
    • KeRegisterBugCheckReasonCallback
    • CmRegisterCallback
    • CmRegisterCallbackEx
    • IoRegisterShutdownNotification
    • IoRegisterLastChanceShutdownNotification
    • PoRegisterPowerSettingCallback
    • SeRegisterLogonSessionTerminatedRoutine
    • SeRegisterLogonSessionTerminatedRoutineEx
    • IoRegisterFsRegistrationChange
    • IopFsListsCallbacks
    • IoRegisterPlugPlayNotification
    • ObRegisterCallbacks
    • DbgSetDebugPrintCallback
    • DbgkLkmdRegisterCallback
    • PsRegisterAltSystemCallHandler
    • CodeIntegrity SeCiCallbacks
    • ExRegisterExtension
    • PoRegisterCoalescingCallback
    • PsRegisterPicoProvider
    • KeRegisterNmiCallback
    • PsRegisterSiloMonitor
    • EmProviderRegister

• Visualizador de namespace privado do Gerenciador de Objetos do Windows¹

  • Informações de entrada do namespace
  • Detalhes do descritor de limite
  • Propriedades comuns do objeto

• Visualizador da KiServiceTable¹

  • Dump da KiServiceTable (SSDT) gerenciada pelo Ntoskrnl
  • Ir para o módulo da entrada de serviço
  • Exportar para arquivo CSV

• Visualizador da W32pServiceTable¹

  • Dump da W32pServiceTable (Shadow SSDT) gerenciada pelo Win32k
  • Suporte a encaminhamento de importação do Win32k
  • Resolução de ApiSets do Win32k
  • Ir para o módulo da entrada de serviço
  • Exportar para arquivo CSV

• Visualizador de CmControlVector

  • Dump do array CmControlVector do Ntoskrnl
  • Exportar dados de memória do kernel para arquivo¹
  • Exportar para arquivo CSV

• Integração com a área de transferência: Copiar endereços/nomes de objetos para a área de transferência

• Suporte a Wine/Wine-Staging³

• Subsistema de plugins

  • Plugins incluídos:
    • ApiSetView: Visualizador do ApiSetSchema do Windows (suporta carregar esquema de arquivo)
    • Example plugin: Modelo para desenvolvedores
    • Sonar: Visualizador de protocolos NDIS (exibe detalhes do protocolo)
    • ImageScope: Detalhes aprimorados de objetos do tipo Section (via menu de contexto)

• Documentação

  • Callbacks do Windows
  • Subsistema de plugins

1. Requer suporte a driver (consulte a seção "Suporte a Driver").
2. Privilégios de administrador podem ser necessários.
3. Recursos internos do Windows indisponíveis no Wine/Wine-Staging.
4. Privilégios de administrador necessários para alguns named pipes.

Suporte a Driver

O WinObjEx64 suporta dois tipos de auxiliares de driver:

1. Auxiliar para acesso somente leitura à memória do kernel:

   • A versão padrão usa o Kernel Local Debugging Driver (KLDBGDRV) do WinDbg.
   • Requer:
     • Windows inicializado em modo de depuração (bcdedit -debug on)
     • WinObjEx64 executado com privilégios de administrador
   • Versões personalizadas do auxiliar de driver não requerem o modo de depuração do Windows.
   • Vários drivers de terceiros podem ser usados como auxiliares, embora apenas o driver do tipo WinDbg seja incluído por padrão.

2. Auxiliar para acessar handles de objetos:

   • O WinObjEx64 (qualquer variante) suporta o driver do Process Explorer v1.5.2 para abrir processos/threads.
   • Ative executando ambos o Process Explorer e o WinObjEx64 com privilégios de administrador.

Nota: Todos os auxiliares de driver exigem que o WinObjEx64 seja executado com privilégios administrativos.