• Исследование всего пространства имён диспетчера объектов Windows

  • Иерархическое дерево объектов

  • Разрешение символических ссылок

  • Информация о версии для объектов типа Section, поддерживаемых файлом образа

  • Дополнительная информация для объектов типа WindowStation

  • Просмотр деталей объектов:

    • Описания
    • Флаги
    • Недопустимые атрибуты
    • Тип пула памяти
    • Информация, специфичная для типа объекта
    • Дампы памяти структур, связанных с объектами¹:
      • ALPC_PORT
      • CALLBACK_OBJECT
      • DEVICE_OBJECT
      • DRIVER_OBJECT
      • DIRECTORY_OBJECT
      • FLT_SERVER_PORT_OBJECT
      • KEVENT
      • KMUTANT
      • KSEMAPHORE
      • KTIMER
      • KQUEUE (IoCompletion)
      • OBJECT_SYMBOLIC_LINK
      • OBJECT_TYPE
    • Открытые дескрипторы
    • Статистика
    • Поддерживаемые права доступа
    • Метка доверия процесса
    • И многое другое...

  • Отображение в подструктурах дампа¹:

    • ALPC_PORT_ATTRIBUTES
    • DEVICE_MAP
    • LDR_DATA_TABLE_ENTRY
    • OBJECT_TYPE_INITIALIZER
    • UNICODE_STRING
    • И многие другие

  • Редактирование информации о безопасности объектов²

  • Обнаружение модификаций IRP в объекте драйвера (через дамп структуры)¹

  • Обнаружение перехвата объектов ядра (через дамп структуры)¹

  • Поиск объектов по имени и/или типу

• Просмотр информации о системе

  • Состояние и тип загрузки
  • Параметры целостности кода
  • Флаги защиты
  • Версия и сборка Windows

• Просмотр списка загруженных драйверов

  • Дамп выбранного драйвера¹
  • Экспорт списка драйверов в CSV-файл
  • Переход к расположению файла драйвера
  • Обнаружение драйверов, обработанных Kernel Shim Engine¹
  • Просмотр свойств файла драйвера

• Просмотр почтовых слотов/именованных каналов

  • Список всех зарегистрированных почтовых слотов/именованных каналов
  • Редактирование информации о безопасности именованных каналов⁴
  • Статистика объектов

• Иерархическое дерево процессов²

  • Показать ID процесса, имя пользователя, адреса EPROCESS
  • Выделение процессов по типу (как в Process Explorer)
  • Показать список потоков для выбранного процесса
  • Показать адреса ETHREAD
  • Общие свойства для объектов процессов/потоков:
    • Базовые свойства (как для других типов объектов)
    • Время запуска
    • Тип процесса
    • Имя файла образа
    • Командная строка
    • Текущий каталог
    • Применённые меры защиты
    • Защита
    • Состояние флага «Критический процесс»
    • Редактирование безопасности
  • Переход к расположению файла процесса
  • Информация о токене процесса/потока:
    • Имя пользователя
    • SID пользователя
    • SID контейнера приложения
    • Сеанс
    • UIAccess
    • Состояние повышения привилегий
    • Уровень целостности
    • Привилегии и группы
  • Дополнительные свойства токена:
    • Базовые свойства (как для других типов объектов)
    • Список атрибутов безопасности
    • Редактирование безопасности

• Просмотр кэша лицензирования ПО

  • Список зарегистрированных лицензий
  • Отображение данных лицензии
  • Дамп данных лицензии SL_DATA_BINARY в файл

• Просмотр общих данных пользователя

  • Структурированный дамп ключевых разделов KUSER_SHARED_DATA

• Просмотр системных обратных вызовов¹

  • Отображение адресов обратных вызовов, модулей и деталей для:
    • PsSetCreateProcessNotifyRoutine
    • PsSetCreateProcessNotifyRoutineEx
    • PsSetCreateProcessNotifyRoutineEx2
    • PsSetCreateThreadNotifyRoutine
    • PsSetCreateThreadNotifyRoutineEx
    • PsSetLoadImageNotifyRoutine
    • PsSetLoadImageNotifyRoutineEx
    • KeRegisterBugCheckCallback
    • KeRegisterBugCheckReasonCallback
    • CmRegisterCallback
    • CmRegisterCallbackEx
    • IoRegisterShutdownNotification
    • IoRegisterLastChanceShutdownNotification
    • PoRegisterPowerSettingCallback
    • SeRegisterLogonSessionTerminatedRoutine
    • SeRegisterLogonSessionTerminatedRoutineEx
    • IoRegisterFsRegistrationChange
    • IopFsListsCallbacks
    • IoRegisterPlugPlayNotification
    • ObRegisterCallbacks
    • DbgSetDebugPrintCallback
    • DbgkLkmdRegisterCallback
    • PsRegisterAltSystemCallHandler
    • CodeIntegrity SeCiCallbacks
    • ExRegisterExtension
    • PoRegisterCoalescingCallback
    • PsRegisterPicoProvider
    • KeRegisterNmiCallback
    • PsRegisterSiloMonitor
    • EmProviderRegister

• Просмотр частного пространства имён диспетчера объектов Windows¹

  • Информация о записи пространства имён
  • Детали дескриптора границы
  • Общие свойства объектов

• Просмотр KiServiceTable¹

  • Дамп KiServiceTable (SSDT), управляемого Ntoskrnl
  • Переход к модулю точки входа службы
  • Экспорт в CSV-файл

• Просмотр W32pServiceTable¹

  • Дамп W32pServiceTable (Shadow SSDT), управляемого Win32k
  • Поддержка перенаправления импорта Win32k
  • Разрешение ApiSets Win32k
  • Переход к модулю точки входа службы
  • Экспорт в CSV-файл

• Просмотр CmControlVector

  • Дамп массива CmControlVector из Ntoskrnl
  • Экспорт данных памяти ядра в файл¹
  • Экспорт в CSV-файл

• Интеграция с буфером обмена: Копирование адресов/имён объектов в буфер обмена

• Поддержка Wine/Wine-Staging³

• Подсистема плагинов

  • Включённые плагины:
    • ApiSetView: Просмотрщик Windows ApiSetSchema (поддерживает загрузку схемы из файла)
    • Example plugin: Шаблон для разработчика
    • Sonar: Просмотрщик протоколов NDIS (дамп деталей протоколов)
    • ImageScope: Расширенные детали объектов типа Section (через контекстное меню)

• Документация

  • Обратные вызовы Windows
  • Подсистема плагинов

1. Требуется поддержка драйвера (см. раздел «Поддержка драйвера»).
2. Могут потребоваться права администратора.
3. Функции внутреннего устройства Windows недоступны в Wine/Wine-Staging.
4. Для некоторых именованных каналов требуются права администратора.

Поддержка драйвера

WinObjEx64 поддерживает два типа вспомогательных драйверов:

1. Вспомогательный драйвер для доступа только для чтения к памяти ядра:

   • Версия по умолчанию использует Kernel Local Debugging Driver (KLDBGDRV) из WinDbg.
   • Требует:
     • Windows загружена в режиме отладки (bcdedit -debug on)
     • WinObjEx64 запущен с правами администратора
   • Пользовательские версии вспомогательного драйвера не требуют режима отладки Windows.
   • Можно использовать несколько сторонних драйверов в качестве вспомогательных, но по умолчанию включён только драйвер типа WinDbg.

2. Вспомогательный драйвер для доступа к дескрипторам объектов:

   • WinObjEx64 (любой вариант) поддерживает драйвер Process Explorer v1.5.2 для открытия процессов/потоков.
   • Включается запуском как Process Explorer, так и WinObjEx64 с правами администратора.

Примечание: Все вспомогательные драйверы требуют запуска WinObjEx64 с правами администратора.