• 浏览整个 Windows 对象管理器命名空间

  • 层次化对象树

  • 符号链接解析

  • 由映像文件支持的 Section 类型对象的版本信息

  • WindowStation 类型对象的附加信息

  • 查看对象详细信息：

    • 描述
    • 标志
    • 无效属性
    • 内存池类型
    • 对象类型特定信息
    • 对象相关结构内存转储¹：
      • ALPC_PORT
      • CALLBACK_OBJECT
      • DEVICE_OBJECT
      • DRIVER_OBJECT
      • DIRECTORY_OBJECT
      • FLT_SERVER_PORT_OBJECT
      • KEVENT
      • KMUTANT
      • KSEMAPHORE
      • KTIMER
      • KQUEUE (IoCompletion)
      • OBJECT_SYMBOLIC_LINK
      • OBJECT_TYPE
    • 已打开的句柄
    • 统计信息
    • 支持的访问权限
    • 进程信任标签
    • 以及更多...

  • 转储子结构显示¹：

    • ALPC_PORT_ATTRIBUTES
    • DEVICE_MAP
    • LDR_DATA_TABLE_ENTRY
    • OBJECT_TYPE_INITIALIZER
    • UNICODE_STRING
    • 以及许多其他

  • 编辑对象相关安全信息²

  • 检测驱动对象 IRP 修改（通过结构转储）¹

  • 检测内核对象挂钩（通过结构转储）¹

  • 按名称和/或类型搜索对象

• 系统信息查看器

  • 启动状态和类型
  • 代码完整性选项
  • 缓解标志
  • Windows 版本和内部版本

• 已加载驱动程序列表查看器

  • 转储所选驱动程序¹
  • 导出驱动程序列表到 CSV 文件
  • 跳转到驱动程序文件位置
  • 检测内核填充引擎“填充”的驱动程序¹
  • 查看驱动程序文件属性

• 邮件槽/命名管道查看器

  • 列出所有注册的邮件槽/命名管道
  • 编辑命名管道安全信息⁴
  • 对象统计信息

• 层次化进程树查看器²

  • 显示进程 ID、用户名、EPROCESS 地址
  • 按类型高亮显示进程（类似于进程资源管理器）
  • 显示选定进程的线程列表
  • 显示 ETHREAD 地址
  • 进程/线程对象的通用属性：
    • 基本属性（与其他对象类型相同）
    • 启动时间
    • 进程类型
    • 映像文件名
    • 命令行
    • 当前目录
    • 应用的缓解措施
    • 保护
    • “关键进程”标志状态
    • 安全编辑
  • 跳转到进程文件位置
  • 进程/线程令牌信息：
    • 用户名
    • 用户 SID
    • AppContainer SID
    • 会话
    • UIAccess
    • 提升状态
    • 完整性级别
    • 权限和组
  • 附加令牌属性：
    • 基本属性（与其他对象类型相同）
    • 安全属性列表
    • 安全编辑

• 软件授权缓存查看器

  • 列出已注册的许可证
  • 显示许可证数据
  • 将 SL_DATA_BINARY 许可证数据转储到文件

• 用户共享数据查看器

  • 关键 KUSER_SHARED_DATA 部分的结构化转储

• 系统回调查看器¹

  • 显示以下回调的地址、模块和详细信息：
    • PsSetCreateProcessNotifyRoutine
    • PsSetCreateProcessNotifyRoutineEx
    • PsSetCreateProcessNotifyRoutineEx2
    • PsSetCreateThreadNotifyRoutine
    • PsSetCreateThreadNotifyRoutineEx
    • PsSetLoadImageNotifyRoutine
    • PsSetLoadImageNotifyRoutineEx
    • KeRegisterBugCheckCallback
    • KeRegisterBugCheckReasonCallback
    • CmRegisterCallback
    • CmRegisterCallbackEx
    • IoRegisterShutdownNotification
    • IoRegisterLastChanceShutdownNotification
    • PoRegisterPowerSettingCallback
    • SeRegisterLogonSessionTerminatedRoutine
    • SeRegisterLogonSessionTerminatedRoutineEx
    • IoRegisterFsRegistrationChange
    • IopFsListsCallbacks
    • IoRegisterPlugPlayNotification
    • ObRegisterCallbacks
    • DbgSetDebugPrintCallback
    • DbgkLkmdRegisterCallback
    • PsRegisterAltSystemCallHandler
    • CodeIntegrity SeCiCallbacks
    • ExRegisterExtension
    • PoRegisterCoalescingCallback
    • PsRegisterPicoProvider
    • KeRegisterNmiCallback
    • PsRegisterSiloMonitor
    • EmProviderRegister

• Windows 对象管理器私有命名空间查看器¹

  • 命名空间条目信息
  • 边界描述符详细信息
  • 通用对象属性

• KiServiceTable 查看器¹

  • 转储由 Ntoskrnl 管理的 KiServiceTable (SSDT)
  • 跳转到服务条目模块
  • 导出到 CSV 文件

• W32pServiceTable 查看器¹

  • 转储由 Win32k 管理的 W32pServiceTable (Shadow SSDT)
  • 支持 Win32k 导入转发
  • Win32k ApiSets 解析
  • 跳转到服务条目模块
  • 导出到 CSV 文件

• CmControlVector 查看器

  • 转储 Ntoskrnl CmControlVector 数组
  • 导出内核内存数据到文件¹
  • 导出到 CSV 文件

• 剪贴板集成：将对象地址/名称复制到剪贴板

• Wine/Wine-Staging 支持³

• 插件子系统

  • 包含的插件：
    • ApiSetView：Windows ApiSetSchema 查看器（支持从文件加载架构）
    • 示例插件：开发者模板
    • Sonar：NDIS 协议查看器（转储协议详细信息）
    • ImageScope：增强的 Section 类型对象详细信息（通过上下文菜单）

• 文档

  • Windows 回调
  • 插件子系统

1. 需要驱动支持（参见“驱动支持”部分）。
2. 可能需要管理员权限。
3. Windows 内部功能在 Wine/Wine-Staging 上不可用。
4. 某些命名管道需要管理员权限。

驱动支持

WinObjEx64 支持两种类型的驱动助手：

1. 用于只读访问内核内存的助手：

   • 默认版本使用 WinDbg 中的 内核本地调试驱动 (KLDBGDRV)。
   • 需要：
     • Windows 以调试模式启动 (bcdedit -debug on)
     • WinObjEx64 以管理员权限运行
   • 自定义助手驱动版本 不 需要 Windows 调试模式。
   • 可以使用多个第三方驱动作为助手，但默认仅包含 WinDbg 类型 的驱动。

2. 用于访问对象句柄的助手：

   • WinObjEx64（任何变体）支持 进程资源管理器驱动 v1.5.2 以打开进程/线程。
   • 通过 同时 以管理员权限运行进程资源管理器和 WinObjEx64 来启用。

注意：所有驱动助手都需要 WinObjEx64 以管理员权限运行。