wdm.h) (OB_PRE_OPERATION_INFORMATION 结构

  • 项目

OB_PRE_OPERATION_INFORMATION 结构向 ObjectPreCallback 例程提供有关进程或线程句柄操作的信息。

语法

typedef struct _OB_PRE_OPERATION_INFORMATION {
  OB_OPERATION                 Operation;
  union {
    ULONG Flags;
    struct {
      ULONG KernelHandle : 1;
      ULONG Reserved : 31;
    };
  };
  PVOID                        Object;
  POBJECT_TYPE                 ObjectType;
  PVOID                        CallContext;
  POB_PRE_OPERATION_PARAMETERS Parameters;
} OB_PRE_OPERATION_INFORMATION, *POB_PRE_OPERATION_INFORMATION;

成员

Operation

句柄操作的类型。 此成员可能是以下值之一：

OB_OPERATION_HANDLE_CREATE

将打开进程或线程的新句柄。 使用 Parameters-CreateHandleInformation> 获取特定于创建的信息。

OB_OPERATION_HANDLE_DUPLICATE

将复制进程或线程句柄。 使用 Parameters-DuplicateHandleInformation> 获取重复的特定信息。

Flags

保留。 请改用 KernelHandle 成员。

KernelHandle

一个位，指定句柄是否为内核句柄。 如果此成员为 TRUE，则句柄为内核句柄。 否则，此句柄不是内核句柄。

Reserved

预留给系统使用。

Object

指向作为句柄操作目标的进程或线程对象的指针。

ObjectType

指向 对象的对象类型的指针。 此成员是进程的 PsProcessType 或线程的 PsThreadType 。

CallContext

指向操作的特定于驱动程序的上下文信息的指针。 默认情况下，筛选器管理器将此成员设置为 NULL，但 ObjectPreCallback 例程可以特定于驱动程序的方式重置 CallContext 成员。 筛选器管理器将此值传递给匹配的 ObjectPostCallback 例程。

Parameters

指向包含操作特定信息的 OB_PRE_OPERATION_PARAMETERS 联合的指针。 Operation 成员确定联合的哪个成员有效。

要求

要求 值
最低受支持的客户端 在 Windows Server 2008 及更高版本的 Windows 操作系统中可用。
标头 wdm.h（包括 Wdm.h、Ntddk.h、Ntifs.h）

另请参阅

OB_PRE_OPERATION_PARAMETERS

ObjectPostCallback

ObjectPreCallback