WOW64でHANDLE作成をトラップする

Question

サードパーティのバイナリ（ソースなし）の起動が遅い場合のトラブルシューティングを試みています。これは、64ビットWindows 7上で動作する32ビットアプリケーションです。

起動時にCPU使用率が0％になるとデバッガを使用してアプリケーションに侵入しましたが、ReadFileを待っているようです戻る。 ReadFileの最初の引数はハンドル値000000f0です。 windbgのの!handleコマンドは私に語った：

Handle f0 
    Type   File 
    Attributes  0 
    GrantedAccess 0x120189: 
     ReadControl,Synch 
     Read/List,ReadEA,ReadAttr,WriteAttr 
    HandleCount  2 
    PointerCount 4 
    No Object Specific Information available 

私はこれが何に該当するデバイスを知りたいです。しかし、Sysinternals Process Explorerは、このハンドルをプロセスハンドルの一覧に含めません。

windbgを使用してすべての呼び出しをntdll!NtCreateFileにトレースし、パスと返されたハンドルを出力しました。このハンドルはその中にありません。 kernel32!CreateNamedPipeW、kernel32!CallNamedPipeW、およびkernel32!WaitNamedPipeWのブレークポイントは決して起動されません（プロセスエクスプローラがパス\Device\NamedPipe\を持つ別のハンドルを表示したために奇妙です）。

bp ntdll!NtCreateFile "!ustr poi(@r8+10) ; r $t0 = @rcx ; gu ; dd @$t0 L1 ; gc" 

Thanks to Skywing for pointing me in the right direction on that：

は参考のため、ここではWindowsのx64でNtCreateFileをトレースするためのコマンド（akak ZwCreateFile）です。

Fileのハンドルは他にどこから来ますか？他のHANDLE作成関数は実際のシステムコールのためにNtCreateFileに委譲していませんか？

Answer 1

カーネルデバッグを行うときにのみ、ファイルハンドル情報を取得できるようです。したがって、3つのオプションがあります。

1. ローカルマシンのカーネルデバッグを実行します。これは、ファイルハンドル情報を取得するだけで静的になるため、問題ではありません。以下を参照してください。http://msdn.microsoft.com/en-us/library/windows/hardware/ff553382(v=vs.85).aspx
2. VMマシンのリモートカーネルデバッグを行います。あなたのマシンを爆破することはできません。
3. あなたの箱をBSODで見て、そのようにダンプを見てください。再びあなたの箱にするのはとても素晴らしいことではありませんが、機械の状態を変えずに機械を完全に分析できるようにする必要があるときに、私はこれまで同様のことをしてきました。

Answer 2

ハンドルは継承することも、DuplicateHandle（）によって作成することもできます。ハンドル上でGetFileInformationByHandleExを呼び出し、FileNameInfoを照会することができます。