C++ 怎么在 Windows 内核驱动中使用 ObRegisterCallbacks 阻断句柄打开操作-C++-PHP中文网

不能。ObRegisterCallbacks仅提供回调通知，阻断需在PreOperation中返回OB_PREOP_BLOCK，但Windows 10 RS1后已禁用该状态用于常规句柄打开；实际须在PostOperation中ZwClose并修改ReturnStatus伪造失败。

c++ 怎么在 windows 内核驱动中使用 obregistercallbacks 阻断句柄打开操作

ObRegisterCallbacks 能否直接阻断句柄打开？

不能。ObRegisterCallbacks 本身不提供“阻断”语义，它只提供回调通知机制；真正决定是否允许打开句柄的是你在 PreOperationCallback 中返回的 OB_PREOP_CALLBACK_STATUS 值。只有返回 OB_PREOP_CALLBACK_STATUS::OB_PREOP_BLOCK 才会中止操作，但 Windows 从 10 1607（RS1）起已禁用该状态用于 ObOpenObjectByPointer 和 ObOpenObjectByName 类操作——即绝大多数句柄打开场景下，OB_PREOP_BLOCK 会被忽略，驱动会继续执行。

这意味着：你无法靠 ObRegisterCallbacks “干净拦截”一个 CreateFile 或 OpenProcess 调用。系统强制要求你走“放行 + 后置清理”或“伪造失败”的迂回路径。

实际可用的绕过方案：在 PostOperationCallback 中关闭句柄并伪造 STATUS_ACCESS_DENIED

这是目前最稳定、被微软文档隐式认可的做法：让系统完成句柄创建（Pre 回调返回 OB_PREOP_CALLBACK_STATUS::OB_PREOP_SUCCESS），然后在 PostOperationCallback 中立即调用 ZwClose 关闭它，并通过修改 OperationInformation->ReturnStatus 强制覆盖返回值为 STATUS_ACCESS_DENIED（或 STATUS_OBJECT_NAME_NOT_FOUND 等）。用户态看到的就是“打开失败”，且句柄从未真正可用。

必须检查 OperationInformation->Operation == OB_OPERATION_HANDLE_CREATE，避免误处理其他操作
ZwClose 必须在 KernelMode 下调用，且传入的是 OperationInformation->Object（不是 Handle）——注意：此处 Object 是内核对象指针，不是句柄值
修改 ReturnStatus 仅对当前调用生效，不影响后续逻辑；但若对象已部分初始化（如进程对象已注册到 PspActiveProcessHead），需额外考虑资源残留
不要在 Post 回调中调用可能导致等待的函数（如 KeWaitForSingleObject），否则可能引发死锁

ObRegisterCallbacks 注册前的关键检查与权限

调用 ObRegisterCallbacks 失败的常见原因不是代码写错，而是环境不满足：

直播间话术巡检-windows

直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。

下载

必须在 DriverEntry 中调用，且早于任何可能触发目标对象操作的逻辑（例如不能在创建设备对象之后才注册）
驱动必须有 SeTcbPrivilege（即以 SYSTEM 权限运行），普通服务账户或用户态加载的驱动会直接返回 STATUS_PRIVILEGE_NOT_HELD
目标系统需启用回调支持：ObRegisterCallbacks 在 Windows 7 SP1+ 可用，但默认开启；若系统策略禁用（如某些安全加固配置），会返回 STATUS_INVALID_PARAMETER
OBCALLBACK_REGISTRATION 结构中的 Altitude 必须唯一且符合规范（格式如 L"321000"），重复或非法海拔值导致注册失败

为什么 ZwClose 后还要改 ReturnStatus？

因为 ZwClose 关闭的是内核对象引用，而用户态收到的返回值来自系统调用本身的完成状态。如果不改 ReturnStatus，即使对象已被关掉，用户态仍会拿到 STATUS_SUCCESS 和一个无效句柄（后续操作触发 STATUS_INVALID_HANDLE），体验割裂且易被检测。改状态后，API 直接失败，行为等价于“从未成功打开”。

注意：修改 ReturnStatus 不影响 OperationInformation->HandleInfo->Handle 的值（它仍是有效句柄），所以你必须确保在修改状态前已完成 ZwClose；否则句柄泄露且状态又报错，系统可能崩溃。

真正的难点不在注册回调，而在精确识别哪些打开操作需要拦截、如何避免误杀系统关键组件（比如 AV/EDR 自身的句柄操作）、以及在多线程高并发下保持 ZwClose 和状态修改的原子性——这些没有 API 替你兜底。