Windows内核-句柄表

如果你在做游戏安全、游戏逆向，或者只是被某个进程保护问题卡住过，这门课的名字——句柄表——大概会让你先愣一下：句柄天天用，但句柄表长什么样、内核怎么管它，多数人其实说不上来。这门课就补这一块。

先确认你缺的是哪一块

调用过 OpenProcess、拿到过 HANDLE、用 CloseHandle 关掉过——这些是 API 层面的用法，不是内核层面的理解。真正的缺口通常出现在下面几种场景：

• 想对某个受保护的游戏进程做操作，发现句柄拿不到，或者拿到了也做不了想做的事；
• 听说过「全局句柄」和「私有句柄」的区别，但说不清两者在内核里到底怎么分开存放、怎么查找；
• 想给进程提权或降权，却只会调 API，不知道权限位在内核里挂在什么地方；
• 游戏图标不显示、任务栏图标异常这类现象，第一反应是去查注册表或资源，没想到可能和对象回调有关。

如果上面有几条对上了，这门课的顺序基本是照着这些缺口排的，不是从「什么是句柄」这种定义开始念。

课程会碰到的几个硬点

句柄表本身是内核里的一张（严格说是一组多级）结构，进程有自己的私有句柄表，系统还有一张全局的。理解它的关键在于把「句柄值」和「内核对象指针」之间的映射关系搞清楚，以及这张表在进程创建、对象引用计数变化时怎么动。

再往下走，绕不开的是对象回调。Object 回调允许你在对象被创建、被复制、被访问时插入自己的逻辑，这也是为什么它能同时用于进程保护和权限调整——你不是在改某个 API 的返回值，而是在对象生命周期的节点上做判断。课程里提到的全局句柄保护进程、私有句柄提权与降权，都是建立在这个机制之上的具体做法，而不是孤立的技巧。

还有一类容易被忽略的：句柄泄漏与句柄表膨胀。游戏跑久了图标不显示、某些对象无法释放，追下去常常是句柄没关干净，或者回调里做了不该做的事。这门课会把这类现象和句柄表的状态联系起来看。

看完应该能回答的问题

判断自己有没有学进去，不看记住了多少结构体字段，而是看能不能答上这几问：

• 一个进程里的私有句柄和系统全局句柄，在查找路径上有什么不同，各自适合放什么对象？
• 同一个内核对象被多个进程打开时，引用计数和句柄表项之间是什么关系？
• 对象回调在什么时机被触发，为什么它能影响到句柄的可用性？
• 给一个句柄提权或降权，改的到底是什么，为什么有些情况下改了也不生效？
• 游戏图标不显示，可能从哪几个和句柄/对象相关的角度去排查，而不是盲目换资源？

这些问题答不上来，说明还停在 API 调用层；能说清楚，才算真正碰到了内核这一侧。

动手部分怎么练

句柄表这块光看结构图记不住，必须自己去看、去改。建议的练法是：先在调试器里把目标进程的句柄表打印出来，对照已知的句柄值确认映射关系；再写一个最小的对象回调，观察它在对象创建和访问时被调用的时机；最后拿一个实际的图标显示问题做对照，看句柄状态和现象之间的对应。每一步都先有预期，再验证，错了比对了更有用。

适合有 Windows 用户态开发基础、能看懂 C 和基本内核概念的人。如果连 HANDLE 是什么都还没用过，先回去把用户态的进程与句柄操作写熟，再来啃这一层会顺很多。