SystemInformer中的对象管理器增强：揭示Windows本地DOS设备命名空间

SystemInformer（原名Process Hacker）是一款功能强大的系统监控和调试工具，其对象管理器功能允许用户查看Windows内核对象命名空间的层次结构。本文将深入探讨一个关于对象管理器功能的重要增强——显示本地DOS设备命名空间（??目录）的技术实现。

Windows对象命名空间基础

Windows内核维护着一个全局的对象命名空间，所有命名内核对象都存在于这个层次结构中。这个命名空间以反斜杠(\)作为根目录，包含各种系统对象如设备、驱动、事件等。SystemInformer的对象管理器功能通过递归调用NtQueryDirectoryObject来遍历和显示这个命名空间。

本地DOS设备命名空间的重要性

在Windows系统中，存在一个特殊的本地DOS设备命名空间，通常表示为??目录。这个目录实际上是当前会话的本地\DosDevices目录的别名，包含以下重要内容：

1. 指向全局DOS设备目录(Global??)的符号链接
2. 网络驱动器映射
3. 通过subst命令创建的虚拟驱动器
4. 用户通过DefineDosDeviceAPI定义的设备

与全局DOS设备目录(GLOBAL??)不同，本地??目录不会在查询根目录时自动返回，这使得它在常规对象管理器视图中不可见。

技术实现细节

SystemInformer通过以下方式实现了对??目录的显示：

1. 在对象管理器初始化时，除了递归查询根目录外，还特别添加了对??目录的查询
2. 使用EtEnumDirectoryObjectsCallback函数将??目录作为根目录的子项显示
3. 保持原有的目录对象类型标识(Directory)

这种实现方式比通过会话路径(\Sessions\<SESSION_ID>\DosDevices\<LOGON_SESSION_ID>)访问更加直接和方便，后者不仅路径复杂，还需要管理员权限。

实际应用价值

这一增强为用户带来了以下好处：

1. 便捷访问：用户可以直接查看和管理本地DOS设备，无需复杂的路径导航
2. 调试辅助：开发人员可以更轻松地诊断设备映射和符号链接相关问题
3. 系统理解：帮助用户更好地理解Windows对象命名空间的结构和工作原理
4. 权限友好：不需要提升权限即可查看这些信息

实现背后的技术考量

在实现这一功能时，开发团队考虑了以下技术因素：

1. API限制：NtQueryDirectoryObject不会自动返回??目录，需要特殊处理
2. 命名空间一致性：确保添加的方式与现有对象管理器视图保持一致
3. 性能影响：额外的目录查询不会显著影响对象管理器的加载性能
4. 兼容性：确保在各种Windows版本上都能正常工作

总结

SystemInformer通过这一巧妙的功能增强，为用户提供了更完整的Windows对象命名空间视图。特别是对于需要处理设备映射、符号链接或进行系统调试的用户来说，能够直接访问本地DOS设备命名空间大大提升了工作效率。这一改进体现了SystemInformer作为系统工具对Windows内部机制的深入理解和实用价值的完美结合。