ProcessHacker 对象管理器中的"??"目录解析

在Windows系统内核中，对象管理器(Object Manager)负责管理系统资源，包括文件、设备、驱动等。ProcessHacker作为一款强大的系统工具，其对象管理器功能允许用户查看这些系统对象。本文将深入探讨对象管理器中的一个特殊目录——"??"目录(本地DosDevices)的技术实现及其重要性。

"??"目录的特殊性

Windows对象管理器中的"??"目录实际上代表本地DosDevices命名空间，与全局的"\DosDevices"目录不同。这个目录包含以下关键内容：

1. 指向Global目录的符号链接
2. 网络驱动器映射
3. subst创建的虚拟驱动器
4. 用户通过DefineDosDevice API定义的设备

值得注意的是，"??"目录不会在查询根目录时自动返回，这与全局版本的"\DosDevices"(即"GLOBAL??")行为不同。这种设计使得普通用户能够管理自己的设备命名空间，而不影响系统全局设置。

技术实现细节

ProcessHacker通过调用NtQueryDirectoryObject API递归遍历对象管理器命名空间。原始实现中遗漏了对"??"目录的处理，需要通过特殊方式添加：

// 在对象管理器初始化代码中添加对"??"目录的处理
DIRECTORY_ENUM_CONTEXT enumContext;
enumContext.TreeViewHandle = context->TreeViewHandle;
enumContext.RootTreeItem = context->RootTreeObject;
enumContext.DirectoryPath = EtObjectManagerRootDirectoryObject;

EtEnumDirectoryObjectsCallback(&EtObjectManagerUserDirectoryObject, 
                             &DirectoryObjectType, 
                             &enumContext);

这种实现方式比通过会话路径("\Sessions<SESSION_ID>\DosDevices<LOGON_SESSION_ID>")访问更为简便，且不需要管理员权限。

实际应用价值

查看"??"目录对开发者和系统管理员具有实际意义：

1. 设备驱动开发：了解本地设备命名空间的布局
2. 系统故障排查：识别错误的驱动器映射
3. 安全分析：检测可疑的设备对象
4. 应用程序兼容性：理解应用程序可能访问的设备路径

实现原理深入

Windows采用分层命名空间设计，"??"目录代表当前登录会话的本地设备命名空间。这种设计实现了：

1. 会话隔离：不同用户会话拥有独立的设备映射
2. 权限控制：普通用户可以管理自己的设备而不影响系统全局设置
3. 兼容性：保持与早期MS-DOS设备命名方式的兼容

ProcessHacker通过扩展对象管理器视图，使这一重要系统组件对用户可见，增强了工具的实用性和完整性。

总结

ProcessHacker对"??"目录的支持完善了对象管理器的功能，为用户提供了更全面的系统对象视图。这一改进不仅体现了工具对Windows内核细节的深入理解，也为系统调试和分析提供了便利。理解这一特殊目录的结构和内容，有助于开发者更好地处理设备相关编程任务，也能帮助管理员更有效地管理系统资源。