终端防御规避技术-4.对象通知

Windows 把进程、线程、文件都抽象成内核对象，用户态代码想操作它们，得先拿到句柄。句柄就是一把钥匙，对象通知则是配钥匙窗口的登记本：谁来配、配哪扇门、要开哪几个抽屉，都会记一笔。这一章讲的就是这本登记本怎么工作，以及攻击者怎么绕过它。