能否从用户态调用ObOpenObjectByName API？如何链接ntoskrnl？

能不能在用户态应用中调用ObOpenObjectByName？ #

不能。ObOpenObjectByName是内核态专属的内部NT API，仅运行在Ring 0特权级的内核环境中：

• Windows的内存保护机制严格隔离用户态（Ring 3）和内核态（Ring 0）的地址空间，用户态程序无法直接访问内核导出的函数地址，强行调用会触发内存访问错误或直接崩溃。
• 该API的参数（如POBJECT_ATTRIBUTES、PACCESS_STATE等）都是内核态特有的数据结构，用户态程序无法正确构造或安全访问这些结构的内容。

能否在用户态链接ntoskrnl？ #

用户态程序根本无法正常链接ntoskrnl：

• ntoskrnl是内核核心模块，它的导出表是给内核驱动（同样运行在Ring 0）使用的，用户态链接器不支持处理内核态的库文件（如ntoskrnl.lib）。
• 即使强行通过手动加载ntoskrnl.dll（用户态下该模块实际并未映射到进程地址空间）获取函数地址，也会因为权限和环境不匹配导致调用失败。

替代方案 #

如果需要实现类似ObOpenObjectByName的功能，正确的做法是：

• 编写内核驱动：在驱动中调用ObOpenObjectByName，然后用户态程序通过IOCTL控制码与驱动通信，间接获取所需功能。
• 使用文档化的用户态NT API：比如NtOpenFile、NtOpenProcess、NtOpenKey等，这些API是官方支持的用户态接口，可以满足大多数对象打开需求，无需依赖未文档化的内核API。

内容的提问来源于stack exchange，提问作者Tracy McDowell