My classmates

什么是句柄(内核对象)当一个进程创建或者打开一个内核对象时,将获得一个句柄,通过这个句柄可以访问内核对象。如：HANDLE g_hMutex =::CreateMutex(NULL,FALSE, "XYZ");HANDLE g_hMutex =::OpenMutex(MUTEX ALL ACCESS, FALSE, "XYZ"

所有的进程和线程无论无论是否打开,都在这个表中。每个进程和线程都有一个唯一的编号: PID和CID 这两个值其实就是全局句柄表中的索引。进程和线程的查询,主要是以下三个函数,按照给定的PID或CID从PspCidTable从查找相应的进线程对象:PsLookupProcessThreadByCid()PsLookupProcessByProcessld()PsLookupThread...