PspCidTable表里。索引值总之4的倍数。也就是说 PID/4 才是PspCidTable索引。*8 才是PsPCidTable+偏移。获取进程对应的 _HANDLE_TABLE_ENTRY 结构
查找 Object_Header 地址 = Object对象地址-0x18
TypeIndex = [Object对象地址-0c] * 4 是ObTypeIndexTable索引
下来 OBJECT_TYPE
下来 _OBJECT_TYPE_INITIALIZER
PspCidTable表里。索引值总之4的倍数。也就是说 PID/4 才是PspCidTable索引。*8 才是PsPCidTable+偏移。获取进程对应的 _HANDLE_TABLE_ENTRY 结构
查找 Object_Header 地址 = Object对象地址-0x18
TypeIndex = [Object对象地址-0c] * 4 是ObTypeIndexTable索引
下来 OBJECT_TYPE
下来 _OBJECT_TYPE_INITIALIZER