win10 1909 逆向----ExpLookupHandleTableEntry（從句柄表裏尋找對象）

1。HANDLE是以4個字節爲倍數遞增，IDLE的PID爲0，SYSTEM進程的PID=4。 2.   PspCidTable爲全局句柄表，ObpKernelHandleTable爲內核句柄表，不是一個概念，但是和我上一篇文章如何解析內核句柄表過程是一樣的，有一點區別是解密後PspCidTable得到提Object，ObpKernelHandleTable得到提Object_Header。    

>>阅读原文<<