一种基于PspCidTable的进程检测方法

• 作者: 段俊锋
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: WINDOWS系统 进程 WINDOWSXP 检测 组织结构 句柄 文件 在系统
• 年，卷（期）: 2007,（10）
• 页码范围: 107-109
• 页数: 3页
• 分类号: TP316.7

摘要

本文介绍了WindowsXP下PspCidTable的组织结构和基于该结构的一种进程检测方法。pspCidTabLe组织结构简介在Windows NT下．所有的资源都是以对象（object）的方式进行管理。我们平时最常见的进程（Process）、文件（file）、设备（device）等都是对象。当我们要访问一个对象时．比如说打开一个文件．系统就会创建一个对象句柄．通过这个句柄来完成对文件的打开、关闭、删除等操作。句柄和对象之间的联系是通过句柄表来完成的。准确地说．一个句柄是它所对应的对象在句柄表中的索引。通过句柄，可以在句柄表找到对象的指针．通过指针对对象进行操作。PspCidTable是Windows系统中一种特殊的句柄表，它不链接在系统句柄表上．也不属于任何一个进程。通过它可以访问系统中所有的对象。在Windbg下面可以查看PspCidTable的地址

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	段俊锋		2	0	0.0	0.0