一种基于PspCidTable的进程检测方法

本文介绍了WindowsXP下PspCidTable的组织结构和基于该结构的一种进程检测方法。pspCidTabLe组织结构简介在Windows NT下．所有的资源都是以对象（object）的方式进行管理。我们平时最常见的进程（Process）、文件（file）、设备（device）等都是对象。当我们要访问一个对象时．比如说打开一个文件．系统就会创建一个对象句柄．通过这个句柄来完成对文件的打开、关闭、删除等操作。句柄和对象之间的联系是通过句柄表来完成的。准确地说．一个句柄是它所对应的对象在句柄表中的索引。通过句柄，可以在句柄表找到对象的指针．通过指针对对象进行操作。PspCidTable是Windows系统中一种特殊的句柄表，它不链接在系统句柄表上．也不属于任何一个进程。通过它可以访问系统中所有的对象。