Dissecting the Windows Kernel - 关于ObReferenceObjectByHandle中对句柄的处理(三)
eferenceObjectByHandle都能得到正确的对象。正确带KERNEL_HANDLE_MASK标识的句柄当然没有问题，但没有该标识的句柄因为Attach到System进程以后，是通过ApcState.Process来获取HandleTable的，此时的当前进程就是System进程，所以也可以得到正确的对象。