-
-
[讨论]进程句柄不超过226传说
-
发表于: 2013-9-18 23:16
-
潘爱民老师的《Windows内核原理与实现》一书中关于句柄与句柄表的内容中提到，当句柄大于0小于等于226时为当前进程句柄表中的索引（3.4章，P133）。
51cto上的内容：bc8K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3u0G2L8$3E0Q4x3X3f1#2x3h3y4@1L8#2)9J5k6h3y4G2L8g2)9J5c8X3q4J5N6q4)9J5c8U0t1H3x3e0l9I4x3g2)9J5c8U0t1K6y4e0M7$3x3#2)9J5k6h3S2@1L8b7`.`.
那么言下之意除了system进程外每个进程的句柄表只能包含226个句柄项了？
WRK中ObReferenceObjectByHandle()的代码逻辑中也没发现相关内容。
于是，纠结了
51cto上的内容：bc8K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3u0G2L8$3E0Q4x3X3f1#2x3h3y4@1L8#2)9J5k6h3y4G2L8g2)9J5c8X3q4J5N6q4)9J5c8U0t1H3x3e0l9I4x3g2)9J5c8U0t1K6y4e0M7$3x3#2)9J5k6h3S2@1L8b7`.`.
现在我们来看如何将一个句柄解析成相应的内核对象。首先，一个有效的句柄有4种可能：
-1，代表当前进程。
-2，代表当前线程。
负值，其绝对值为内核句柄表中的索引。仅限于内核模式的函数可以引用。
不超过226 的正值，当前进程的句柄表中的索引。
那么言下之意除了system进程外每个进程的句柄表只能包含226个句柄项了？
WRK中ObReferenceObjectByHandle()的代码逻辑中也没发现相关内容。
于是，纠结了
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
