Ist es in Ordnung, PEPROCESS-Werte zu vergleichen?

Question

Ich „Überprüfung“ einige Code, der vor mir gut geschrieben wurde und ich bemerkte ein Muster, das ich habe einige Zweifel über:

Das Ergebnis der PsGetCurrentProcess() Funktion gespeichert und dann werden Vergleiche mit diesem Zeiger gemacht (was ist ein Zeiger auf eine EPROCESS Struktur). Ich finde jedoch nichts in der Dokumentation, was darauf hindeutet, dass diese Funktion garantiert den gleichen Zeiger jedes Mal zurückgibt. Was für mich viel überraschender ist, ist, dass dieser Code anscheinend lange Zeit funktioniert hat.

Ist dies ein Fehler, und würden Sie empfehlen, diese Logik z. Vergleichen von Prozess-IDs (mithilfe von PsGetProcessId)?

Answer 1

Ja, das ist ziemlich richtig. Die Dokumentation von EPROCESS macht deutlich, dass pro Prozess ein solches Objekt vorhanden ist, und jede PEPROCESS weist darauf hin. Dies bedeutet, dass PsGetCurrentProcess() keinen Zeiger auf undEPROCESS zurückgibt, sondern auf dieEPROCESS. Und zwei Zeiger gleichen sich, wenn sie auf dasselbe Objekt zeigen.