Va bene confrontare i valori di PEPROCESS?

Question

sto "revisione" del codice che è stato scritto ben prima di me e sto notando un modello che ho qualche dubbio su:

Il risultato della funzione PsGetCurrentProcess() viene memorizzato e quindi i confronti sono realizzati con tale puntatore (che è un puntatore a una struttura EPROCESS). Tuttavia, non sto trovando nulla nella documentazione, il che suggerisce che questa funzione è garantita per restituire lo stesso puntatore ogni volta. Ciò che è molto più sorprendente per me è che questo codice è stato apparentemente funzionante da molto tempo.

Si tratta di un errore e si consiglia di modificare tale logica per es. confrontare gli ID di processo (utilizzando PsGetProcessId)?

Answer 1

Sì, questo è praticamente corretto. La documentazione di EPROCESS chiarisce che esiste un oggetto di questo tipo per processo e qualsiasi punto PEPROCESS punta a questo. Ciò significa che PsGetCurrentProcess() non restituisce un puntatore a unEPROCESS ma a ilEPROCESS. E due indicatori si equivalgono se puntano allo stesso oggetto.