win10 1909 逆向----ExpLookupHandleTableEntry（从句柄表里寻找对象）

1。HANDLE是以4个字节为倍数递增，IDLE的PID为0，SYSTEM进程的PID=4。

2.   PspCidTable为全局句柄表，ObpKernelHandleTable为内核句柄表，不是一个概念，但是和我上一篇文章如何解析内核句柄表过程是一样的，有一点区别是解密后PspCidTable得到提Object，ObpKernelHandleTable得到提Object_Header。

      PspCidTable里面记录的是所有进程和线程的信息。

      ObpKernelHandleTable里面记录的是所有驱动打开或者创建的对象信息。

3. 拿PspCidTable手动解析，以印证逆向的真实性。

通过+0x008 TableCode : 0xffff810c`666ff001，这个001，我们可以得知这是二层结构，我们得到第一层的地址。

再来得到第二层的_HANDLE_TABLE_ENTRY,一项占0x10个字节，第0项和最后一项是不使用的:

开始解析：

由于TypeIndex  是加密的，那我们拿System进程的信息和句柄号为4来进行对比是不是一个。

至此，确定无误。