«Ядро винды полностью POSIX»
смею не согласиться, например, стандарт POSIX включает в себя имена функций(fork read etc.) и даже не уточняет параметры и возвращаемые значения функций, поэтому сомневаюсь что ядро windows имеет что-то общее с POSIX.
Да, но это не единственный сценарий, где это может пригодиться. Данная задача довольно востребована в некоторых кругах, например, прочитайте вот эту статьюCsrWalker — processes detection from User Mode
Видимо, вы удивились размерам статьи, на самом деле, статья получилась немного большой потому, что пришлось обьяснять некоторые детали(как, например, отступление к Object Manager-у), чтобы расширить круг читателей.
К сожелению, да.
Как уже упоминалось, простого нахождения процесса с именем «csrss.exe» не достаточно, т.к можно легко и просто создать процесс с тем же именем и поставить его в начала списка(как уже упоминалось, используя DKOM).
смею не согласиться, например, стандарт POSIX включает в себя имена функций(fork read etc.) и даже не уточняет параметры и возвращаемые значения функций, поэтому сомневаюсь что ядро windows имеет что-то общее с POSIX.
Как уже упоминалось, простого нахождения процесса с именем «csrss.exe» не достаточно, т.к можно легко и просто создать процесс с тем же именем и поставить его в начала списка(как уже упоминалось, используя DKOM).