PspCidTable表里。索引值总之4的倍数。也就是说 PID/4 才是PspCidTable索引。*8 才是PsPCidTable+偏移。获取进程对应的 _HANDLE_TABLE_ENTRY 结构

查找 Object_Header 地址 = Object对象地址-0x18

TypeIndex = [Object对象地址-0c] * 4 是ObTypeIndexTable索引

下来 OBJECT_TYPE
下来 _OBJECT_TYPE_INITIALIZER

windows OBJECT查找