Windows驱动中判断Session是否是远程Session
用户态调用GetSystemMetrics(SM_REMOTESESSION)就可以知道当前是否处于远程桌面环境。
内核态没有类似的函数,就需要通过其它的方法判断了。
首先使用PsGetThreadSessionId,或者PsGetProcessSessionId,或者SeQuerySessionIdToken
可以很容易的得到进程的Session。
SharedUserData(类型KUSER_SHARED_DATA)有一个成员ActiveConsoleId,就是当前控制台Session的ID。
进程Session的ID与ActiveConsoleId比较一下即可知道进程Session是否是远程桌面的Session。
Windows有一个名字为Remote Interactive Logon的组,SID为S-1-5-14,
一般情况下远程桌面的进程令牌中会保护这个组。当时如果当前Session是
一个被Shadow的Session,则进程令牌中不会保护这个组。因为Windows不会
在Session在Shadow后更改已存在进程的令牌。