用WinDbg查了一下ObReferenceObjectByHandle这个函数
发现竟然有两个push    ecx
也就是红色的那块
但是，在最后没有相应的pop
这是为什么？
谢谢大家

ObReferenceObjectByHandle:
805b1b70 8bff            mov     edi,edi
805b1b72 55              push    ebp
805b1b73 8bec            mov     ebp,esp
805b1b75 51              push    ecx
805b1b76 51              push    ecx
805b1b77 53              push    ebx
805b1b78 56              push    esi
805b1b79 57              push    edi
805b1b7a 64a124010000    mov     eax,dword ptr fs:[00000124h]
805b1b80 8b7d18          mov     edi,dword ptr [ebp+18h]
805b1b83 33db            xor     ebx,ebx
805b1b85 395d08          cmp     dword ptr [ebp+8],ebx
805b1b88 8bf0            mov     esi,eax
805b1b8a 891f            mov     dword ptr [edi],ebx
805b1b8c 0f8dee000000    jge     nt!ObReferenceObjectByHandle+0x110 (805b1c80) [br=0]
805b1b92 837d08ff        cmp     dword ptr [ebp+8],0FFFFFFFFh
805b1b96 755c            jne     nt!ObReferenceObjectByHandle+0x84 (805b1bf4)
805b1b98 8b4510          mov     eax,dword ptr [ebp+10h]
805b1b9b 3b05d8b25580    cmp     eax,dword ptr [nt!PsProcessType (8055b2d8)]
805b1ba1 7404            je      nt!ObReferenceObjectByHandle+0x37 (805b1ba7)
805b1ba3 3bc3            cmp     eax,ebx
805b1ba5 7562            jne     nt!ObReferenceObjectByHandle+0x99 (805b1c09)
805b1ba7 8b7644          mov     esi,dword ptr [esi+44h]
805b1baa 8b8ea4010000    mov     ecx,dword ptr [esi+1A4h]
805b1bb0 8bc1            mov     eax,ecx

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课