Windows驱动中判断Session是否是远程Session

    Windows驱动中判断Session是否是远程Session
   
    用户态调用GetSystemMetrics(SM_REMOTESESSION)就可以知道当前是否处于远程桌面环境。
    内核态没有类似的函数，就需要通过其它的方法判断了。
   
    首先使用PsGetThreadSessionId，或者PsGetProcessSessionId，或者SeQuerySessionIdToken
    可以很容易的得到进程的Session。
    SharedUserData（类型KUSER_SHARED_DATA）有一个成员ActiveConsoleId，就是当前控制台Session的ID。
    进程Session的ID与ActiveConsoleId比较一下即可知道进程Session是否是远程桌面的Session。
   
    Windows有一个名字为Remote Interactive Logon的组，SID为S-1-5-14，
    一般情况下远程桌面的进程令牌中会保护这个组。当时如果当前Session是
    一个被Shadow的Session，则进程令牌中不会保护这个组。因为Windows不会
    在Session在Shadow后更改已存在进程的令牌。