Windows驱动开发：内核监控进程与线程创建

ytn2001

当你需要在Windows操作系统中监控进程的启动和退出时，可以使用PsSetCreateProcessNotifyRoutineEx函数来创建一个MyCreateProcessNotifyEx回调函数，该回调函数将在每个进程的创建和退出时被调用。

PsSetCreateProcessNotifyRoutineEx 用于在系统启动后向内核注册一个回调函数，以监视新进程的创建和退出，其函数原型如下：

1. NTSTATUS PsSetCreateProcessNotifyRoutineEx(
   
2.   PCREATE_PROCESS_NOTIFY_ROUTINE_EX NotifyRoutine,
   
3.   BOOLEAN                             Remove
   
4. );

复制代码

其中，参数NotifyRoutine是一个指向回调函数的指针，该函数将在新进程创建或退出时被调用。参数Remove是一个布尔值，用于指定是否从内核中删除之前注册的回调函数。如果要删除之前注册的回调函数，则将此参数设置为TRUE。如果要注册一个新的回调函数，则将此参数设置为FALSE。

如上PCREATE_PROCESS_NOTIFY_ROUTINE_EX用于接收一个自定义回调，该回调函数的参数传递需要定义为如下所示的样子；

1. VOID CreateProcessNotifyRoutineEx(
   
2.   PEPROCESS           Process,
   
3.   HANDLE              ProcessId,
   
4.   PPS_CREATE_NOTIFY_INFO CreateInfo
   
5. );

复制代码

其中，参数Process是一个指向新创建进程的EPROCESS结构的指针。参数ProcessId是新进程的PID（进程ID）。参数CreateInfo是一个指向一个PS_CREATE_NOTIFY_INFO结构的指针，该结构包含了有关新进程的详细信息。如果新进程是由系统启动的，CreateInfo将为空。

回调函数应该在执行完后尽快返回，以避免对系统性能的影响。同时，回调函数不应该调用任何可能导致死锁或系统崩溃的函数。

游客，如果您要查看本帖隐藏内容请回复