正文
Win64 驱动内核编程-12.回调监控进线程创建和退出
小程序：扫一扫查出行【扫一扫了解最新限行尾号】
复制小程序
回调监控进线程创建和退出
两个注册回调的函数：PsSetCreateProcessNotifyRoutine 进程回调PsSetCreateThreadNotifyRoutine 线程回调分别对应的回调函数类型：
VOID MyCreateProcessNotify
(
IN HANDLE ParentId,
IN HANDLE ProcessId,
IN BOOLEAN Create
)
{
if (Create) {
DbgPrint("[monitor_create_process_x64]进程创建! PID=%ld;PPID=%ld\n", ProcessId, ParentId);
}
else {
DbgPrint("[monitor_create_process_x64]进程退出! PID=%ld;PPID=%ld\n", ProcessId, ParentId);
}
}
VOID MyCreateThreadNotify
(
IN HANDLE ProcessId,
IN HANDLE ThreadId,
IN BOOLEAN Create
)
{
if (Create) {
DbgPrint("[monitor_create_process_x64]线程创建! PID=%ld;TID=%ld\n", ProcessId, ThreadId);
}
else {
DbgPrint("[monitor_create_process_x64]线程退出! PID=%ld;TID=%ld\n", ProcessId, ThreadId);
}
}
注册回调：
PsSetCreateProcessNotifyRoutine(MyCreateProcessNotify, FALSE);
PsSetCreateThreadNotifyRoutine(MyCreateThreadNotify);
注销回调（在DriverUnload里面调用）：
PsSetCreateProcessNotifyRoutine(MyCreateProcessNotify, TRUE);
PsRemoveCreateThreadNotifyRoutine(MyCreateThreadNotify);执行结果：
OK上面很好理解，就是进程线程创建退出的时候会对应的调这些回调，通过这个我们可以监控进程和线程的调用和退出情况。但是在学习过程中书上说了这个回调：
PsSetCreateProcessNotifyRoutineEx ,
这个的回调函数参数不同于PsSetCreateProcessNotifyRoutine，
VOID MyCreateProcessNotifyEx(__inout PEPROCESS Process,__in HANDLE ProcessId,
__in_opt PPS_CREATE_NOTIFY_INFO CreateInfo
){}
通过第三个参数CreateInfo->CreationStatus=STATUS_UNSUCCESSFUL;
但是一直卡在一个地方：
查了很多地方，是说在source文件里添加：LINKER_FLAGS=/INTEGRITYCHECK
不过我用的WDK+Vs2015开发的，我理解的source是改.rc文件但是失败了，一直在找解决方案。找到再把这个补上吧，目的是为了使用Ex的函数进行进程创建劫持。
