Windows驱动开发：内核监控进程与线程创建
当你需要在Windows操作系统中监控进程的启动和退出时，可以使用PsSetCreateProcessNotifyRoutineEx函数来创建一个MyCreateProcessNotifyEx回调函数，该回调函数将在每个进程的创建和退出时被调用。
PsSetCreateProcessNotifyRoutineEx 用于在系统启动后向内核注册一个回调函数，以监视新进程的创建和退出，其函数原型如下：
NTSTATUS PsSetCreateProcessNotifyRoutineEx(
PCREATE_PROCESS_NOTIFY_ROUTINE_EX NotifyRoutine,
BOOLEAN Remove
);
其中，参数NotifyRoutine是一个指向回调函数的指针，该函数将在新进程创建或退出时被调用。参数Remove是一个布尔值，用于指定是否从内核中删除之前注册的回调函数。如果要删除之前注册的回调函数，则将此参数设置为TRUE。如果要注册一个新的回调函数，则将此参数设置为FALSE。
如上PCREATE_PROCESS_NOTIFY_ROUTINE_EX用于接收一个自定义回调，该回调函数的参数传递需要定义为如下所示的样子；
VOID CreateProcessNotifyRoutineEx(
PEPROCESS Process,
HANDLE ProcessId,
PPS_CREATE_NOTIFY_INFO CreateInfo
);
其中，参数Process是一个指向新创建进程的EPROCESS结构的指针。参数ProcessId是新进程的PID（进程ID）。参数CreateInfo是一个指向一个PS_CREATE_NOTIFY_INFO结构的指针，该结构包含了有关新进程的详细信息。如果新进程是由系统启动的，CreateInfo将为空。
回调函数应该在执行完后尽快返回，以避免对系统性能的影响。同时，回调函数不应该调用任何可能导致死锁或系统崩溃的函数。
**** Hidden Message *****
页:
[1]