创建/结束进程回调 PsSetCreateProcessNotifyRoutine

最新推荐文章于 2021-12-10 00:26:05 发布

dingji2919

最新推荐文章于 2021-12-10 00:26:05 发布

阅读量587

点赞数

CC 4.0 BY-SA版权

文章标签：数据结构与算法

原文链接：http://www.cnblogs.com/BxWlboke/p/4994664.html

本文详细介绍了PsSetCreateProcessNotifyRoutine函数的作用和使用方法。该函数允许驱动程序注册或注销一个回调例程，当系统中进程创建或删除时，此例程会被调用。文章解释了如何通过该函数跟踪系统级的进程活动，包括参数说明、调用时机及运行上下文。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

PsSetCreateProcessNotifyRoutine

PsSetCreateProcessNotifyRoutine添加或者移除一个驱动支持的回调例程（也可以成为函数）。

当一个进程被创建或者删除时，一系列的例程将会被调用。PS:相当于把例程加入到一个链表中，当进程被创建或者删除时，所有的例程都会被调用（应该是这个意思）

NTSTATUS
PsSetCreateProcessNotifyRoutine(
IN PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine, 例程函数的入口地址，
IN BOOLEAN Remove FALSE时，添加例程到链表， TRUE,从链表中删除该例程
);

返回值：

VOID
(*PCREATE_PROCESS_NOTIFY_ROUTINE) (
IN HANDLE ParentId,
IN HANDLE ProcessId,
IN BOOLEAN Create
);

ParentId和ProcessId 用于确定进程，Create参数表明进程是创建还是删除。

一个IFS或最高级的system-profiling驱动可能注册一个process-creation回调去追踪全系统的创建和删除进程而不是驱动的内部的，
对于Vista和其后的版本，系统可以创建高达64个系统创建回调。

当Create为True时，例程在新创建的进程（ProcessId句柄指定）的初始化线程被创建后被调用。当Create为False时，例程在进程的最后一个线程被关闭，进程的地址空间将被释放时调用。
进程的进程通知例程运行在IRQL = PASSIVE_LEVEL，当一个进程被创建，例程运行在新创建的进程的线程上下文中。当进程被删除时，例程运行在进程的最后一个线程（将要退出进程）中。

转载于:https://www.cnblogs.com/BxWlboke/p/4994664.html