创建/结束进程回调 PsSetCreateProcessNotifyRoutine

PsSetCreateProcessNotifyRoutine

PsSetCreateProcessNotifyRoutine添加或者移除一个驱动支持的回调例程（也可以成为函数）。

当一个进程被创建或者删除时，一系列的例程将会被调用。PS:相当于把例程加入到一个链表中，当进程被创建或者删除时，所有的例程都会被调用（应该是这个意思）

NTSTATUS
PsSetCreateProcessNotifyRoutine(
IN PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine, 例程函数的入口地址，
IN BOOLEAN Remove  FALSE时，添加例程到链表， TRUE,从链表中删除该例程
);

返回值：

VOID
(*PCREATE_PROCESS_NOTIFY_ROUTINE) (
IN HANDLE ParentId,
IN HANDLE ProcessId,
IN BOOLEAN Create
);

ParentId和ProcessId 用于确定进程，Create参数表明进程是创建还是删除。

一个IFS或最高级的system-profiling驱动可能注册一个process-creation回调去追踪全系统的创建和删除进程而不是驱动的内部的，
对于Vista和其后的版本，系统可以创建高达64个系统创建回调。

当Create为True时，例程在新创建的进程（ProcessId句柄指定）的初始化线程被创建后被调用。 当Create为False时，例程在进程的最后一个线程被关闭，进程的地址空间将被释放时调用。
进程的进程通知例程运行在IRQL = PASSIVE_LEVEL，当一个进程被创建，例程运行在新创建的进程的线程上下文中。 当进程被删除时，例程运行在进程的最后一个线程（将要退出进程）中。

转载于:https://www.cnblogs.com/BxWlboke/p/4994664.html