Windows驱动学习（九）-- 回调函数

教程参考自：https://www.bilibili.com/video/av26193169/?p=10
代码地址：https://github.com/G4rb3n/Windows-Driver/tree/master/MT-Callback

1. 概述

杀毒软件都有一个很重要的功能，就是实时监控，比如监控某个进程是否被创建。那么实现监控的原理是什么呢？总不能一直死循环检测进程列表吧…原来，windows系统给我们提供了一个消息机制，只要我们注册了一个进程创建消息的回调函数，windows在发现有新进程被创建时，就会通知并调用我们的回调函数，这样，就达到了监控的目的。

2. 驱动编写

2.1 驱动入口函数

调用PsSetCreateProcessNotifyRoutine注册回调函数。

2.2 CreateProcCallback函数

2.3 卸载函数

3. 驱动测试

当我们打开记事本，CreateProcCallback函数被调用，打印出信息。