Win64 驱动内核编程-12.回调监控进线程创建和退出

最新推荐文章于 2024-04-08 10:34:19 发布

京城一十三

最新推荐文章于 2024-04-08 10:34:19 发布

阅读量4.2k

点赞数

分类专栏：驱动内核编程文章标签：驱动回调监控进线程创建和退出进程线程监控

本文链接：https://blog.csdn.net/u013761036/article/details/61466187

版权

本文介绍了如何在Win64驱动中使用回调函数PsSetCreateProcessNotifyRoutine和PsSetCreateThreadNotifyRoutine监控进程和线程的创建与退出。在学习过程中，作者遇到了使用PsSetCreateProcessNotifyRoutineEx回调函数的问题，该函数的第三个参数CreateInfo允许更精细的控制。目前遇到的挑战是如何在WDK+Vs2015环境下添加/LINKER_FLAGS=/INTEGRITYCHECK选项以启用Ex函数，作者正在寻找解决方案以实现进程创建劫持。

摘要由CSDN通过智能技术生成

回调监控进线程创建和退出

两个注册回调的函数：PsSetCreateProcessNotifyRoutine 进程回调PsSetCreateThreadNotifyRoutine 线程回调分别对应的回调函数类型：

VOID MyCreateProcessNotify
(
	IN HANDLE ParentId,
	IN HANDLE ProcessId,
	IN BOOLEAN Create
)
{
	if (Create) {
		DbgPrint("[monitor_create_process_x64]进程创建! PID=%ld;PPID=%ld\n", ProcessId, ParentId);
	}
	else {
		DbgPrint("[monitor_create_process_x64]进程退出! PID=%ld;PPID=%ld\n", ProcessId, ParentId);
	}
}

VOID MyCreateThreadNotify
(
	IN HANDLE  ProcessId,
	IN HANDLE  ThreadId,
	IN BOOLEAN  Create
)
{
	if (Create) {
		DbgPrint("[monitor_create_process_x64]线程创建! PID=%ld;TID=%ld\n", ProcessId, ThreadId);
	}
	else {
		DbgPrint("[monitor_create_process_x64]线程退出! PID=%ld;TID=%ld\n", ProcessId, ThreadId);
	}
}
注册回调：
PsSetCreateProcessNotifyRoutine(MyCreateProcessNotify, FALSE);