Windows内核进程创建和模块加载通知的先后顺序

Windows内核进程创建和退出通知主要通过调用PsSetCreateProcessNotifyRoutine或者PsSetCreateProcessNotifyRoutineEx来注册事件通知函数，在进程创建和退出时，系统会调用注册的事件通知函数；可执行模块加载通知调用PsSetLoadImageNotifyRoutine或PsSetLoadImageNotifyRoutineEx来注册事件通知函数，在可执行模块(包括dll、sys、exe)加载时，系统会调用注册的事件通知函数。

那么当父进程创建子进程时，进程创建和模块加载事件的通知先后顺序是怎么样的？见下图

测试程序tt.exe中，根据给定程序路径调用CreateProcess来创建子进程。dbgview窗口的输出信息是，我们在内核驱动监听进程创建和可执行模块加载的回调函数中打印输出相关信息。

根据图中信息，当我们在命令行中执行"tt.exe c:\Windows\system32\notepad.exe"时，命令行cmd.exe所在的进程(ID=0x5c0)创建了tt.exe子进程(ID=0x148)，然后tt.exe子进程(ID=0x148)通知加载可执行模块(\Device\HarddiskVolume2\Users\Adminstrator\Desktop\wafs\tt.exe)，然后tt.exe子进程(ID=0x148)通知创建notepad.exe子进程(ID=0x8d4)，接着notepad.exe子进程(ID=0x8d4)通知加载可执行模块(\Device\HarddiskVolume2\Windows\System32\notepad.exe)。

可以看出进程创建和模块加载事件的通知先后顺序是：父进程先通知子进程创建，然后是子进程通知可执行模块加载。