驅動回調的實作與逆向

PsSetCreateProcessNotifyRoutineEx函數建立程序回調

NTSTATUS status = PsSetCreateProcessNotifyRoutineEx(

(PCREATE_PROCESS_NOTIFY_ROUTINE_EX)ProcessNotifyExRoutine, FALSE);

第一個參數是真實處理的回調函數，第二個參數是BOOLEAN Remove。為True時即是解除安裝回調函數。

VOID ProcessNotifyExRoutine(PEPROCESS pEProcess, HANDLE hProcessId, PPS_CREATE_NOTIFY_INFO CreateInfo)
{
   
	// CreateInfo 為 NULL 時，表示程序退出；不為 NULL 時，表示程序建立
	if (NULL == CreateInfo)