下午一时兴起，打算研究下QQ电脑管家的一系列功能，于是先从PsSetCreateProcessNofityRoutine下手了，打算逆成一个系列，希望大家多多支持。不喜勿喷。

由于下午时间仓促，NofityRoutine仅逆了一部分，当作(1)先分享给大家，总体流程还是比较清楚了的。

用XT查看内核--->系统回调，发现有两个CreateProcess回调，分别在TCSafeBox.sys和TCKsp.sys中，这里分析的是TCSafeBox.sys。

DriverEntry里调用PsSetCreateProcessNotifyRoutine注册NotifyRoutine，下面是NotifyRoutine的总体流程。

void __stdcall NotifyRoutine(HANDLE ParentId, HANDLE ProcessId, BOOLEAN Create)
{
	if(KeGetCurrentIrql() > 0)
	{
		return;
	}
	if(FALSE == Create)
	{
		sub_144DE(ProcessId, ParentId);
	}
	else
	{
		if(0 == dword_15300)
		{
			return;
		}
		else
		{
			sub_143C2(ProcessId, ParentId);
		}
	}
}

void sub_143C2(HANDLE ProcessId, HANDLE ParentId)
{
	char buf[0x314];
	memset(buf, 0, 0x314);
	int a, b;
	a = b = 0;
	*(HANDLE *)buf = ProcessId;
	if(!sub_12326(ProcessId, buf + 8,0x103))
	{
		return;
	}
}

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！