-
-
[求助]使用PsSetCreateProcessNotifyRoutine监控进程退出产生多个进程
-
发表于: 2013-6-11 01:24
-
设置回调函数的代码：
回调函数，用来监控ghPID_ProcesstoHook指定的进程是否退出，退出则调用PsSetCreateProcessNotifyRoutine解除回调
结果使用后发现监控的进程关闭后任务管理器中是没有了，但用XT观察发现有仍有个隐藏的进程，我再次调用一次驱动后又会多一个，用XT强制删除都没用，不知道是什么原因，求指点
PsSetCreateProcessNotifyRoutine(CallCreateProcessNotifyRoutines, FALSE)
回调函数，用来监控ghPID_ProcesstoHook指定的进程是否退出，退出则调用PsSetCreateProcessNotifyRoutine解除回调
VOID CallCreateProcessNotifyRoutines( IN HANDLE ParentId, IN HANDLE ProcessId, IN BOOLEAN CreateFlag)
{
if (ProcessId == ghPID_ProcesstoHook && CreateFlag == FALSE)
{
KdPrint(("ProcessId = %d的进程退出\n", ProcessId));
PsSetCreateProcessNotifyRoutine(CallCreateProcessNotifyRoutines, TRUE);
}
}
结果使用后发现监控的进程关闭后任务管理器中是没有了，但用XT观察发现有仍有个隐藏的进程，我再次调用一次驱动后又会多一个，用XT强制删除都没用，不知道是什么原因，求指点
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
回调是同步的? 我一直以为是异步的
|
|
|
蛇叔,在NotifyRoutine中调用PsSetCreateProcessNotifyRoutine会导致循环调用么? 刚看了wrk 似乎PsSetCreateProcessNotifyRoutine在移除的时候.只是调用蛋疼的快速函数将地址从链表中摘除啊
|
