1無hook監(jiān)控進(jìn)線程啟動退出

說到實現(xiàn)進(jìn)程創(chuàng)建，相信不少人的第一反應(yīng)是HookNtCreateProces或NtCreateUserProcess。不過從今以后， 棄這一思路，使用在WINDOWSVISTA才有的一個新API：沒錯，在NT5系列系統(tǒng)上，有一個函數(shù)名字叫PsSetCreateProcessNotifyRoutine的回調(diào)函數(shù)的可用信息太少了（僅有『新，NTSTATUSNTSTATUS REATE_PROCESS_NOTIFY_ROUTINE_EXinBOOLEAN接下來看看回調(diào)函數(shù)NotifyRoutine的原型：VOIDVOID PEPROCESSHANDLE,PPS_CREATE_NOTIFY_INFOtypedeftypedefstruct{SIZE_T union{ULONGFlags;struct{ULONGFileOpenNameAvailable ;struct_FILE_OBJECT }PS_CREATE_NOTIFY_INFO,可見在這個結(jié)構(gòu)體里，包含了很多的信息，不僅包含父進(jìn)程ID，父線程ImageFileName里）和命令行參數(shù)！最絕的是，如果要進(jìn)程創(chuàng)建，直接把 NTKERNELAPIPCHARPsGetProcessImageFileName(PEPROCESSNTKERNELAPINTSTATUSPsLookupProcessByProce(HANDLEProce,PEPROCESS//通過PIDPCHARGetProcessNameByProce(HANDLEProce{NTSTATUSPCHARstring=NULL;st=PsLookupProcessByProce(Proce,&ProcessObj);{}return} HANDLEProce,in_optPPS_CREATE_NOTIFY_INFO){NTSTATUSHANDLEhProcess=NULL;_IDId={0};charxxx[16]={0}; {DbgPrint("[monitor_create_process_x64][%ld]%s創(chuàng)建進(jìn)程:%wZ",{ //創(chuàng)建進(jìn)}}{出:%s",PsGetProcessImageFileName(Process));}}敗。因為MSDN上有這么一個限制：TheimagethatcontainsthecallbackroutinepointermusthaveIMAGE_DLLCHARACTERISTICS__INTEGRITYsetinitsimageheader.接下來說說線程創(chuàng)建和的監(jiān)視。監(jiān)視線程的創(chuàng)建和是使用PsSetCreateThreadNotifyRoutine來創(chuàng)建回調(diào)函數(shù)，而取消回調(diào)函數(shù)則使用 PCREATE_THREAD_NOTIFY_ROUTINE_In_PCREATE_THREAD_NOTIFY_ROUTINEINHANDLEProceINHANDLEThreadId,INBOOLEANCreate你，此時可以采取相應(yīng)的動作。不過郁悶的是，在CreateThreadNotify里，只能監(jiān)視線程的創(chuàng)建和，卻不能線程創(chuàng)建。經(jīng)測試，在通知回調(diào)