4.4 Windows驱动开发：内核监控进程与线程创建

news2024/11/16 19:29:44

当你需要在Windows操作系统中监控进程的启动和退出时，可以使用PsSetCreateProcessNotifyRoutineEx函数来创建一个MyCreateProcessNotifyEx回调函数，该回调函数将在每个进程的创建和退出时被调用。

PsSetCreateProcessNotifyRoutineEx 用于在系统启动后向内核注册一个回调函数，以监视新进程的创建和退出，其函数原型如下：

NTSTATUS PsSetCreateProcessNotifyRoutineEx(
  PCREATE_PROCESS_NOTIFY_ROUTINE_EX NotifyRoutine,
  BOOLEAN                             Remove
);

其中，参数NotifyRoutine是一个指向回调函数的指针，该函数将在新进程创建或退出时被调用。参数Remove是一个布尔值，用于指定是否从内核中删除之前注册的回调函数。如果要删除之前注册的回调函数，则将此参数设置为TRUE。如果要注册一个新的回调函数，则将此参数设置为FALSE。

如上PCREATE_PROCESS_NOTIFY_ROUTINE_EX用于接收一个自定义回调，该回调函数的参数传递需要定义为如下所示的样子；

VOID CreateProcessNotifyRoutineEx(
  PEPROCESS           Process,
  HANDLE              ProcessId,
  PPS_CREATE_NOTIFY_INFO CreateInfo
);

其中，参数Process是一个指向新创建进程的EPROCESS结构的指针。参数ProcessId是新进程的PID（进程ID）。参数CreateInfo是一个指向一个PS_CREATE_NOTIFY_INFO结构的指针，该结构包含了有关新进程的详细信息。如果新进程是由系统启动的，CreateInfo将为空。

回调函数应该在执行完后尽快返回，以避免对系统性能的影响。同时，回调函数不应该调用任何可能导致死锁或系统崩溃的函数。

对于进程的创建与退出，则可通过MyCreateProcessNotifyEx自定义函数的PPS_CREATE_NOTIFY_INFO字段进行判断，如果PPS_CREATE_NOTIFY_INFO不等于NULL则说明该进程是被创建了，反之则说明进程是退出了，有了这些基础知识那么实现监视进程加载将变得很容易，如下案例所示；

#include <ntddk.h>

NTKERNELAPI PCHAR PsGetProcessImageFileName(PEPROCESS Process);
NTKERNELAPI NTSTATUS PsLookupProcessByProcessId(HANDLE ProcessId, PEPROCESS *Process);

PCHAR GetProcessNameByProcessId(HANDLE ProcessId)
{
    NTSTATUS st = STATUS_UNSUCCESSFUL;
    PEPROCESS ProcessObj = NULL;
    PCHAR string = NULL;
    st = PsLookupProcessByProcessId(ProcessId, &ProcessObj);
    if (NT_SUCCESS(st))
    {
        string = PsGetProcessImageFileName(ProcessObj);
        ObfDereferenceObject(ProcessObj);
    }
    return string;
}

VOID MyCreateProcessNotifyEx(PEPROCESS Process, HANDLE ProcessId, PPS_CREATE_NOTIFY_INFO CreateInfo)
{
    char ProcName[16] = { 0 };
    if (CreateInfo != NULL)
    {
        strcpy(ProcName, PsGetProcessImageFileName(Process));
        DbgPrint("父进程ID: %ld  --->父进程名: %s --->进程名: %s---->进程路径：%wZ", CreateInfo->ParentProcessId,
            GetProcessNameByProcessId(CreateInfo->ParentProcessId),
            PsGetProcessImageFileName(Process),CreateInfo->ImageFileName);
    }
    else
    {
        strcpy(ProcName, PsGetProcessImageFileName(Process));
        DbgPrint("进程[ %s ] 离开了，程序被关闭了",ProcName);
    }
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
    PsSetCreateProcessNotifyRoutineEx((PCREATE_PROCESS_NOTIFY_ROUTINE_EX)MyCreateProcessNotifyEx, TRUE);
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    NTSTATUS status;
    status = PsSetCreateProcessNotifyRoutineEx((PCREATE_PROCESS_NOTIFY_ROUTINE_EX)MyCreateProcessNotifyEx, FALSE);
    Driver->DriverUnload = UnDriver;
    return STATUS_SUCCESS;
}

输出效果图如下所示：

那么如何进行进程监控呢？

进程监控的思路很简单，只需要在如上MyCreateProcessNotifyEx()这个自定义回调函数中进行改进即可，首先通过PsGetProcessImageFileName即将进程的PID转换为进程名，然后就可以通过_stricmp对比该进程是否为我们所需要的，如果发现是calc.exe等特定进程名，则可以将CreateInfo->CreationStatus中的参数修改为STATUS_UNSUCCESSFUL这意味着对象的创建过程未成功完成，从而实现拒绝进行执行的目的；

#include <ntddk.h>

NTKERNELAPI PCHAR PsGetProcessImageFileName(PEPROCESS Process);
NTKERNELAPI NTSTATUS PsLookupProcessByProcessId(HANDLE ProcessId, PEPROCESS *Process);

PCHAR GetProcessNameByProcessId(HANDLE ProcessId)
{
    NTSTATUS st = STATUS_UNSUCCESSFUL;
    PEPROCESS ProcessObj = NULL;
    PCHAR string = NULL;
    st = PsLookupProcessByProcessId(ProcessId, &ProcessObj);
    if (NT_SUCCESS(st))
    {
        string = PsGetProcessImageFileName(ProcessObj);
        ObfDereferenceObject(ProcessObj);
    }
    return string;
}

VOID MyCreateProcessNotifyEx(PEPROCESS Process, HANDLE ProcessId, PPS_CREATE_NOTIFY_INFO CreateInfo)
{
    char ProcName[16] = { 0 };
    if (CreateInfo != NULL)
    {
        strcpy(ProcName, PsGetProcessImageFileName(Process));
        if (!_stricmp(ProcName, "calc.exe"))
        {
            CreateInfo->CreationStatus = STATUS_UNSUCCESSFUL;
        }
    }
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
    PsSetCreateProcessNotifyRoutineEx((PCREATE_PROCESS_NOTIFY_ROUTINE_EX)MyCreateProcessNotifyEx, TRUE);
    DbgPrint(("驱动卸载成功"));
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    NTSTATUS status;
    status = PsSetCreateProcessNotifyRoutineEx((PCREATE_PROCESS_NOTIFY_ROUTINE_EX)MyCreateProcessNotifyEx, FALSE);
    Driver->DriverUnload = UnDriver;
    DbgPrint("驱动加载成功!");
    return STATUS_SUCCESS;
}

将上方代码编译，当我们加载驱动程序以后，再次打开C:\Windows\System32\calc.exe 计算器进程则提示无法打开，我们的驱动已经成功的拦截了本次的请求。

与进程检测类似，如果要检测线程创建则只需要通过PsSetCreateThreadNotifyRoutine创建线程回调即可，PsSetCreateThreadNotifyRoutine 函数的原型如下：

NTKERNELAPI
VOID
PsSetCreateThreadNotifyRoutine(
  _Inout_ PCREATE_THREAD_NOTIFY_ROUTINE NotifyRoutine,
  _In_ BOOLEAN                           Remove
);

PsSetCreateThreadNotifyRoutine 它允许注册一个回调函数，以便在新的线程被创建时被调用。该函数有两个参数：

  • 第一个参数：是一个指向回调函数的指针，这个回调函数将在新的线程被创建时被调用。
  • 第二个参数：是一个布尔值，表示是否将此回调函数添加到一个已有的回调列表中。如果此参数为TRUE，则将该回调函数添加到列表中，如果为FALSE，则将替换掉已有的回调函数。

当一个新的线程被创建时，操作系统会调用所有已注册的回调函数，并将新线程的ThreadID和进程ID作为参数传递给回调函数。这些参数可以用来识别新线程所属的进程以及新线程本身的标识符。

对于PCREATE_THREAD_NOTIFY_ROUTINE来说，它指向一个回调函数，用于通知进程中新线程的创建。该函数指针的定义如下：

typedef VOID (*PCREATE_THREAD_NOTIFY_ROUTINE) (
  _In_ HANDLE ProcessId,
  _In_ HANDLE ThreadId,
  _In_ BOOLEAN Create
);

回调函数的参数说明如下：

  • ProcessId：新线程所属进程的进程ID。
  • ThreadId：新线程的线程ID。
  • Create：布尔值，指示新线程是创建还是销毁。如果为TRUE，则表示新线程已创建；如果为FALSE，则表示新线程已销毁。

在 PsSetCreateThreadNotifyRoutine 函数中注册的回调函数应该符合这个函数指针的定义，以便在新线程被创建或销毁时被调用。

而当调用结束后，用户需要通过PsRemoveCreateThreadNotifyRoutine来删除已注册的回调函数，目前该函数只需要一个参数，只需要传入注册时的函数指针即可；

NTKERNELAPI
VOID
PsRemoveCreateThreadNotifyRoutine(
  _Inout_ PCREATE_THREAD_NOTIFY_ROUTINE NotifyRoutine
);

通过上述知识点的总结，相信你也可以很容易的编写处线程检测相关代码片段，具体代码如下：

#include <ntddk.h>

NTKERNELAPI PCHAR PsGetProcessImageFileName(PEPROCESS Process);
NTKERNELAPI NTSTATUS PsLookupProcessByProcessId(HANDLE ProcessId, PEPROCESS *Process);

VOID MyCreateThreadNotify(HANDLE ProcessId, HANDLE ThreadId, BOOLEAN Create)
{
    PEPROCESS eprocess = NULL;
  // 通过此函数拿到程序的EPROCESS结构
    PsLookupProcessByProcessId(ProcessId, &eprocess);
    if (Create)
  {
        DbgPrint("线程TID: %1d --> 所属进程名: %s --> 进程PID: %1d \n", ThreadId, PsGetProcessImageFileName(eprocess), PsGetProcessId(eprocess));
  }
    else
  {
        DbgPrint("%s 线程已退出...", ThreadId);
  }
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
    PsRemoveCreateThreadNotifyRoutine(MyCreateThreadNotify);
    DbgPrint(("驱动卸载成功"));
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    NTSTATUS status;
    status = PsSetCreateThreadNotifyRoutine(MyCreateThreadNotify);
    DbgPrint("PsSetCreateThreadNotifyRoutine: %x", status);
    Driver->DriverUnload = UnDriver;
    return STATUS_SUCCESS;
}

输出效果图如下所示：

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1222777.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

物联网赋能：WIFI HaLow在无线连接中的优势

物联网赋能：WIFI HaLow在无线连接中的优势

在探讨无线网络连接时&#xff0c;我们不难发现&#xff0c;WIFI已经成为我们日常生活中不可或缺的一部分&#xff0c;承载了半数以上的互联网流量&#xff0c;并在家庭、学校、娱乐场所等各种场合广泛应用。然而&#xff0c;尽管WIFI4、WIFI5和WIFI6等协议无处不在&#xff0c…
阅读更多...
基于单片机智能液位水位监测控制系统设计

基于单片机智能液位水位监测控制系统设计

**单片机设计介绍&#xff0c; 基于单片机智能液位水位监测控制系统设计 文章目录 一 概要二、功能设计设计思路 三、 软件设计原理图 五、 程序六、 文章目录 一 概要 基于单片机的智能液位水位监测控制系统可以用来检测和控制液位的高低&#xff0c;并可以用于水泵的控制和自…
阅读更多...
业务架构、技术架构、项目管理的有机结合

业务架构、技术架构、项目管理的有机结合

新入职的创业公司一年不行了。 这一年来没有上班&#xff0c;也因为大龄的问题找不到合适的工作。然后考了几个项目管理证书&#xff0c;又思考了一个技术兑现的问题。 技术本身是架构的执行层面&#xff0c;如果上面的公司战略、业务架构变小&#xff0c;缩水&#xff0c;或者…
阅读更多...
MySQL的执行器是怎么工作的

MySQL的执行器是怎么工作的

作为优化器后的真正执行语句的层&#xff0c;执行器有三种方式和存储引擎&#xff08;一般是innoDB&#xff09;交互 主键索引查询 查询的条件用到了主键&#xff0c;这个是全表唯一的&#xff0c;优化器会选择const类型来查询&#xff0c;然后while循环去根据主键索引的B树结…
阅读更多...
go zero手把手教你入门案例

go zero手把手教你入门案例

一、入门案例 1、在黑窗口上安装 go install github.com/zeromicro/go-zero/tools/goctllatest2、使用goland创建一个项目 3、在项目中安装依赖 go get -u github.com/zeromicro/go-zerolatest4、模拟创建一个user的项目 goctl api new user5、安装依赖包 go mod tidy6、补充代…
阅读更多...
数字音频工作站FL Studio21.1中文版本如何下载？

数字音频工作站FL Studio21.1中文版本如何下载？

在现在这个数字音乐时代&#xff0c;各种音乐中都或多或少有些电子音乐的影子&#xff0c;或是合成器音色、或是通过数字效果器制作出的变幻莫测的变化效果。而小马丁、Brooks、Eliminate等众多电子音乐巨头便是使用FL Studio来制作音乐的。今天小编就以FL Studio五年的资深用户…
阅读更多...
⑩④【MySQL】什么是视图？怎么用？视图的检查选项? 视图的作用？[VIEW]

⑩④【MySQL】什么是视图？怎么用？视图的检查选项? 视图的作用？[VIEW]

个人简介&#xff1a;Java领域新星创作者&#xff1b;阿里云技术博主、星级博主、专家博主&#xff1b;正在Java学习的路上摸爬滚打&#xff0c;记录学习的过程~ 个人主页&#xff1a;.29.的博客 学习社区&#xff1a;进去逛一逛~ 视图VIEW ⑩④详解MySQL视图1. 视图的基本使用…
阅读更多...
U盘如何自定义图标？

U盘如何自定义图标？

1、准备一张图片&#xff0c;转换为.ico格式&#xff0c;转换格式的工具推荐一个ToYcon 转换好后放到拷贝到u盘里面。 2、在u盘里面新建一个文本文档&#xff0c;在文档里面写入以下内容&#xff0c;注意&#xff0c;这里的test为图片的名称。 根据自己图片名称做一下修改。 […
阅读更多...
CAD Exchanger SDK 3.23.0 的亮点

CAD Exchanger SDK 3.23.0 的亮点

代号“CAD Exchanger MTK”的新兴产品首次亮相&#xff0c;支持新版本的流行格式&#xff0c;重新设计的 BIM 模型结构以及 3.23.0 中的 SDK 文档修订 阅读最新版本编写的 Autodesk Inventor 和 NX 文件&#xff0c;享受更严格的 BIM 模型结构&#xff0c;轻松浏览 SDK 文档&am…
阅读更多...
三次握手和四次握手到底有啥区别？

三次握手和四次握手到底有啥区别？

1. 三次握手 TCP 协议中&#xff0c;在发送数据的准备阶段&#xff0c;客户端与服务器之间的三次交互&#xff0c;以保 证连接的可靠。 • 第一次握手&#xff0c;客户端向服务器端发起 TCP 连接的请求• 第二次握手&#xff0c;服务器端发送针对客户端 TCP 连接请求的确认•…
阅读更多...
FISCO BCOS 3.0【01】搭建第一个区块链网络

FISCO BCOS 3.0【01】搭建第一个区块链网络

官方技术文档&#xff1a;https://fisco-bcos-doc.readthedocs.io/zh-cn/latest/index.html 我们在官方技术文档的基础上&#xff0c;进行&#xff0c;对文档中一些不清楚的地方进行修正 搭建Air版本FISCO BCOS联盟链 本节以搭建单群组FISCO BCOS链为例操作&#xff0c;使用开…
阅读更多...
NPDP 02组合管理

NPDP 02组合管理

NPDP 产品经理认证知识体系指南解读&#xff0c;02组合管理 第二章 组合管理 公司战略或经营战略以及创新战略&#xff0c;为竞争性创新投资之间的权衡决策提供了整体方向和框架。在发展和持续性维护一个组织的产品组合时&#xff0c;总要面对一系列彼此竞争资源和投资的项目。…
阅读更多...
Spring Cloud学习（九）【Elasticsearch 分布式搜索引擎01】

Spring Cloud学习（九）【Elasticsearch 分布式搜索引擎01】

文章目录 初识 elasticsearch了解 ES倒排索引ES 的一些概念安装es、kibana安装elasticsearch部署kibana 分词器安装IK分词器ik分词器-拓展词库 索引库操作mapping 映射属性索引库的 CRUD 文档操作添加文档查看、删除文档修改文档Dynamic Mapping RestClient 操作索引库什么是Re…
阅读更多...
Docker之DockerFile解析

Docker之DockerFile解析

DockerFile解析 是什么 Dockerfile是用来构建Docker镜像的文本文件&#xff0c;是由一条条构建镜像所需的指令和参数构成的脚本。 概述 官网 https://docs.docker.com/engine/reference/builder/ 构建三步骤 编写Dockerfile文件 docker build命令构建镜像 docker run依镜像运…
阅读更多...
轻地图+数据闭环加速落地，觉非科技获多家头部车企定点

轻地图+数据闭环加速落地，觉非科技获多家头部车企定点

‍作者 |张祥威 编辑 |德新 智能驾驶日益普及&#xff0c;「轻地图」和「数据闭环」成为各家能力比拼的关键&#xff0c;车企对此的需求也逐渐迫切。 11月16日&#xff0c;觉非科技宣布已与多家头部主机厂达成量产定点合作&#xff0c;围绕轻地图与数据闭环服务&#xff0c;支…
阅读更多...
人工智能Keras的第一个图像分类器（CNN卷积神经网络的图片识别）

人工智能Keras的第一个图像分类器（CNN卷积神经网络的图片识别）

CNN卷积神经网络是人工智能的开端，CNN卷积神经网络让计算机能够认识图片，文字，甚至音频与视频。CNN卷积神经网络的基础知识，可以参考：CNN卷积神经网络 LetNet体系结构是卷积神经网络的“第一个图像分类器”。最初设计用于对手写数字进行分类，上期文章我们分享了如何使用k…
阅读更多...
.Net6 部署到IIS示例

.Net6 部署到IIS示例

基于FastEndpoints.Net6 框架部署到IIS 环境下载与安装IIS启用与配置访问网站 环境下载与安装 首先下载环境安装程序&#xff0c;如下图所示,根据系统位数选择x86或者x64进行下载安装,网址&#xff1a;Download .NET 6.0。 IIS启用与配置 启用IIS服务 打开控制面板&#xff…
阅读更多...
深度学习基础知识——从人工神经网络开始

深度学习基础知识——从人工神经网络开始

一、介绍 您知道第一个神经网络是在 20 世纪 50 年代初发现的吗&#xff1f; 深度学习 (DL) 和神经网络 (NN) 目前正在推动本世纪一些最巧妙的发明。他们从数据和环境中学习的令人难以置信的能力使他们成为机器学习科学家的首选。 深度学习和神经网络是自动驾驶汽车、图像识别软…
阅读更多...
AI先行者第三辑：石油专家正在加速“吸入”AI养分

AI先行者第三辑：石油专家正在加速“吸入”AI养分

AI对于石油行业而言&#xff0c;绝不是一个非此即彼、非黑即白、有用或者无用的简单命题&#xff0c;而是一个如何不断深入去提升效率&#xff0c;逐步证明自己价值的过程。 本篇作者安鹏&#xff0c;中国海洋石油集团有限公司信息技术中心 技术中台工程师&#xff1b;AICA首席…
阅读更多...
22款奔驰S450L升级钢琴内饰板 完美的融合进去

22款奔驰S450L升级钢琴内饰板 完美的融合进去

钢琴拉丝桃木面板装车让人眼前一亮&#xff0c;内饰的豪华度和高级感立马提升一个等级&#xff0c;带条纹的亮面烤漆&#xff0c;温润高端。 为什么升级更换桃木饰板&#xff1f;因为升级桃木饰板可以更换掉一些镀铬银色的装饰件&#xff0c;这样就可以让整车的豪华感大大的提升…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023