1無(wú)hook監(jiān)控進(jìn)線程啟動(dòng)退出

說(shuō)到實(shí)現(xiàn)進(jìn)程創(chuàng)建，相信不少人的第一反應(yīng)是HookNtCreateProces或NtCreateUserProcess。不過(guò)從今以后， 棄這一思路，使用在WINDOWSVISTA才有的一個(gè)新API：沒(méi)錯(cuò)，在NT5系列系統(tǒng)上，有一個(gè)函數(shù)名字叫PsSetCreateProcessNotifyRoutine的回調(diào)函數(shù)的可用信息太少了（僅有『新，NTSTATUSNTSTATUS REATE_PROCESS_NOTIFY_ROUTINE_EXinBOOLEAN接下來(lái)看看回調(diào)函數(shù)NotifyRoutine的原型：VOIDVOID PEPROCESSHANDLE,PPS_CREATE_NOTIFY_INFOtypedeftypedefstruct{SIZE_T union{ULONGFlags;struct{ULONGFileOpenNameAvailable ;struct_FILE_OBJECT }PS_CREATE_NOTIFY_INFO,可見在這個(gè)結(jié)構(gòu)體里，包含了很多的信息，不僅包含父進(jìn)程ID，父線程ImageFileName里）和命令行參數(shù)！最絕的是，如果要進(jìn)程創(chuàng)建，直接把 NTKERNELAPIPCHARPsGetProcessImageFileName(PEPROCESSNTKERNELAPINTSTATUSPsLookupProcessByProce(HANDLEProce,PEPROCESS//通過(guò)PIDPCHARGetProcessNameByProce(HANDLEProce{NTSTATUSPCHARstring=NULL;st=PsLookupProcessByProce(Proce,&ProcessObj);{}return} HANDLEProce,in_optPPS_CREATE_NOTIFY_INFO){NTSTATUSHANDLEhProcess=NULL;_IDId={0};charxxx[16]={0}; {DbgPrint("[monitor_create_process_x64][%ld]%s創(chuàng)建進(jìn)程:%wZ",{ //創(chuàng)建進(jìn)}}{出:%s",PsGetProcessImageFileName(Process));}}敗。因?yàn)镸SDN上有這么一個(gè)限制：TheimagethatcontainsthecallbackroutinepointermusthaveIMAGE_DLLCHARACTERISTICS__INTEGRITYsetinitsimageheader.接下來(lái)說(shuō)說(shuō)線程創(chuàng)建和的監(jiān)視。監(jiān)視線程的創(chuàng)建和是使用PsSetCreateThreadNotifyRoutine來(lái)創(chuàng)建回調(diào)函數(shù)，而取消回調(diào)函數(shù)則使用 PCREATE_THREAD_NOTIFY_ROUTINE_In_PCREATE_THREAD_NOTIFY_ROUTINEINHANDLEProceINHANDLEThreadId,INBOOLEANCreate你，此時(shí)可以采取相應(yīng)的動(dòng)作。不過(guò)郁悶的是，在CreateThreadNotify里，只能監(jiān)視線程的創(chuàng)建和，卻不能線程創(chuàng)建。經(jīng)測(cè)試，在通知回調(diào)