内核进程回调遍历【记录】

函数名：PsSetCreateProcessNotifyRoutine   //添加或删除进程创建退出例程！
原型：
NTSTATUS PsSetCreateProcessNotifyRoutine([in] PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine,[in] BOOLEAN                        Remove
);
参数
[in] NotifyRoutine
指定调用方提供的进程创建回调例程的入口点。请参阅PCREATE_PROCESS_NOTIFY_ROUTINE。
[in] Remove
指示是否应将 NotifyRoutine 指定的例程添加到系统的通知例程列表中，或从中删除该例程。如果为 FALSE，则将指定的例程添加到列表中。如果为 TRUE，则从列表中删除指定的例程。
返回值
PsSetCreateProcessNotify 例程可以返回下列值之一：
返回代码    描述
STATUS_SUCCESS
给定的 NotifyRoutine 现在已向系统注册。
STATUS_INVALID_PARAMETER
给定的 NotifyRoutine 已注册，因此此调用是冗余调用，或者系统已达到注册进程创建回调的限制。

 1. `打开WinDbg`2. WinDbg->U PsSetCreateProcessNotifyRoutine

 3. 取出红色框中的地址 fffff807`0ddfdc804. WinDbg->U fffff807`0ddfdc80 L200

 5. 继续取出地址 - 这其实就是一个进程回调数组首地址6. WinDbg->DQ fffff807`0dbbb060

数一数是十个回调，嗯我看下PChunter或其他工具，都一致。

7. 取第一个地址试试ffffe706`2105042f->掩码->&0xFFFFFFFFFFFFFFF8 = 0xFFFFE70621050428
8. 得到的还不是真正的对象地址，需要WinDbg->DQ 0xFFFFE70621050428

这时候就得到了所谓的回调入口地址，对比下方PChunter的内容确实是一致，是第一个回调对象！

如果创建的是EX好像有HANDLE的什么，就不细研究了。

内核进程回调遍历【记录】相关推荐

clientdataset 遍历字段_解决DBGridEh遍历记录后不移动当前行位置的方法
解决DBGridEh遍历记录后不移动当前行位置的方法在用DBGridEh配合ClientDataSet使用时,需要知道用户选择了哪些记录,可用遍历记录的方法查询选择列是否为真,但在这之后,Clien ...
Gilde 加载高斯模糊图片没有走到listener回调原因记录
1.如下,用的Glide4.0 RequestOptions options = new RequestOptions().diskCacheStrategy(DiskCacheStrategy.NO ...
支付宝支付回调，回调日志记录
1.支付报支付回调方法 public function aliPayNotify(){try {$app = PayService::alipay();$collect = $app->veri ...
寒江独钓第二章(3)Hook分发函数和回调函数
前面两节讲的是通过在设备栈上绑定一个新的设备实现键盘过滤.这是非常正统的方法,是合法软件行为.一般黑客软件不会采用这么正道的方法. 黑客可以通过修改一个已经存在的驱动对象(比如前面提到的Kbd ...
C#学习记录（七）委托、高级委托
目录 1.什么是委托 2.委托的一般使用 3.多播(multicast)委托 1.什么是委托委托(delegate)是函数指针的升级版实例C/C++中的函数指针一切皆地址变量(数据)是以某个地 ...
C++回调函数用法(zz)
一.回调函数我们经常在C++设计时通过使用回调函数可以使有些应用(如定时器事件回调处理.用回调函数记录某操作进度等)变得非常方便和符合逻辑,那么它的内在机制如何呢,怎么定义呢?它和其它函数(比如钩子 ...
利用XSLT把ADO记录集转换成XML
由于XML(可扩展标记语言:eXtensible Markup Language)真正的平台无关性,它正在逐渐成为数据传输的主要介质.XML是一种自描述的语言,数据本身就已经包含了元数据,即关于数据本 ...
Python 装饰器记录总结 (终极版)
Python 装饰器记录总结 (终极版) 原文链接:http://magicroc.com/2017/04/10/Python装饰器记录总结/ 装饰器是一个函数,一个用来包装函数的函数,装饰器在函数申 ...
C++回调函数用法(zt)
一回调函数我们经常在C++设计时通过使用回调函数可以使有些应用(如定时器事件回调处理.用回调函数记录某操作进度等)变得非常方便和符合逻辑,那么它的内在机制如何呢,怎么定义呢?它和其它函数(比如钩子函 ...
彻彻底底了解回调函数
什么是回调函数? 一,回调函数我们经常在C 设计时通过使用回调函数可以使有些应用(如定时器事件回调处理.用回调函数记录某操作进度等)变得非常方便和符合逻辑,那么它的内在机制如何呢,怎么定义呢?它和其 ...

内核进程回调遍历【记录】

内核进程回调遍历【记录】相关推荐

最新文章

热门文章