Win驱动编程：枚举与绕过进程及线程回调技术详解.pdfVIP

进程回调可以监视进程的创建和，这个面的章节已经讲过了。某些游戏保护的驱

动用这个函数来监视有没有中的程序运行，如果运行则运行或者把游戏。

而线程回调则通常用来线程的建立，如果发现有线程注入到了游戏进程里，则马

如

上把游戏。现在来详细讲解何绕过这两个。

我们的进程回调，会在一个名为PspCreateProcessNotifyRoutine的数组里。

I

PspCreateProcessNotifyRoutine可以理解成一个PVOD数组，它记录了系统里所有进程回调的

调

地址。这个数组最大长度是64*sizeof(PVOID)。所以枚举进程回的思路如下：找到这个数组的