内核监控进程与线程创建：PsSetCreateProcesotifyRoutineEx应用.pdfVIP

监控进程的启动与退出可以使用PsSetCreateProcessNotifyRoutineEx来创建回调，当新进程产生

时，回调函数会被率先执行，然后执行我们自己的MyCreateProcessNotifyEx函数，并在内部进行打

印输出。

#includentddk.h

NTKERNELAPIPCHARPsGetProcessImageFileName(PEPROCESSProcess);

NTKERNELAPINTSTATUSPsLookupProcessByProcessId(HANDLEProcessId,PEPROCESS

Process);

PCHARGetProcessNameByProcessId(HANDLEProcessId)

{

NTSTATUSst=STATUS_UNSUCCESSFUL;

PEPROCESSProcessObj=NULL;

PCHARstring=NULL;

st=PsLookupProcessByProcessId(ProcessId,ProcessObj);

if(NT_SUCCESS(st))

{

string=PsGetProc