Windows系统时间修改监视技术及回调机制.pdfVIP

在WIN32时代，通过HOOKNtSetSystemTime可以对时间日期的修改。不过在WIN64

里，实现内核级别的已经不可能了，但实现监视还是没问题的（注意“”和“监视”这

两个的区别）。

在讲监视时间修改之前，必须说一种神奇的内核对象，叫做“回调”。如果你一个

回调函数，就会在系统发生指定变化的时候你，不过属于“事后诸葛亮”类型的，就是

说，当你知道某个事情已经发生的时候，已经无法了。既然说它是一个内核对象，也就

是说任何驱动都可以自行一个回调类型（注意“回调函数”和“回调类型”的

区别）。系统中有什么“回调”可以通过WINOBJ查看：

从图中可见这些回调的名字乱七八糟的，很明显大多是第驱动的。不过也有几

个是系统自带的，比如ProcessorAdd、SetSystemState、SetSytemTime等。这次我们使用的，

是SetSytemTime。回调函数非常简单，先使用ExCreateCallback打开一个回调类型（这

货跟CreateFile的德行一样，可以作为Create和Open两用），然后使用ExRegisterCallback把

你的回调函数“登记在册”。如果不用了，就使用ExUnregis