微信公众号搜"智元新知"关注
微信扫一扫可直接关注哦！

Windows的事件通知机制

分类：Windows作者：编程之家原文地址AI导航网

Windows系统内核提供了一系列的事件通知(Notify)机制以及回调(Callback)机制。
事件通知机制：用于监控系统内某一事件的操作。
回调机制：用来反映系统内某一个部件的状态，也可以被用来实现多个内核模块之间的通信。

本文主要介绍一下事件通知机制！

事件通知机制

常见的事件通知有：

  1. 创建进程通知(CreateProcessnotify)

  2. 创建线程通知(CreateThreadNotify)

  3. 加载模块通知(LoadImageNotify)

  4. 注册表操作通知

注意：一旦事件通知被成功注册后，在不需要时(如驱动卸载)，一定要进行移除操作，否则系统会崩溃。

创建进程通知

当一个进程被创建以及一个进程结束时，系统会有一个通知的时机，可以通过PsSetCreateProcessnotifyRoutine函数注册一个创建进程通知。

NTSTATUS
NTAPI
PsSetCreateProcessnotifyRoutine(
	_In_ PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine,// 通知例程指针
	_In_ BOOLEAN Remove); // 为FALSE表示注册操作，为TRUE表示移除操作

typedef 
VOID
(NTAPI *PCREATE_PROCESS_NOTIFY_ROUTINE)(
	_In_ HANDLE ParentId,	// 父进程ID
	_In_ HANDLE ProcessId,	// 引发该通知的进程ID
	_In_ BOOLEAN Create);   // 为TRUE表示创建进程通知，为FALSE表示进程结束通知

通知例程没有返回值，不能通过返回值来使系统改变进程创建或结束的行为。

另外，通知的过程是以阻塞方式进行的，如果前面一个通知例程没有返回，下一个通知例程也不会被调用。

从Vista系统开始，系统提供了PsSetCreateProcessnotifyRoutineEx来注册进程通知，它和PsSetCreateProcessnotifyRoutine的不同在于，它可以控制进程创建的结果（通过CreateInfo->CreationStatus）。

NTSTATUS
NTAPI
PsSetCreateProcessnotifyRoutineEx(
    IN PCREATE_PROCESS_NOTIFY_ROUTINE_EX NotifyRoutine,
    IN BOOLEAN Remove);

typedef 
VOID
(NTAPI *PCREATE_PROCESS_NOTIFY_ROUTINE_EX)(
    _Inout_ PEPROCESS Process,	// 引发该通知的进程EPROCESS
    _In_ HANDLE ProcessId,		// 进程ID
    _Inout_opt_ PPS_CREATE_NOTIFY_INFO CreateInfo);	// 创建进程通知时表示与进程创建相关的信息，进程结束通知时为NULL

typedef struct _PS_CREATE_NOTIFY_INFO {
    SIZE_T Size;
    union 
    {
      _In_ ULONG Flags;
      struct 
      {
          ULONG FileOpenNameAvailable:1;
          ULONG Reserved:31;
      } DUMMYSTRUCTNAME;
    } DUMMYUNIONNAME;
    HANDLE ParentProcessId;		// 父进程ID
    CLIENT_ID CreatingThreadId;	// 父进程信息
    struct _FILE_OBJECT *FileObject;	// 进程可执行文件的文件对象指针
    PCUNICODE_STRING ImageFileName;	// 进程名称
    PCUNICODE_STRING CommandLine;	// 命令行
    NTSTATUS CreationStatus;	// 进程的创建结果，修改该值为某一错误码可以阻止进程创建，常用的错误码是0xC0000022(STATUS_ACCESS_DENIED)，表示拒绝操作。
} PS_CREATE_NOTIFY_INFO, *PPS_CREATE_NOTIFY_INFO;
typedef struct _CLIENT_ID
{
    HANDLE UniqueProcess;	// 父进程ID
	HANDLE UniqueThread;	// 父进程创建子进程的线程ID
} CLIENT_ID, *PCLIENT_ID;

有一个问题，通知例程是被哪一个线程调用的呢？

答案是：

对于创建来说，通知例程运行在创建该进程的线程上下文中。例如，进程A调用CreateProcess函数创建子进程B，那么通知例程就运行在进程A中线程的上下文中。

对于结束来说，通知例程运行在该进程最后一个退出的线程的上下文中。

创建线程通知

当一个线程被创建或结束时，系统也会有一个通知。可以通过PsSetCreateThreadNotifyRoutine函数注册一个创建线程通知。

与创建进程通知不同的是，创建线程通知的注册和移除是通过两个函数完成的。

// 注册
NTSTATUS
NTAPI
PsSetCreateThreadNotifyRoutine(
	_In_ PCREATE_THREAD_NOTIFY_ROUTINE NotifyRoutine);
// 移除
NTSTATUS
NTAPI
PsRemoveCreateThreadNotifyRoutine(
    IN PCREATE_THREAD_NOTIFY_ROUTINE NotifyRoutine);

typedef VOID
(NTAPI *PCREATE_THREAD_NOTIFY_ROUTINE)(
    _In_ HANDLE ProcessId,	// 线程所属进程的ID
    _In_ HANDLE ThreadId,	// 引发该通知的线程ID
    _In_ BOOLEAN Create);	// TRUE表示创建线程，FALSE表示线程结束

创建线程时，通知例程在创建线程的上下文中。例如，ID为1000的线程创建ID为2000的线程，那么通知例程在ID为1000的线程上下文中。

线程结束时，通知例程在即将结束线程的上下文中。

加载模块通知

当一个模块被加载时，会触发一个加载模块的通知。当通知发生时，模块已经被映射到内存中，但是模块内的代码还没有开始执行。

// 注册
NTSTATUS
NTAPI
PsSetLoadImageNotifyRoutine(
	_In_ PLOAD_IMAGE_NOTIFY_ROUTINE NotifyRoutine);
// 移除
NTSTATUS
NTAPI
PsRemoveLoadImageNotifyRoutine(
	_In_ PLOAD_IMAGE_NOTIFY_ROUTINE NotifyRoutine);

typedef VOID
(NTAPI *PLOAD_IMAGE_NOTIFY_ROUTINE)(
	_In_ PUNICODE_STRING FullImageName,	// 模块路径，有可能为NULL
    _In_ HANDLE ProcessId,				// 加载该模块的进程ID
    _In_ PIMAGE_INFO ImageInfo);	    // 模块加载的详细信息

typedef struct _IMAGE_INFO {
    union 
    {
        ULONG Properties;
        struct 
        {
            ULONG ImageAddressingMode:8;	// 值为IMAGE_ADDRESSING_MODE_32BIT
            ULONG SystemModeImage:1;		// 1表示内核模块，0表示用户模块
            ULONG ImageMappedToAllPids:1;	// 值为0
            ULONG ExtendedInfoPresent:1;	// 值为1时表示当前结构体为扩展结构体IMAGE_INFO_EX的一部分
            ULONG Reserved:21;
        } DUMMYSTRUCTNAME;
    } DUMMYUNIONNAME;
    PVOID ImageBase;		// 模块加载的基地址
    ULONG ImageSelector;	// 值为0
    SIZE_T ImageSize;		// 模块大小
    ULONG ImageSectionNumber;	// 值为0
} IMAGE_INFO, *PIMAGE_INFO;

// 可以通过CONTAINING_RECORD来获得IMAGE_INFO_EX的地址
typedef struct _IMAGE_INFO_EX {
    SIZE_T Size;
    IMAGE_INFO ImageInfo;
    struct _FILE_OBJECT *FileObject;	// 加载模块对应的文件对象指针
} IMAGE_INFO_EX, *PIMAGE_INFO_EX;

注册表操作通知

也称为注册表操作回调或注册表回调。但这个回调和下面的回调不一样。

// 注册
NTSTATUS
NTAPI
CmRegisterCallback(
    IN PEX_CALLBACK_FUNCTION Function,	// 回调例程
    IN PVOID Context,	// 用户自定义的数据结构，用于数据传递，不需要可设为NULL
    IN OUT PLARGE_INTEGER Cookie);	// 注册成功时，会保存注册的信息，最后移除时需要提供它
// 移除
NTSTATUS
NTAPI
CmUnRegisterCallback(IN LARGE_INTEGER Cookie)

NTSTATUS
RegistryCallback(
	IN PVOID CallbackContext,	  // 就是CmRegisterCallback的第二参数
	IN PVOID Argument1 OPTIONAL,  // 注册表操作的类型，是个枚举
    IN PVOID Argument2 OPTIONAL);

typedef enum _REG_NOTIFY_CLASS {
  RegNtDeleteKey,
  RegNtPreDeleteKey = RegNtDeleteKey,
  RegNtSetValueKey,
  RegNtPreSetValueKey = RegNtSetValueKey,
  RegNtDeleteValueKey,
  RegNtPreDeleteValueKey = RegNtDeleteValueKey,
  RegNtSetinformationKey,
  RegNtPreSetinformationKey = RegNtSetinformationKey,
  RegNtRenameKey,
  RegNtPreRenameKey = RegNtRenameKey,
  RegNtEnumerateKey,
  RegNtPreEnumerateKey = RegNtEnumerateKey,
  RegNtEnumerateValueKey,
  RegNtPreEnumerateValueKey = RegNtEnumerateValueKey,
  RegNtQueryKey,
  RegNtPreQueryKey = RegNtQueryKey,
  RegNtQueryValueKey,
  RegNtPreQueryValueKey = RegNtQueryValueKey,
  RegNtQueryMultipleValueKey,
  RegNtPreQueryMultipleValueKey = RegNtQueryMultipleValueKey,
  RegNtPreCreateKey,
  RegNtPostCreateKey,
  RegNtPreOpenKey,
  RegNtPostOpenKey,
  RegNtKeyHandleClose,
  RegNtPreKeyHandleClose = RegNtKeyHandleClose,
  RegNtPostDeleteKey,
  RegNtPostSetValueKey,
  RegNtPostDeleteValueKey,
  RegNtPostSetinformationKey,
  RegNtPostRenameKey,
  RegNtPostEnumerateKey,
  RegNtPostEnumerateValueKey,
  RegNtPostQueryKey,
  RegNtPostQueryValueKey,
  RegNtPostQueryMultipleValueKey,
  RegNtPostKeyHandleClose,
  RegNtPreCreateKeyEx,
  RegNtPostCreateKeyEx,
  RegNtPreOpenKeyEx,
  RegNtPostOpenKeyEx,
  RegNtPreFlushKey,
  RegNtPostFlushKey,
  RegNtPreLoadKey,
  RegNtPostLoadKey,
  RegNtPreUnLoadKey,
  RegNtPostUnLoadKey,
  RegNtPreQueryKeySecurity,
  RegNtPostQueryKeySecurity,
  RegNtPreSetKeySecurity,
  RegNtPostSetKeySecurity,
  RegNtCallbackObjectContextCleanup,
  RegNtPreRestoreKey,
  RegNtPostRestoreKey,
  RegNtPreSaveKey,
  RegNtPostSaveKey,
  RegNtPreReplaceKey,
  RegNtPostReplaceKey,
  MaxRegNtNotifyClass
} REG_NOTIFY_CLASS, *PREG_NOTIFY_CLASS;

注册表具体的每一个操作，被分解成前操作(pre)和后操作(post)。

不同的枚举值代表不同的注册表操作，不同的操作也对应不同的操作信息，这个信息存在Argument2中。

例如：当Argument1为RegNtPreCreateKey时，Argument2作为指针指向REG_PRE_CREATE_KEY+informatION类型的结构体，结构体内包含相应的操作信息或结果。

回调例程若返回STATUS_SUCCESS表示成功，配置管理器会继续处理这个操作。

若返回一个错误码，如STATUS_ACCESS_DENIED，配置管理器会停止处理这个注册表请求，并把错误码作为最终的操作结果返回给调用线程。

测试代码：

typedef
NTSTATUS(_stdcall *LPFN_PSSETCREATEPROCESsnotifyROUTINEEX)(
	IN PCREATE_PROCESS_NOTIFY_ROUTINE_EX  NotifyRoutine,
	IN BOOLEAN  Remove
	);

LPFN_PSSETCREATEPROCESsnotifyROUTINEEX __PsSetCreateProcessnotifyRoutineEx = NULL;
BOOLEAN bUseEx = FALSE;
BOOLEAN bSuccess = FALSE;
LARGE_INTEGER gCookie = { 0 };

VOID
CreateThreadNotify(
	HANDLE ProcessId,
	HANDLE ThreadId,
	BOOLEAN Create)
{
	if (Create)
	{
		DbgPrint("创建线程，线程ID: %08X 进程ID: %08X", ThreadId, ProcessId);
	}
	else
	{
		DbgPrint("终止线程，线程ID: %08X 进程ID: %08X", ThreadId, ProcessId);
	}
}
VOID
LoadImageNotify(
	PUNICODE_STRING FullImageName,
	HANDLE ProcessId,
	PIMAGE_INFO ImageInfo)
{
	if (FullImageName != NULL)
	{
		DbgPrint("加载模块：%ws", FullImageName->Buffer);
	}
	if (ImageInfo != NULL)
	{
		DbgPrint("模块基地址：%08X", ImageInfo->ImageBase);
	}
}
VOID CreateProcessnotify(
	IN HANDLE   ParentId,
	IN HANDLE   ProcessId,
	IN BOOLEAN  Create)
{
	if (Create)
	{
		DbgPrint("创建进程，进程ID: %08X 父进程ID: %08X", ProcessId, ParentId);
	}
	else
	{
		DbgPrint("终止进程，进程ID: %08X 父进程ID: %08X", ProcessId, ParentId);
	}	
}
VOID
CreateProcessnotifyEx(
	PEPROCESS Process,
	HANDLE ProcessId,
	PPS_CREATE_NOTIFY_INFO CreateInfo)
{
	if (CreateInfo != NULL)
	{
		DbgPrint("创建进程Ex，进程ID: %08X 父进程ID: %08X", ProcessId, CreateInfo->ParentProcessId);
	}
	else
	{
		DbgPrint("终止进程Ex，进程ID: %08X 父进程ID: %08X", ProcessId, CreateInfo->ParentProcessId);
	}
}
void DriverUnload(PDRIVER_OBJECT DriverObject)
{
	UNREFERENCED_ParaMETER(DriverObject);
	if (!bSuccess)
	{
		return;
	}
	if (bUseEx && __PsSetCreateProcessnotifyRoutineEx)
	{
		__PsSetCreateProcessnotifyRoutineEx(CreateProcessnotifyEx, TRUE);
	}
	else
	{
		PsSetCreateProcessnotifyRoutine(CreateProcessnotify, TRUE);
	}
	PsRemoveCreateThreadNotifyRoutine(CreateThreadNotify);
	PsRemoveLoadImageNotifyRoutine(LoadImageNotify);
}
NTSTATUS
DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegisterPath)
{
	//解引用
	UNREFERENCED_ParaMETER(RegisterPath);
	NTSTATUS Status = STATUS_SUCCESS;

	do
	{
		UNICODE_STRING FunctionName = { 0 };
		RtlInitUnicodeString(&FunctionName, L"PsSetCreateProcessnotifyRoutineEx");
		__PsSetCreateProcessnotifyRoutineEx = (LPFN_PSSETCREATEPROCESsnotifyROUTINEEX)MmGetSystemRoutineAddress(&FunctionName);
		if (__PsSetCreateProcessnotifyRoutineEx == NULL)
		{
			break;
		}
		if (__PsSetCreateProcessnotifyRoutineEx(CreateProcessnotifyEx, FALSE) != STATUS_SUCCESS)
		{
			break;
		}
		bSuccess = TRUE;
		bUseEx = TRUE;
		Status = STATUS_SUCCESS;
	} while (FALSE);
	do
	{
		if (bUseEx == TRUE)
		{
			break;
		}
		if (PsSetCreateProcessnotifyRoutine(CreateProcessnotify, FALSE) != STATUS_SUCCESS)
		{
			break;
		}
		bSuccess = TRUE;
		Status = STATUS_SUCCESS;
	} while (FALSE);

	if (PsSetCreateThreadNotifyRoutine(CreateThreadNotify) != STATUS_SUCCESS)
	{
		DbgPrint("PsSetCreateThreadNotifyRoutine() Failed");
	}
	if (PsSetLoadImageNotifyRoutine(LoadImageNotify) != STATUS_SUCCESS)
	{
		DbgPrint("PsSetLoadImageNotifyRoutine() Failed");
	}

	//设置驱动卸载例程
	DriverObject->DriverUnload = DriverUnload;
	return Status;
}

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

Windows2012R2备用域控搭建
Windows2012R2备用域控搭建 前置操作 域控主域控的主dns：自己的ip备域控的主dns：自己的ip，备dns：主域控的ip 客户端主dns：主域控的ip，备dns：备域控的ip 一般说主和备，主要是指担任PDC放置的角色的这台DC，所有修改密码的操作必须由这台DC应答 除了修改密码、域管
主域控角色迁移和夺取（转载）
主域控角色迁移和夺取（转载） 转载自：http://yupeizhi.blog.51cto.com/3157367/1427978 操作系统版本：Windows2012R2 数据中心版 FSMO角色迁移 主域控没有挂的情况下使用FSMO角色迁移 FSMO角色迁移步骤，下面步骤在备用域控上执行 0、使
Windows2012R2 NTP时间同步
Windows2012R2 NTP时间同步 Windows2012R2里没有了internet时间，需要使用另外的方式去做时间同步 下面分两个情况 两个情况，两个情况都需要用修改组策略的方式来做 情况一 没有Windows域环境 集群中的每个服务器都要能上网，每个服务器都要执行下面的操作 开启 NT
Windows注册表操作基础代码
Windows注册表操作基础代码 Windows下对注册表进行操作使用的一段基础代码Reg.h:#pragmaonce#include<assert.h>#include<windows.h>classReg{HKEYhkey;public:voidopen(HKEYroot
黑客常用WinAPI函数整理
黑客常用WinAPI函数整理之前的博客写了很多关于Windows编程的内容，在Windows环境下的黑客必须熟练掌握底层API编程。为了使读者对黑客常用的Windows API有个更全面的了解以及方便日后使用API方法的查询，特将这些常用的API按照7大分类进行整理如下，希望对大家的学习有所帮助。一
一个简单的Windows Socket可复用框架
一个简单的Windows Socket可复用框架说起网络编程，无非是建立连接，发送数据，接收数据，关闭连接。曾经学习网络编程的时候用Java写了一些小的聊天程序，Java对网络接口函数的封装还是很简单实用的，但是在Windows下网络编程使用的Socket就显得稍微有点繁琐。这里介绍一个自己封装的一
Windows文件操作基础代码
Windows文件操作基础代码 Windows下对文件进行操作使用的一段基础代码File.h，首先是File类定义：#pragmaonce#include<Windows.h>#include<assert.h>classFile{HANDLEhFile;//文件句柄publ
Winpcap基础代码
Winpcap基础代码 使用Winpcap进行网络数据的截获和发送都需要的一段代码：#include<PCAP.H>#pragmacomment(lib,"wpcap.lib")//#pragmacomment(lib,"ws2_32.lib")#
使用vbs脚本进行批量编码转换
使用vbs脚本进行批量编码转换 最近需要使用SourceInsight查看分析在Linux系统下开发的项目代码，我们知道Linux系统中文本文件默认编码格式是UTF-8，而Windows中文系统中的默认编码格式是Gb2312。系统内的编码格式有所区别倒无伤大雅，关键的是SourceInsigh...
缓冲区溢出攻击
缓冲区溢出攻击缓冲区溢出（Buffer Overflow）是计算机安全领域内既经典而又古老的话题。随着计算机系统安全性的加强，传统的缓冲区溢出攻击方式可能变得不再奏效，相应的介绍缓冲区溢出原理的资料也变得“大众化”起来。其中看雪的《0day安全：软件漏洞分析技术》一书将缓冲区溢出攻击的原理阐述得简洁
苹果市值2025年有望达4万亿美元
pythonJavaScriptjavaHTMLreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-bootreact-native