|
阅读：1540回复：4
关于如何获得windows下进程创建和中止的消息
windows创建和杀死一个进程，会发出一些系统消息来通知系统的，我现在想收集这些消息，请问各位有什么好的方法吗？
procexp好像就是用这个原理做的 |
|
|
沙发#
发布于：2004-05-13 14:54
PsSetCreateProcessNotifyRoutine
|
|
|
板凳#
发布于：2004-05-13 16:24
或者做个API HOOK
截获CreateProcess和TerminateProcess等API 不过楼上的说的这个函数看起来比hook要好一些，偶没有用过这个 |
|
|
|
地板#
发布于：2004-05-16 23:24
API HOOK
好像HOOK 不到CreateProcess吧，我试过好像不行 |
|
|
地下室#
发布于：2004-05-19 08:56
你说的procxp是指Process Explorer（http://www.sysinternals.com/ntw2k/freeware/procexp.shtml）这个吧，他好像用的定时刷新，我看他里面有个设置刷新间隔。
PsSetCreateProcessNotifyRoutine这个函数要ring0级别的才能用，应为是从ntoskrnl.exe引出的。 |
|