hook ExitThread函数

最近在写一个监控系统中某几个进程的线程退出程序，经研究紧紧监控ntterminatethread程序是不够的，故需要监控exitthread程序，但该程序在内核中没有具体有意义的对应函数，在用户层inline hook但用户内存受到保护，无法下手。
请高手指点一下，这个问题该如何解决，敬请期待：）

问题还是没解决，高手们该出手了：）

ExitThread最终调用的就是NtTerminateThread

kernel32::ExitThread->ntdll::NtTerminateThread->ntkrnl::NtTerminateThread

hook PspExitThread或PspTerminateThreadByPointer
应该够底层了~

引用第2楼GNiDiA于2007-07-16 11:12发表的  :
ExitThread最终调用的就是NtTerminateThread

kernel32::ExitThread->ntdll::NtTerminateThread->ntkrnl::NtTerminateThread

非常感谢你的回答，但是2000不是这样的：）

引用第3楼WQXNETQIQI于2007-07-16 11:51发表的  :
hook PspExitThread或PspTerminateThreadByPointer
应该够底层了~

可是在2000中exitthread没有调用PspExitThread、PspTerminateThreadByPointer函数？

最后一个线程的ExitThread会直接调用ExitProcess，不再向下调用NtTerminateThread了

XP和2000没这么大差别吧？正好我装了2000 SERVER SP4，有空要看看了。