Función PsSetCreateProcessNotifyRoutineEx2 (ntddk.h)
La rutina PsSetCreateProcessNotifyRoutineEx2 registra o quita una rutina de devolución de llamada que notifica al autor de la llamada cuando se crea o elimina un proceso.
Sintaxis
NTSTATUS PsSetCreateProcessNotifyRoutineEx2(
[in] PSCREATEPROCESSNOTIFYTYPE NotifyType,
[in] PVOID NotifyInformation,
[in] BOOLEAN Remove
);
Parámetros
[in] NotifyType
Valor de tipo PSCREATEPROCESSNOTIFYTYPE que indica el tipo de notificación de proceso.
[in] NotifyInformation
Dirección de la información de notificación para el tipo especificado de notificación de proceso. Si NotifyType es PsCreateProcessNotifySubsystems, NotifyInformation es un PCREATE_PROCESS_NOTIFY_ROUTINE_EX que especifica el punto de entrada de la devolución de llamada proporcionada por el autor de la llamada.
[in] Remove
Valor booleano que especifica si PsSetCreateProcessNotifyRoutineEx2 agregará o quitará una rutina especificada de la lista de rutinas de devolución de llamada. Si este parámetro es TRUE, la rutina especificada se quita de la lista de rutinas de devolución de llamada. Si este parámetro es FALSE, la rutina especificada se agrega a la lista de rutinas de devolución de llamada. Si Remove es TRUE, el sistema también espera a que se completen todas las rutinas de devolución de llamada en curso antes de volver.
Valor devuelto
PsSetCreateProcessNotifyRoutineEx2 devuelve uno de los siguientes valores NTSTATUS:
| Código devuelto | Descripción |
|---|---|
|
La rutina especificada ahora está registrada con el sistema operativo. El sistema operativo llama a esta rutina cada vez que se crea un nuevo proceso. |
|
La rutina especificada ya estaba registrada o el sistema operativo ha alcanzado su límite para registrar rutinas de devolución de llamada de creación de procesos.
NotifyType no es PsCreateProcessNotifySubsystems. |
|
La imagen que contiene el puntero rutina de devolución de llamada no tenía IMAGE_DLLCHARACTERISTICS_FORCE_INTEGRITY establecido en su encabezado de imagen. |
Comentarios
Los controladores pueden llamar a PsSetCreateProcessNotifyRoutineEx2 para registrar sus rutinas de notificación de creación de procesos.
Una vez registrada una rutina proporcionada por el controlador, se llama a con el identificador único (indicado por ProcessId) del proceso creado o eliminado. ParentId identifica el proceso primario del nuevo proceso (este es el elemento primario que se usa para prioridad, afinidad, cuota, token y administración de herencia, entre otros) si se creó con la opción heredar identificadores. Si se creó sin las opciones de identificador de herencia, el identificador de proceso primario es NULL.
Si el valor Create es TRUE, se creó el proceso del subsistema; FALSE indica que se eliminó el proceso.
Cuando se crea el proceso, se invoca la función de devolución de llamada justo después de crear el primer subproceso del proceso. Por el contrario, para su eliminación, la función se invoca después de que finalice el último subproceso del proceso y el espacio de direcciones esté a punto de eliminarse. Es posible que la devolución de llamada solo se invoque para su eliminación sin obtener una llamada de creación en los casos en los que se creó y eliminó el proceso sin que se cree un subproceso.
Un controlador debe quitar cualquier función de devolución de llamada que registre antes de descargarla. Puede quitar la devolución de llamada llamando a PsSetCreateProcessNotifyRoutineEx2 con Remove = TRUE.
Requisitos
| Requisito | Value |
|---|---|
| Cliente mínimo compatible | Windows 10, versión 1703 |
| Servidor mínimo compatible | Windows Server 2016 |
| Plataforma de destino | Universal |
| Encabezado | ntddk.h (incluya Ntddk.h) |
| Library | NtosKrnl.lib |
| Archivo DLL | NtosKrnl.exe |
| IRQL | PASSIVE_LEVEL |
| Reglas de cumplimiento de DDI | HwStorPortProhibitedDIs, PowerIrpDDis |
Consulte también
PCREATE_PROCESS_NOTIFY_ROUTINE_EX