创建/结束进程回调 PsSetCreateProcessNotifyRoutine

PsSetCreateProcessNotifyRoutine

PsSetCreateProcessNotifyRoutine添加或者移除一个驱动支持的回调例程（也可以成为函数）。

当一个进程被创建或者删除时，一系列的例程将会被调用。PS:相当于把例程加入到一个链表中，当进程被创建或者删除时，所有的例程都会被调用（应该是这个意思）

NTSTATUS
PsSetCreateProcessNotifyRoutine(
IN PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine, 例程函数的入口地址，
IN BOOLEAN Remove  FALSE时，添加例程到链表， TRUE,从链表中删除该例程
);

返回值：

STATUS_SUCCESS 例程被注册到系统中
STATUS_INVALID_PARAMETER 例程已被注册过，所以此例程是多余的，或者已经达到了注册个数的上限。

评注：

最高级的驱动可以调用 PsSetCreateProcessNotifyRoutine 去设置他们的进程创建通知例程，声明如下：

VOID
(*PCREATE_PROCESS_NOTIFY_ROUTINE) (
IN HANDLE ParentId,
IN HANDLE ProcessId,
IN BOOLEAN Create
);

ParentId和ProcessId 用于确定进程，Create参数表明进程是创建还是删除。

一个IFS或最高级的system-profiling驱动可能注册一个process-creation回调去追踪全系统的创建和删除进程而不是驱动的内部的，
对于Vista和其后的版本，系统可以创建高达64个系统创建回调。

一个驱动在卸载前，必须移除所有它注册过的例程，你可以通过调用PsSetCreateProcessNotify (Remove = TRUE)去移除例程。

当Create为True时，例程在新创建的进程（ProcessId句柄指定）的初始化线程被创建后被调用。

当Create为False时，例程在进程的最后一个线程被关闭，进程的地址空间将被释放时调用。

进程的进程通知例程运行在IRQL = PASSIVE_LEVEL，当一个进程被创建，例程运行在新创建的进程的线程上下文中。

当进程被删除时，例程运行在进程的最后一个线程（将要退出进程）中。