[发明专利]一种Windowsxp系统下监控进程创建和销毁的方法

权利要求书

1.一种Windows xp系统下监控进程创建和销毁的方法，其特征是，包括以下步骤：

步骤S1，当一个进程被创建或销毁时，在Windows xp系统内核中通过PsSetCreateProcessNotifyRoutine函数注册一个进程通知回调，使得系统在进程的创建和销毁时会调用此进程通知回调例程；

步骤S2，通过此通知回调例程获取引发该通知的进程pid，并通过该pid获得引发该通知的进程对象指针，通过层层解析进程对象中的数据结构，获得该进程的全路径名；

步骤S3，将进程的创建或销毁状态，以及该进程的pid和全路径名信息记录到日志文件中，以便其他相关程序使用。

2.根据权利要求1所述的一种Windows xp系统下监控进程创建和销毁的方法，其特征是，步骤S2中，已知进程pid时，通过PsLookupProcessByProcessId函数获得该进程对应的进程对象指针，类型为EPROCESS。

3.根据权利要求1所述的一种Windows xp系统下监控进程创建和销毁的方法，其特征是，步骤S2中通过进程对象指针获取进程的全路径名的具体过程为：

步骤S21，通过进程对象指针，对其进行偏移获得该指针所指向结构体中Section节对象指针的值；

步骤S22，通过Section->Segment->ControlArea->FileObject，找到关联的文件对象指针PFileObject；

步骤S23，根据PFileObject->FileName得到相对路径文件名，以及PFileObject->DeviceObject得到盘符，对两者进行拼接获取进程的全路径名。

4.根据权利要求1所述的一种Windows xp系统下监控进程创建和销毁的方法，其特征是，所述步骤S1-S3作为内核驱动运行。

5.根据权利要求1所述的一种Windows xp系统下监控进程创建和销毁的方法，其特征是，步骤S3中记录到日志文件中的具体过程为：

步骤S31，使用ZwCreateFile函数打开文件，根据要进行的操作申请权限，设置DesiredAccess、ShareAccess参数的值；

步骤S32，使用ZwWriteFile函数来将信息写入文件。

6.根据权利要求5所述的一种Windows xp系统下监控进程创建和销毁的方法，其特征是，将ShareAccess参数设置为FILE_SHARE_READ。