c9080 发表于 2021-7-6 18:47:53

围观学习大佬

AJin 发表于 2021-8-16 22:34:36

多谢大佬分享

stylezhou 发表于 2021-8-23 09:37:18

看一看学一学

blackbox 发表于 2021-9-7 11:15:28

看看

cj0377 发表于 2021-10-2 04:59:07

谢谢群主

ttff 发表于 2022-3-22 18:05:15

谢谢楼主

3477568823 发表于 2022-9-22 17:26:19

谢谢楼主

iop02008 发表于 2022-9-24 18:53:07

看一看瞧一瞧

蜜蜂 发表于 2022-10-1 21:23:07

谢谢分享

iamasbcx 发表于 2023-3-5 21:25:32

,看看

aeroplane32 发表于 2023-4-29 22:41:41

看前猜一猜,是不是和extension有关的东西

aeroplane32 发表于 2023-4-30 20:20:01

好吧猜错了,因为之前发现PspCallProcessNotifyRoutines函数会首先调用ExGetExtensionTable获取PspDamExtensionHost和PspBamExtensionHost这两个extension的function array,然后调用array,这两个函数是dam.sys!DampCreateProcessCallback和bam.sys!BampCreateProcessCallback,也就是说这两个驱动并没有调用PsSetCreateProcessNotifyRoutine系列的函数就实现了进程监控。PspBamExtensionHost->ExtensionTable是bam!BampKernelCalloutTable,在bam!DriverEntry中初始化,不知道pg/hg有没有监控这个

Ast1rtes 发表于 2023-5-4 10:48:27

感谢分享

376408384 发表于 2023-12-15 11:50:20

我来学习

xssfitter 发表于 2024-11-26 14:51:05

看看是哪个回调

WordStar 发表于 2024-12-2 10:06:03

学习一下,感谢大哥分享

wst5898 发表于 2025-1-25 19:24:33

那可要好好学习下,谢谢分享

IBinary 发表于 2025-6-23 18:49:48

特此来学习.

Intel-小林同学 发表于 2025-7-7 01:43:57

看看不说话

Wiezerzz 发表于 2025-7-23 18:28:35

学习一下
页: 1 2 3 4 [5]
查看完整版本: [科普]WIN10(1703)开始又多了一种进程回调