c - 驱动程序到用户模式通信

Question

我正在尝试编写一个工具来监视进程。每当创建具有系统权限的高权限进程时，它都会向用户发出警报。我使用一个监视每个进程创建的驱动程序和一个用户模式应用程序来检查它是否在系统下运行，如果是则发出警报。为此，用户模式应用程序应该监听驱动程序。我正在尝试通过事件来做到这一点。每当创建进程时，驱动程序都会使用 IoCreateNotificationEvent 发出事件信号(使用模式应用程序使用 WaitForSingleObject 监听该事件)，然后应用程序将向驱动程序发送 IRP 以获取 pid。这对我来说效果不佳，我一直在寻找其他方法来进行从驱动程序到监听用户模式应用程序的通信，但我找不到。我怎样才能让它发挥作用？

感谢您的帮助

Answer 1

通常的方法是使用异步 IOCTL，完全忘记该事件，如果没有未完成的进程创建可供读取，则让驱动程序保存 IOCTL，然后在获得新进程时完成 IOCTL。这确实要求客户端在进程创建之前提交 IOCTL 请求。为了获得最佳结果，我建议将您的设备句柄绑定(bind)到 IOCP(我发现 IOCP 比需要跟踪哪个事件与哪个 OVERLAPPED 关联要容易得多)。