7.3Windows驱动开发：内核监视LoadImage回调新技巧

在LyShark的上一篇文章中介绍了如何使用ObRegisterCallbacks注册进程与线程的回调，本章则进一步探讨了PsSetLoadImageNotifyRoutine函数的使用技巧。该函数用于注册LoadImage映像监视，当系统加载模块时，可以立即获取加载模块的信息。虽然无法直接在回调函数内进行拦截，但可以记录日志或执行其他自定义逻辑。文章详细讲解了如何通过PsSetLoadImageNotifyRoutine和PsRemoveLoadImageNotifyRoutine这两个内核API函数来注册和取消注册LoadImage映像回调，并提供了完整的代码示例，展示了如何监视和输出加载模块的详细参数。

在上一篇文章《内核注册并监控对象回调》中，LyShark介绍了如何使用ObRegisterCallbacks来注册进程与线程的回调，并通过这些回调实现了拦截指定进程运行的效果。本章，LyShark将带领大家进一步探索一个新的回调注册函数，PsSetLoadImageNotifyRoutine。这个函数常用于注册LoadImage映像监视，当系统加载模块时，可以立即获取到加载模块的信息。需要注意的是，该回调函数内无法进行拦截，如果需要拦截，则需写入返回指令，这部分内容将在下一章进行讲解。本章主要实现对模块的监视功能。

PsSetLoadImageNotifyRoutine和PsRemoveLoadImageNotifyRoutine是Windows操作系统提供的两个内核API函数，用于注册和取消注册LoadImage映像的回调函数。

LoadImage映像回调函数是一种内核回调函数，可以用于监视和拦截系统中的模块加载事件，例如进程启动时加载的DLL、驱动程序等。当有新的模块被加载时，操作系统会调用注册的LoadImage映像回调函数，并将加载模块的相关信息传递给回调函数。

PsSetLoadImageNotifyRoutine函数用于注册LoadImage映像的回调函数，而PsRemoveLoadImageNotifyRoutine函数则用于取消注册已经注册的回调函数。开发者可以在LoadImage映像回调函数中执行自定义的逻辑，例如记录日志、过滤敏感数据、或者阻止某些操作。

需要注意的是，LoadImage映像回调函数的注册和取消注册必须在内核模式下进行，并且需要开发者有一定的内核开发经验。同时，LoadImage映像回调函数也需要遵守一些约束条件，例如不能阻塞或挂起进程或线程的创建或访问，不能调用一些内核API函数等。

内核监视LoadImage映像回调在安全软件、系统监控和调试工具等领域有着广泛的应用。开发者可以利用这个机制来监视和拦截系统中的模块加载事件，以保护系统安全。

监视模块加载与卸载需要分别使用这两个函数，这两个函数的参数传递都是自己的回调地址。

PsSetLoadImageNotifyRoutine设置回调，PsRemoveLoadImageNotifyRoutine移除回调。此处MyLySharkLoadImageNotifyRoutine回调地址必须有三个参数传递组成，其中FullImageName代表完整路径，ModuleStyle代表模块类型，一般来说ModuleStyle=0表示加载SYS驱动，如果ModuleStyle=1则表示加载的是DLL，最后一个参数ImageInfo则是映像的详细参数结构体。

如何实现监视映像加载呢？来看如下完整代码片段，首先PsSetLoadImageNotifyRoutine注册回调，当有模块被加载则自动执行MyLySharkLoadImageNotifyRoutine回调函数，其内部首先判断ModuleStyle得出是什么类型的模块，然后再通过GetDriverEntryByImageBase拿到当前进程详细参数并打印输出。

运行这个驱动程序，则会输出被加载的驱动详细参数。

好了，本文到此结束，带大家了解了《7.3Windows驱动开发：内核监视LoadImage回调新技巧》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！