XProfan

Italia

Gibt es eine Möglichkeit, Änderungen im Prozessbereich (Prozess gestartet/beendet) festzustellen? Vergleichen mit CreateToolhelp32Snapshot zählt nicht... Evtl. irgenwas in Verbindung mit WaitForSingleObject? Oder vielleicht PsSetCreateProcessNotifyRoutine??? Hat jemand eine Idee?

23.12.2005 ▲

Vollständiges Zitat

Absatzweise Citazione Zeilenweise Citazione

Im iFTP-Source - welcher hier in der Community downloadbar ist - achte ich drauf wann die Bearbeiten-APP beendet wird. Wenn ich mich recht erinnere nutze Io l' Exitcode.

23.12.2005 ▲

Vollständiges Zitat

Absatzweise Citazione Zeilenweise Citazione

Ich weiß nicht, ob du mich nicht ganz richtig verstanden hast (oder ich verstehe dich nicht). Ich will keinen bestimmten Prozess oder Job überwachen, sondern möchte festellen ob neue (mir unbekannte Prozesse) gestartet oder irgendein laufender Prozess beendet wurde. Ist dies geschehen, soll mich eine Message erreichen.
Das beste, was ich diesbezüglich finora gefunden habe, ist PsSetCreateProcessNotifyRoutine. Leider greift das aber sehr tief ins OS ein und ich muß auch noch eine Adresse einer eigener Prozedur trasferimento (was ich beides nicht unbedingt möchte).
Es muß die Möglichkeit geben, den gesammten Prozessbereich auf Änderungen zu überwachen, aber wie genau?

23.12.2005 ▲

Vollständiges Zitat

Absatzweise Citazione Zeilenweise Citazione

Michael
Wodrich

Genau dafür sind diese Notify-Routinen doch da.

Ich hatte mal die Überwachung eines Verzeichnisses gebastelt. Wenn in der eigenen Callback (die von der Notify-Routine angeschubst wird) ein kurzer Code steht, dann klappt das ganz gut. Ich hatte einfach una variabile gesetzt und habe die Proc gleich wieder beendet.

Trotz Massenzugriff via Replacetool circa mehrere Files kam die CPU nicht ins Schwitzen.
FindFirstChangeNotification hatte ich benutzt.

Schöne Grüße
Michael Wodrich

Programmieren, das spannendste Detektivspiel der Welt.

23.12.2005 ▲

Vollständiges Zitat

Absatzweise Citazione Zeilenweise Citazione

Hast du mal ein Beispiel, wie das auf den Prozessbereich umzusetzen wäre - stehe im Augenblick auf dem Schlauch...

23.12.2005 ▲

Vollständiges Zitat

Absatzweise Citazione Zeilenweise Citazione

Michael
Wodrich

PsSetCreateProcessNotifyRoutine kann ich nicht finden,
und die Debug-Geschichte greift ja noch tiefer ins System ein.
Außerdem liefert sie nicht die gewünschten Ergebnisse.

Programmieren, das spannendste Detektivspiel der Welt.

25.12.2005 ▲

Vollständiges Zitat

Absatzweise Citazione Zeilenweise Citazione

Ich meinte [...]

. Ich hab zu Weihnachten XProfan9 geschenkt bekommen und werde es, wenn es überhaupt geht, damit wohl auch alleine hinbekommen.
Frohes Fest...

25.12.2005 ▲

Vollständiges Zitat

Absatzweise Citazione Zeilenweise Citazione

Michael
Wodrich

Kompilieren Markieren Separieren

na ja, steht in NTDDK - wer hat das schon...
die Notify-Routine (Callback mit 3 Parametern - immer Longint verwenden)

Proc PCCREATE_PROCESS_NOTIFY_ROUTINE

    Parameters hParentID&, hProcessId&, bCreate&
    möglichst kurz halten (reentrant problems)

    If bCreate&

        Prozess wurde erstellt

    Else

        Prozess wurde gelöscht

    EndIf

    Return ...

EndProc

Ein IFS oder highest-level System-Profiler kann bis zu 8 solcher Callback-Prozeduren registrieren
??? Callers of PsSetCreateProcessNotifyRoutine must be running at IRQL = PASSIVE_LEVEL.
der Higest-level driver kann das folgende aufrufen
PsSetCreateProcessNotifyRoutine( @ProcAddr("PCCREATE_PROCESS_NOTIFY_ROUTINE", 3), 1 )
ab jetzt wird jede Prozedurgeburt gemeldet (Callbackaufruf)
Wie gesagt, in einer Callback sollte man sich nicht lange aufhalten.
Meldung absetzen oder Speichervariable setzen und raus...
vor seinem Ende muss er die Callback-Routine wieder abschalten
PsSetCreateProcessNotifyRoutine( @ProcAddr("PCCREATE_PROCESS_NOTIFY_ROUTINE", 3), 0 )
und danach sollte XProfan sie auch wieder aus seiner begrenzten Liste entfernen
@ProcAddr("PCCREATE_PROCESS_NOTIFY_ROUTINE", -an>)