使用关联提供程序创建Pico进程

Question

我最近开始研究Pico进程的主题(请参阅这里和这里)。我也开始读Windows Internals 7th Edition Part 1的书。

正如书中所述，目前还没有用于创建自定义Pico进程和提供程序的API。但是，我认为可以在内核驱动程序中创建Pico进程或提供程序，因为Pico进程的定义声明为：

[...] the idea of a Pico provider is defined, which is a custom kernel-mode driver that receives access to specialized kernel interfaces through the PsRegisterPicoProvider API. - Windows内部设备第7版第1部分，第68页

不幸的是，在Visual 2015中创建新的内核模式驱动程序时，就像描述的这里一样，似乎没有任何允许创建Pico进程和提供程序的可用头或接口。我似乎只能写其他类型的KMDF项目。

开发人员目前是否有任何方法在Windows中创建和测试自定义Pico进程和提供程序？

Answer 1

几年前，马丁·赫伦与Pico提供商做了一个小小的实验。在其中，他包含了一些程序集引用、头文件和外部C接口，其中包括用于Pico进程监视工具的驱动程序。我不确定他的代码是否仍然有效，但它可以让您深入了解您需要与哪些头和结构进行接口。

https://github.com/thinkcz/pico-toolbox

YMMV