与关联的提供商创建 Pico 进程

Question

我最近开始研究 Pico 进程的主题（请参阅此处和此处）。我也开始看书了Windows Internals 7th Edition Part 1。

正如书中所述，目前没有可用于创建自定义 Pico 流程和提供程序的 API。但是，我认为可以从内核驱动程序中创建 Pico 进程或提供程序，因为 Pico 进程的定义声明为：

[...] the idea of a Pico provider is defined, which is a custom kernel-mode driver that receives access to specialized kernel interfaces through the PsRegisterPicoProvider API.- Windows 内部结构第 7 版第 1 部分，第 14 页 68

不幸的是，当在 Visual Studio 2015 中创建新的内核模式驱动程序时，就像此处描述的那样，似乎没有任何可用的标头或接口允许创建 Pico 进程和提供程序。我似乎只能编写其他类型的 KMDF 项目。

目前，开发人员有什么方法可以在 Windows 中创建和测试自定义 Pico 进程和提供程序吗？

Answer 1

Martin Hron几年前用 Pico Providers 写了一个小实验。在其中，他包含了一些程序集引用、头文件和外部 C 接口，其中包括 Pico Process 监控工具的驱动程序。我不确定他的代码是否仍然有效，但它可以让您深入了解需要与之交互的标头和结构。

https://github.com/thinkcz/pico-toolbox

YMMV。