在Minifilter中使用PsSetCreateProcessNotifyRoutine之后监控到的一些进程信息

一个进程总是被另一个进程创建的，追根求源，所有进程的“父”进程都是0进程

以双击桌面上的1.txt为例：

默认方式1.txt会被notepad.exe打开，在回调

VOID

(*PCREATE_PROCESS_NOTIFY_ROUTINE) (

IN HANDLE ParentId,

IN HANDLE ProcessId,

IN BOOLEAN Create

);

中会监控到notepad.exe是被explore.exe创建的；

当关闭notepad时，如果hook了NtTerminateProcess会发现，notepad会先调用NtTerminateProcess，然后在上述回调中才会监控到notepad的退出