文档和示例代码中存在一些与ObRegsterCallbacks相关的差异,相互矛盾。我希望Microsoft的某个人能阅读此板并提供直接的答案。首先,这里是一些背景:VistaSP1第12页的内核数据和过滤支持“OB回调始终在原始进程和线程的上下文中进行。”关于OB_PRE_OPERATION_CALLBACK的MSDN文档“此例程在任意线程上下文中的PASSIVE_LEVEL调用,禁用了正常的内核APC。”WDK中的ObCallback回调注册驱动示例代码使用PsGetCurrentXXX例程与目标对象进行比较。如果您不能准确确定原始进程/线程,那么这些回调的实用性似乎非常有限,但根