Etw系列：
更多：
- Etw监视进程创建是一种底层的监视方法，其实现过程在系统内核，其真实性、稳定性和可靠性远大于使用WMI或不断枚举进程的方法，同时利用Etw监视可以获得更多的信息，例如获得发起创建进程的进程ID，线程ID，创建的进程真实路径，创建进程的内核Key地址，进程命令行，结束进程等信息：
与之前帖子的区别:
- 之前的程序使用基于清单“Microsoft-Windows-Kernel-Process”进行Process创建监听，这是Etw的一个manifest事件。
- 而本程序则是使用基于MOF（Management Object Format）的“NT Kernel Logger”（经典事件）进行的进程监听，具有更加底层的优点，同时可以实现监听程序命令行、监听程序对于NtTerminateProcess的调用，这是manifest事件做不到的。
PS：
- 程序启用NT Kernel Logger事件监视必须拥有管理员权限！
- 程序启用NT Kernel Logger事件监视必须拥有管理员权限！
- 若监视程序异常退出，请务必手动停止NT Kernel Logger事件
- 若监视程序异常退出，请务必手动停止NT Kernel Logger事件
感谢分享