报错分析：注册通知例程达上限

如图所示，代码中 if (NT_SUCCESS(Status))的判断失败了，进入了 else 分支。正如else分支中的注释所说： // too many notify routines are already installed in the system。

说明此时系统中已经安装了太多的通知例程，注册表通知达到上限！

PsSetCreateProcessNotifyRoutineEx 是 Windows 内核提供的函数，允许驱动程序注册一个回调函数。每当系统中有进程创建或退出时，操作系统就会调用所有已注册的回调函数。这类功能通常被杀毒软件、防火墙、系统监控工具、沙盒程序等用于监控和控制系统上的进程活动。为了系统性能和安全，Windows 对可以同时注册的这类回调函数数量设有一个全局上限。例如Windows 7 及更高版本上限是64个，而Windows 7 以前 (如 XP/Vista，使PsSetCreateProcessNotifyRoutine)的上限非常低，通常只有8个。

因此，当列表满了之后，PsSetCreateProcessNotifyRoutineEx函数会返回一个失败的Status值（例如 STATUS_INSUFFICIENT_RESOURCES），这会导致NT_SUCCESS(Status)宏的判断结果为FALSE。

因此，想破除这个验证，就需要查阅相关资料了，想办法破除微软这个上限的制约。

通过查阅资料发现张帆那本书里面写了，具体内容我就不详细说了，感兴趣的可以查阅相关书籍。