首先我们要了解一下WinLogon，他是负责提供给用户交互式界面的一个程序。
WinLogon初始化时会创建3个桌面：
(1)、winlogon桌面：主要显示window 安全等界面，如你按下CTRL+ALT+DEL,登陆的界面等
(2)、应用程序桌面：我们平时见到的那个有我的电脑的界面（这个大家都见过了吧，呵呵）
(3)、屏幕保护桌面：屏幕保护显示界面。
Winlogon通知包(Winlogon Notification Package)”就是处理winlogon在切换状态时发出的事件的DLL。你可以通过“Winlogon Notification Package”来监视winlogon事件的响应。你可以注册这些DLL，那么winlogon.exe会在启动时加载它们，并且会在系统状态切换时来调用注册DLL的事件处理函数。
其实说简单一点，就是我们可以自己编写处理winlogon的事件的逻辑，将其作为函数导出，把它编译为Win32 Dll，然后添加信息到注册表。接下来的工作，我们就不用操心了，Winlogon会根据不同的事件，自己来调用我们DLL提供的函数进行处理。
为了注册你的“Winlogon Notification Package”，必须在“HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify”下创建你的“notification package”子键。在“Notify”项下，可以根据需要创建如下键值：
Asynchronous[REG_DWORD]：表明是否异步处理winlogon事件，如设为 1，winlogon将启动一个新线程来处理。
DllName[REG_EXPAND_SZ]：指定要加载的DLL名。
Impersonate[REG_DWORD]：表明是否以登陆用户的权限来处理事件。
Lock[REG_SZ]：锁定桌面事件。
Logoff[REG_SZ]：注销事件。
Logon[REG_SZ]：登陆事件。
Shutdown[REG_SZ]：关机事件。
StartScreenSaver[REG_SZ]：启动屏保事件。
StartShell[REG_SZ]：启动shell（一般指explorer.exe）事件。
Startup[REG_SZ]：系统开机事件。
StopScreenSaver[REG_SZ]：停止屏保事件。
Unlock[REG_SZ]：解除桌面锁定事件。 其中每个事件对应DLL中的一个导出函数，即每当有事件发生时，winlogon.exe便调用相应的函数。
譬如：DllName的值为“test.dll”，Lock的值为“testLock”，那么系统锁定时，winlogon.exe将调用test.dll中导出的“testLock”函数。 关于DLL的实现非常地简单：只要导出处理事件是要调用的函数就行，其他和别的DLL无异。以下是代码的简单实现：
// WinLogonNotify.cpp : Defines the entry point for the DLL application.
// #include "stdafx.h"
#include "WinLogonNotify.h"
#ifdef _MANAGED
#pragma managed(push, off)
#endif BOOL APIENTRY DllMain( HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)
{
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:
case DLL_THREAD_ATTACH:
case DLL_THREAD_DETACH:
case DLL_PROCESS_DETACH:
break;
}
return TRUE;
} #ifdef _MANAGED
#pragma managed(pop)
#endif
// This is an example of an exported function.
WINLOGONNOTIFY_API void _stdcall testLock(DWORD param)
{
MessageBox(NULL,L"Lock!",L"Tips",MB_OK);
return;
}
WinLogon初始化时会创建3个桌面：
(1)、winlogon桌面：主要显示window 安全等界面，如你按下CTRL+ALT+DEL,登陆的界面等
(2)、应用程序桌面：我们平时见到的那个有我的电脑的界面（这个大家都见过了吧，呵呵）
(3)、屏幕保护桌面：屏幕保护显示界面。
Winlogon通知包(Winlogon Notification Package)”就是处理winlogon在切换状态时发出的事件的DLL。你可以通过“Winlogon Notification Package”来监视winlogon事件的响应。你可以注册这些DLL，那么winlogon.exe会在启动时加载它们，并且会在系统状态切换时来调用注册DLL的事件处理函数。
其实说简单一点，就是我们可以自己编写处理winlogon的事件的逻辑，将其作为函数导出，把它编译为Win32 Dll，然后添加信息到注册表。接下来的工作，我们就不用操心了，Winlogon会根据不同的事件，自己来调用我们DLL提供的函数进行处理。
为了注册你的“Winlogon Notification Package”，必须在“HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify”下创建你的“notification package”子键。在“Notify”项下，可以根据需要创建如下键值：
Asynchronous[REG_DWORD]：表明是否异步处理winlogon事件，如设为 1，winlogon将启动一个新线程来处理。
DllName[REG_EXPAND_SZ]：指定要加载的DLL名。
Impersonate[REG_DWORD]：表明是否以登陆用户的权限来处理事件。
Lock[REG_SZ]：锁定桌面事件。
Logoff[REG_SZ]：注销事件。
Logon[REG_SZ]：登陆事件。
Shutdown[REG_SZ]：关机事件。
StartScreenSaver[REG_SZ]：启动屏保事件。
StartShell[REG_SZ]：启动shell（一般指explorer.exe）事件。
Startup[REG_SZ]：系统开机事件。
StopScreenSaver[REG_SZ]：停止屏保事件。
Unlock[REG_SZ]：解除桌面锁定事件。 其中每个事件对应DLL中的一个导出函数，即每当有事件发生时，winlogon.exe便调用相应的函数。
譬如：DllName的值为“test.dll”，Lock的值为“testLock”，那么系统锁定时，winlogon.exe将调用test.dll中导出的“testLock”函数。 关于DLL的实现非常地简单：只要导出处理事件是要调用的函数就行，其他和别的DLL无异。以下是代码的简单实现：
// WinLogonNotify.cpp : Defines the entry point for the DLL application.
// #include "stdafx.h"
#include "WinLogonNotify.h"
#ifdef _MANAGED
#pragma managed(push, off)
#endif BOOL APIENTRY DllMain( HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)
{
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:
case DLL_THREAD_ATTACH:
case DLL_THREAD_DETACH:
case DLL_PROCESS_DETACH:
break;
}
return TRUE;
} #ifdef _MANAGED
#pragma managed(pop)
#endif
// This is an example of an exported function.
WINLOGONNOTIFY_API void _stdcall testLock(DWORD param)
{
MessageBox(NULL,L"Lock!",L"Tips",MB_OK);
return;
}
