无法为其他进程设置Instrumentation Callback，返回STATUS_INVALID_PARAMETER

核心原因分析及解决步骤 #

1. 结构体定义不匹配 #

你写的_ProcessInstrumentationCallback结构体大概率和系统实际使用的PROCESS_INSTRUMENTATION_CALLBACK_INFORMATION对不上，这是触发STATUS_INVALID_PARAMETER的最常见原因。系统的结构体有严格的成员顺序、类型和对齐要求，哪怕细节不符都会导致参数无效。

正确的结构体定义需与系统内部一致：

typedef struct _PROCESS_INSTRUMENTATION_CALLBACK_INFORMATION {
    ULONG Version;
    ULONG Reserved;
    PVOID Callback;
} PROCESS_INSTRUMENTATION_CALLBACK_INFORMATION, *PPROCESS_INSTRUMENTATION_CALLBACK_INFORMATION;

检查你的结构体是否和上述定义完全匹配，重点确认成员顺序、类型是否一致。

2. 版本号设置错误 #

你将info.version设为0，但系统要求必须使用PROCESS_INSTRUMENTATION_CALLBACK_VERSION_1（即数值1）。错误的版本号会直接导致系统拒绝处理请求。

修改代码：

info.version = 1; // 替换原有的0

3. 进程权限的额外验证（虽错误码指向参数，但仍需确认） #

虽然错误码提示参数无效，但仍需确认OpenProcess获取的句柄权限是否足够。设置Instrumentation Callback需要PROCESS_SET_INFORMATION权限，PROCESS_ALL_ACCESS理论上包含该权限，但如果目标是系统进程或高权限进程，可能无法获取完整权限。建议显式指定所需权限：

const auto process_handle = OpenProcess(PROCESS_SET_INFORMATION | PROCESS_QUERY_INFORMATION, FALSE, process_id);

4. 结构体大小传递错误 #

确保sizeof(info)的数值正确。如果结构体定义有误，计算出的大小会偏差，NtSetInformationProcess会直接判定参数无效。可以添加打印验证：

printf("结构体大小：%lu\n", sizeof(_ProcessInstrumentationCallback));

正常情况下该大小应为12字节（两个ULONG+一个PVOID，每个成员占4字节），若数值不符，说明结构体定义肯定存在问题。

5. 跨进程设置空回调的限制 #

给其他进程设置nullptr回调时，系统可能有额外校验逻辑。如果是要清除回调，可确认目标进程是否为当前进程创建的子进程——系统对跨进程操作空回调的限制更严格。若需设置非空回调，注意回调函数的地址必须位于目标进程的地址空间内，否则会导致目标进程崩溃。

总结 #

优先检查结构体定义和版本号设置，这两项是导致问题的最可能原因。将结构体修改为与系统一致的定义，版本号设为1后重新测试，大概率能解决问题。

内容的提问来源于stack exchange，提问作者user24684540