在NT驅動程序中攔截進程執行

Question

我開發了一個能夠監視進程執行情況的Windows XP驅動程序。

回調函數使用標準的WDK API（PsSetCreateProcessNotifyRoutine）接收通知。

司機然後決定是否應授權過程;如果沒有，它必須阻止它的執行/殺死它。

以這種方式攔截執行的最簡潔的方法是什麼？如果沒有記錄，我不介意，但如果可能的話，我寧願不要求助於掛鉤。

Answer 1

確定，根據該文件：

http://download.microsoft.com/download/4/4/b/44bb7147-f058-4002-9ab2-ed22870e3fe9/Kernal%20Data%20and%20Filtering%20Support%20for%20Windows%20Server%202008.doc

我需要安裝一個微過濾器對IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION和檢查PageProtection == PAGE_EXECUTE。

Answer 2

PsSetCreateProcessNotifyRoutineEx（Vista +）將允許您通過將CreateInfo-> CreationStatus成員更改爲NTSTATUS錯誤代碼來導致進程創建操作失敗。