论文部分内容阅读
对进程创建进行有效拦截需要本地API钩子,只要钩住函数NtCreateSection()就获得了对进程创建的完全控制,具体做法是根据该函数的服务索引改写系统服务描述表,这是通过一个运行于核心态的驱动程序来实现的。给出的应用框架和关键代码具有很强的通用性,具体应用只需实现自己的前台程序即可。