进程创建拦截技术及其在软件实验中的应用

对进程创建进行有效拦截需要本地API钩子,只要钩住函数NtCreateSection()就获得了对进程创建的完全控制,具体做法是根据该函数的服务索引改写系统服务描述表,这是通过一个运行于核心态的驱动程序来实现的。给出的应用框架和关键代码具有很强的通用性,具体应用只需实现自己的前台程序即可。