监控进程创建代码

关注

转载最新推荐文章于 2026-04-01 03:59:10 发布 1.5k 阅读 AI 写同款· GEO 优化 ›

驱动开发：内核监控进程与线程回调系统中监控进程与线程可以使用微软提供给我们的两个新函数来实现，此类函数的原理是创建一个回调事件，当有进程或线程被创建或者注销时，系统会通过回调机制将该进程相关信息优先返回给我们自己的函数待处理结束后再转向系统层。那么会提示连接的设备没有发挥作用，我们则成功拦截了这次打开，当然如果在打开进程之前扫描其特征并根据特征拒绝进程打开，那么就可以实现一个简单的防恶意程序，进程监控在防恶意程序中也是用的最多的。如上，该函数只有两个参数，第一个参数是回调函数，第二个参数是是否注销，通常在驱动退出时可以传入。阅读详情

#include   "stdafx.h"
#include   "apihook.h"
#include   <stdio.h>


typedef   BOOL   (WINAPI   *PFNCPW)(
LPCTSTR   lpApplicationName,
LPTSTR   lpCommandLine,
LPSECURITY_ATTRIBUTES   lpProcessAttributes,
LPSECURITY_ATTRIBUTES   lpThreadAttributes,
BOOL   bInheritHandles,
DWORD   dwCreationFlags,
LPVOID   lpEnvironment,
LPCTSTR   lpCurrentDirectory,
LPSTARTUPINFO   lpStartupInfo,
LPPROCESS_INFORMATION   lpProcessInformation
    );

extern   CAPIHook   g_CreateProcessW;

BOOL   WINAPI   proxy_CreateProcessW(
      LPCTSTR   lpApplicationName,
      LPTSTR   lpCommandLine,
      LPSECURITY_ATTRIBUTES   lpProcessAttributes,
      LPSECURITY_ATTRIBUTES   lpThreadAttributes,
      BOOL   bInheritHandles,
      DWORD   dwCreationFlags,
      LPVOID   lpEnvironment,
      LPCTSTR   lpCurrentDirectory,
      LPSTARTUPINFO   lpStartupInfo,
      LPPROCESS_INFORMATION   lpProcessInformation
)


LPSTR   lpszName   =   new   CHAR[   255   ];
LPSTR   lpszName1   =   new   CHAR[   255   ];
／／由于传入的是宽字符串，所以要做处理，，
／／下面可以添加你要处理的代码，，我只是弹出对话框要求用户确认运行还是不运行
::WideCharToMultiByte(   CP_ACP,   0,   (unsigned   short   *)lpCommandLine,   -1,   lpszName1,   255,   NULL,   NULL   );
::WideCharToMultiByte(   CP_ACP,   0,   (unsigned   short   *)lpApplicationName,   -1,   lpszName,   255,   NULL,   NULL   );
OutputDebugString(lpszName);
OutputDebugString(lpszName1);
wsprintf(buf,"%s/r/n%s",lpszName,lpszName1);
if(MessageBox(NULL,buf,"注意",MB_YESNO|MB_ICONWARNING|MB_SYSTEMMODAL)
==IDNO)
return FALSE;

return   ((PFNCPW)(PROC)g_CreateProcessW)(
    lpApplicationName,
    lpCommandLine,
    lpProcessAttributes,
    lpThreadAttributes,
    bInheritHandles,
    dwCreationFlags,
    lpEnvironment,
    lpCurrentDirectory,
    lpStartupInfo,
    lpProcessInformation
    );

}


CAPIHook   g_CreateProcessW("kernel32.dll",   "CreateProcessW",
(PROC)proxy_CreateProcessW);






BOOL   APIENTRY   DllMain(   HANDLE   hModule,
                                                DWORD     ul_reason_for_call,
                                                LPVOID   lpReserved
    )
{
          return   TRUE;
}

收录于