CreateProcessNotifyEx阻止进程创建最简方法,不杀进程，不弹窗【备份】

最新推荐文章于 2022-11-01 21:01:14 发布
最新推荐文章于 2022-11-01 21:01:14 发布
阅读量2.9k 收藏 2
点赞数
分类专栏： 驱动学习
驱动开发：内核监控进程与线程回调
m0_56069948的博客
10-23 680
系统中监控进程与线程可以使用微软提供给我们的两个新函数来实现，此类函数的原理是创建一个回调事件，当有进程或线程被创建或者注销时，系统会通过回调机制将该进程相关信息优先返回给我们自己的函数待处理结束后再转向系统层。那么会提示连接的设备没有发挥作用，我们则成功拦截了这次打开，当然如果在打开进程之前扫描其特征并根据特征拒绝进程打开，那么就可以实现一个简单的防恶意程序，进程监控在防恶意程序中也是用的最多的。如上，该函数只有两个参数，第一个参数是回调函数，第二个参数是是否注销，通常在驱动退出时可以传入。
Windows x64内核中修改进程入口点
muy的专栏
07-05 2854
现如今Windows x64已经很普遍了。基于内核驱动，监视进程创建，在进程主线程启动之前修改其入口点以便执行一段自己的代码是十分有用的。本文以Windows 7 x64为基础，对这个问题进行了尝试。
易语言-内核层x64位全系统禁止进程创建
06-25
放出一个驱动  x64位全系统禁止进程创建   虚拟机win7  本机win1064 （最新版本）  自己已经测试无蓝屏   驱动不hookssd什么的  全部用的回调函数 驱动文件带的有进程保护  安装成功后自动开启全局进程创建进程    卸载后就恢复正常了
进程监控驱动 PsSetCreateProcessNotifyRoutine
09-02 1787
函数原型： NTSTATUS PsSetCreateProcessNotifyRoutine( _In_ PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine, _In_ BOOLEAN Remove ); 原文的解释为:The PsSetCreateProcessNotifyRoutine routine...
[原创]通过PsSetCreateProcessNotifyRoutineEx和PsSetCreateThreadNotifyRoutine实现进程与线程监控
追逐光芒，追随内心
12-10 2105
PsSetCreateProcessNotifyRoutineEx是Windows提供得一个可以通过设置回调函数实现进程监控的内核API。其在文档的定义如下: 1 2 3 4 5 NTSTATUS PsSetCreateProcessNotifyRoutineEx( INPCREATE_PROCESS_NOTIFY_ROUTINE_EXNotifyRoutine, INBOOLEAN...
PsSetCreateProcessNotifyRoutineEx进程监控框架
Cosmopolitan的博客
10-08 1788
vs设置：“项目-属性-链接器-命令行”位置添加 /INTEGRITYCHECK 即可，不然注册回调的时候会失败 参考：https://xiaodaozhi.com/kernel/18.html #include <ntddk.h> typedef NTSTATUS (*PPsSetCreateProcessNotifyRoutineEx)( _In_ PCREATE_PROCESS...
拦截创建进程的API
aXu的专栏
04-29 1479
这几天在做的一个项目需要用到进程状态的监控，结果在网上搜索过程中，发现了一篇不错的文章，特意转载过来，虽然还没完全弄明白，但其中的思路却很有启发，根据这个思路，可以处理拦截其他windows API的功能，如，把createFile改为createProccess，就可以拦截创建进程的API了。原文如下： ////////////////////////////////////////
64位下使用回调函数实现监控
hongduilanjun的博客
11-01 1624
在32位的系统下，我们想要实现某些监控十分简单，只需要找到对应的API实现挂钩操作即可检测进程。但在64位系统下随着的引入，导致我们如果继续使用挂钩API的方式进行监控会出现不可控的情况发生。微软也考虑到了用户程序的开发，所以开放了方便用户调用的系统回调API函数，在64位系统下的监控，使用系统回调相对于直接hook的方式往往是更值得青睐的一方。
基于PsSetCreateProcessNotifyRoutineEx实现监控进程创建并阻止创建（禁用QQ 360等exe可执行文件）
苞米地里捉小鸡的博客
09-20 3541
对于内核层实现监控进程的创建或者退出，你可能第一时间会想到 HOOK 内核函数 ZwOpenProcess、ZwTerminateProcess 等。确定，在内核层中的 HOOK 已经给人留下太多深刻的印象了，有 SSDT HOOK、Inline HOOK、IRP HOOK、过滤驱动等等。 但是，Windows 其实给我们提供现成的内核函数接口，方便我们在内核下监控用户层上进程的创建和退出的情况。即 PsSetCreateProcessNotifyRoutineEx 内核函数，可以设置一个回调函数，来监控
Windows 驱动阻止进程创建
a907763895的专栏
10-19 5620
windows Vista及以后版本可以使用PsSetCreateProcessNotifyRoutineEx函数检测到进程创建和退出，当进程创建时什么回调函数中的参数的成员CreateStatus为不成功的值即可阻止进程创建，但是一般会弹出一个对话框，这个不太友好，解决的办法是 设置CreateStatus为STATUS_ACCESS_DISABLED_NO_SAFER_UI_BY_POLICY
易语言-APIHOOK拦截指定进程创建新进程
06-25
APIHOOK拦截指定进程创建新进程
易语言源码易语言驱动禁止创建进程源码.rar
02-22
易语言源码易语言驱动禁止创建进程源码.rar 易语言源码易语言驱动禁止创建进程源码.rar 易语言源码易语言驱动禁止创建进程源码.rar 易语言源码易语言驱动禁止创建进程源码.rar 易语言源码易语言驱动禁止创建进程源码.rar 易语言源码易语言驱动禁止创建进程源码.rar
易语言 监视新进程创建
08-22
易语言 监视新进程创建 并可以拦截放行 低CPU占用
易语言监视新进程创建
10-08
易语言监视新进程创建监视新进程创建监视新进程创建
扩展内核函数 PsSetCreateProcessNotifyRoutine 等的蹲坑数量
12-01
扩展内核函数 PsSetCreateProcessNotifyRoutine 等的蹲坑数量
PsSetCreateProcessNotifyRoutine监控进程创建
Sven的忘却日记
09-25 5660
PsSetCreateProcessNotifyRoutine函数用来注册一个进程创建的回调函数，当有新从进程被创建时，就把父进程的ID，和子进程（被创建的进程）ID传给回调函数，通过回调函数，可以监控新创建的进程 NTSTATUS PsSetCreateProcessNotifyRoutine( _In_ PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRouti...
创建进程回调函数_阻止打开任何进程
09-02 2063
#include &lt;ntddk.h&gt; VOID UnloadDriver(PDRIVER_OBJECT pDriver); VOID CreateProcessRoutineSpy( IN HANDLE ParentId, IN HANDLE ProcessId, IN BOOLEAN Create ); NTSTATUS DriverEntry(PDRIVER_OB...
CreateProcess所需要的最少环境变量
嵌云阁
09-21 4525
关于CreateProcess，在MSDN里面有比较详细的文档，但是关于其中的lpEnvironment参数却语焉不详，它只是告诉我们这个参数该以什么形式使用，但是对于这个参数可以传递的内容却闭口不谈，那么什么样的环境变量是必须传递的，什么是不可以传递的呢？本文就此做一番讨论。当然，你大可将这个参数设置为NULL，那也就没必要再往下看了。1.1    正常情况下的环境变量Windows提供
PsSetCreateProcessNotifyRoutine妙用
热门推荐
yushiqiang1688的专栏
01-18 1万+
最近要做一个进程监控的程序，功能很简单，就是创建和退出进程的时候，能触发我们的事件。首先的第一想法，是Hook ZwCreateProcess，结果调试的时候发现，很多创建进程的动作，并没有通过这个API执行，所以自然就是没办法监控进程的创建，于是回到本质，从创建进程的动作过程来分析，创建新的进程，其大致要经历以下步骤：（1）打开可执行文件，以FILE_EXECUTE权限打开；（2）将
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值