hook进程创建函数 监控 拦截 进程

Hook进程创建函数是一种监控和拦截进程的技术。当一个进程被创建时，操作系统会调用相应的进程创建函数来执行一系列的操作，例如分配内存、初始化资源等。通过hook进程创建函数，我们可以在进程创建的过程中插入自定义的代码，从而实现对进程的监控和拦截。

通过hook进程创建函数，我们可以实现以下功能：

1. 监控进程创建：通过hook进程创建函数，我们可以记录下每个进程的创建情况，包括进程的名称、进程ID等信息。这对于进程管理、调试和安全审计等方面都非常有用。

2. 拦截进程创建：当我们希望阻止某个进程的创建时，可以通过hook进程创建函数实现进程的拦截。例如，某些恶意程序会通过创建新进程的方式进行传播，我们可以通过hook进程创建函数拦截这些进程的创建，从而保护系统的安全。

3. 修改进程创建参数：通过hook进程创建函数，我们可以修改进程的创建参数，例如修改程序的启动参数、运行环境等。这对于进程的定制化和优化非常有用。

4. 绕过进程创建限制：有些情况下，操作系统会对进程的创建做一些限制，例如限制某个程序创建的进程数量、限制进程的权限等。通过hook进程创建函数，我们可以绕过这些限制，实现一些我们需要的功能。

总之，hook进程创建函数是一种非常有用的技术，可以实现对进程的监控和拦截。通过插入自定义代码来实现各种功能，从而对进程进行管理和控制。

相关问题

detours hook explorer创建进程

Detours Hook是微软公司开发的一种用于Microsoft Windows操作系统的钩子技术。它可以通过改变进程中的某些函数的执行路径，来实现用户自定义的功能。而Explorer是Windows操作系统中的资源管理器，它可以通过创建进程来运行用户打开的应用程序或者系统自带的工具。

在使用Detours Hook来创建进程时，可以改变Explorer中用于创建新进程的相关函数的执行路径，以达到自定义的目的。具体的步骤包括：

1. 通过Detours Hook技术，将目标函数的执行路径重定向到自定义的函数。这里的目标函数指的是Explorer中用于创建新进程的函数，比如CreateProcess函数。

2. 在自定义的函数中实现自己想要的功能，比如在创建进程前进行一些额外的操作，或者对创建出的进程进行修改和控制。

3. 在重定向之前，先保存原始函数的执行路径，以便在需要的时候可以恢复到原始状态。

通过以上步骤，可以在创建进程的过程中插入额外的代码或者逻辑，实现一些特定的需求。Detours Hook技术在Windows系统中被广泛应用于软件开发、安全实验和逆向工程等领域，它为开发人员提供了更大的灵活性和控制能力。

windows 内核Hook函数做到禁止创建进程

在 Windows 内核中，可以通过修改进程创建的回调函数来实现禁止创建进程。具体来说，可以使用 PsSetCreateProcessNotifyRoutineEx 函数注册一个回调函数，每当有新的进程创建时就会调用该回调函数。在回调函数中，可以检查当前进程的信息，如果不符合要求，则可以返回拒绝创建进程的错误码。

以下是一个简单的示例代码：

VOID MyCreateProcessNotifyRoutineEx(
    _Inout_ PEPROCESS Process,
    _In_ HANDLE ProcessId,
    _In_opt_ PPS_CREATE_NOTIFY_INFO CreateInfo
)
{
    UNREFERENCED_PARAMETER(ProcessId);

    if (CreateInfo != NULL && CreateInfo->FileOpenNameAvailable)
    {
        UNICODE_STRING processName = CreateInfo->ImageFileName;
        if (RtlCompareUnicodeString(&processName, &L"not_allowed_process.exe", TRUE) == 0)
        {
            CreateInfo->CreationStatus = STATUS_ACCESS_DENIED;
        }
    }
}

NTSTATUS DriverEntry(
    _In_ PDRIVER_OBJECT DriverObject,
    _In_ PUNICODE_STRING RegistryPath
)
{
    UNREFERENCED_PARAMETER(RegistryPath);

    PsSetCreateProcessNotifyRoutineEx(MyCreateProcessNotifyRoutineEx, FALSE);

    return STATUS_SUCCESS;
}

在上述代码中，我们注册了一个名为 MyCreateProcessNotifyRoutineEx 的回调函数，每当有新的进程创建时就会调用该函数。在函数中，我们检查了进程的文件名，如果是 not_allowed_process.exe，则返回 STATUS_ACCESS_DENIED，拒绝创建进程。最后，在 DriverEntry 函数中调用 PsSetCreateProcessNotifyRoutineEx 函数注册回调函数即可。