Windwos 驱动HOOK创建进程回调,实现禁止创建全部进程

在驱动的进程创建回调函数中，可以通过判断正在创建的进程信息，来决定是否允许创建该进程。如果要禁止创建全部进程，可以在回调函数中实现以下逻辑：

1. 获取正在创建的进程的可执行文件名。

2. 判断该可执行文件名是否在禁止创建进程列表中。

3. 如果在禁止列表中，则返回一个错误码，否则允许创建该进程。

下面是一个简单的示例代码，用于禁止创建进程：

NTSTATUS MyCreateProcessNotifyRoutineEx(
    PEPROCESS Process,
    HANDLE ProcessId,
    PPS_CREATE_NOTIFY_INFO CreateInfo
)
{
    // 获取正在创建的进程的可执行文件名
    UNICODE_STRING imageName = { 0 };
    RtlUnicodeStringInit(&imageName, CreateInfo->ImageFileName);
    
    // 判断该可执行文件名是否在禁止创建进程列表中
    if (IsProcessForbidden(&imageName))
    {
        // 如果在禁止列表中，则返回一个错误码，禁止创建该进程
        return STATUS_ACCESS_DENIED;
    }
    
    // 允许创建该进程
    return STATUS_SUCCESS;
}

需要注意的是，禁止创建全部进程可能会导致系统无法正常运行，因此需要谨慎使用。如果需要限制进程创建，可以选择禁止某些特定的进程，而不是禁止全部进程。