process - 检测创建过程

Question

我正在编写一个小程序可以保护计算机免受恶意软件的侵害。所以，我想在加载之前挂钩创建进程的函数（在加载之前，我想检查 md5 总和）。我该怎么办？

Answer 1

在 Windows Vista SP1 或更高版本中，您可以使用 ObRegisterCallback 例程 ( http://msdn.microsoft.com/en-us/library/windows/hardware/ff557745(v=vs.85).aspx )。它仅在内核模式下可用，但我想您可以接受，因为您使用了标签“驱动程序”。