检测创建进程

Question

我正在写一个litle程序可以保护计算机免受恶意软件侵害。因此，我想挂钩到创建进程的函数之前它被加载（在它被加载之前，我想检查MD5总和）。什么可以我做 ？

Answer 1

在Windows Vista SP1或更高版本中，您可以使用ObRegisterCallback例程（http://msdn.microsoft.com/en-us/library/windows/hardware/ff557745(v=vs.85).aspx）。它仅在内核模式下可用，但我想你可以使用标签“driver”。