EasyHook内核模式挂钩

Question

我可以使用EasyHook从内核模式挂接一些API(NtOpenProcess)吗？我对通过进程范围的dll注入进行用户模式挂钩不感兴趣，但正如我所见，easy hook有一个用与内核模式挂钩相关的代码开发的驱动程序。还是我错了？http://easyhook.codeplex.com/

这个任务的整个目标是为一个应用程序编写一个简单的保护系统，即:为特定的进程阻止打开进程，在特定的目录中阻止创建文件。另外，在某些进程尝试调用适当的API时，还会收到通知

有什么建议吗？

也许还有其他方法可以让内核模式挂钩，而不需要重新发明轮子？

Answer 1

我认为他们在教程中提供的示例demo是针对内核模式挂钩的。在该演示中，它从kernel32.dll挂接CreateFileW。我相信这就是内核模式钩子的例子。