怎么全局拦截createprocess

我要做个进程监控，用户只能启动指定的程序，所以要拦截这个api，谁有代码的

解决方案 »

  1.   

    我用System Safety Monitor软件。
      

  2.   

    最简单的，挂钩SSDT里的NtCreateProcess
      

  3.   

    想到的方法有2：
    1 
    使用SetWindowsHookEx挂钩Message消息
    调用CreateProcess时指定CREATE_SUSPENDED
    调用ResumeThread前发送自定义的Message消息
    在Hook程序里处理自定义的Message消息2 直接使用Hook Api技术，hook CreateProcess方法，该方法麻烦些，需要更改导入表的函数地址，具体可以网上查看什么是Hook API技术