NTSTATUS  MyPsCreateSystemThread(
                                                    OUT PHANDLE ThreadHandle,                              
                                IN ULONG DesiredAccess,                              
                                IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL,      
                                IN HANDLE ProcessHandle OPTIONAL,                    
                                OUT PCLIENT_ID ClientId OPTIONAL,                    
                                IN PKSTART_ROUTINE StartRoutine,                       
                                                    IN PVOID StartContext
                                                                                   
  )
                                                                                   
{
        
    NTSTATUS     rc;
    HANDLE      PID;
   
      
    rc = (NTSTATUS)OriginalPsCreateSystemThread(ThreadHandle,DesiredAccess,ObjectAttributes,
                                                       ProcessHandle,ClientId,StartRoutine,StartContext);
        if( (ClientId != NULL) )
        {
                PID = ClientId->UniqueThread;          
                KdPrint(( "------------------------- PID=%d--------------\n",(int*)PID ));
               
                // 如果是被保护的PID，则拒绝访问，并将句柄设置为空
                if(PID )
                {
                        KdPrint(("被保护线程 MyPID=%d \n",(int)PID));
                        //调试输出 类似C语言的 Printf
                        ThreadHandle = NULL; //这个是关键
                        rc = STATUS_ACCESS_DENIED; //这个返回值
                       
                        EP=PsGetCurrentProcess();                         
                        KdPrint((" ACESS Process Name  --:%s--   \n",(PTSTR)((ULONG)EP+0x174)));
                       
                }
        }

   
    return rc;
   
}

这样写过滤函数 为什么某程序还能创建内核线程

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！