前段时间研究了几种粉碎或强制删除工具，发现似乎大部分是通过直接向文件系统对象发送删除请求来完成的。这样可以比较有效的绕过文件过滤驱动的防护，虽然大致知道了原理但是怎么预防这样的破坏行为没有太多思路。其中有一个是获取驱动对象MajorFunction中的函数指针，然后进行调用的倒是还能提前替换掉该指针来防御一下（但也涉及到替换时机以及还原时机的问题等）。
有没有比较有经验的老哥给点思路，能通过哪些方法去防御
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
