大家好，
     我想知道通过NtCreateProcess()能否拦截进程启动？在网上看到一篇文章，貌似说它不行：（http://www.codeproject.com/KB/system/soviet_protector.aspx）
文章中有一段说到：
Which native API functions should we hook? Although NtCreateProcess() seems to be the most obvious answer to the question, this answer is wrong - it is possible to create a process without calling this function. For example, CreateProcess() sets up process-related kernel-mode structures without calling NtCreateProcess(). Therefore, hooking NtCreateProcess() is of no help to us.

{得挂哪个API呢？ 尽管看似最明显应挂NtCreateProcess() ，但这不对------因为有可能不用此函数也能创建一个进程。例如，CreateProcess()函数可创建起一堆内核模式与进程相关的结构，而不用调用NtCreateProcess() 。所以，挂NtCreateProcess() 没用}------先这么翻，大义。

1.不知哪位大侠能解释一下为什么它拦不住？
2.特别是为什么CreateProcess()不经过NtCreateProcess() 也能创建相关结构？
3.怎么样才能拦截得住，通常用的什么方法？

谢谢啊！

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课