kernel - EasyHook 内核模式 Hook

Question

我可以使用 EasyHook 从内核模式 Hook 一些 API(NtOpenProcess)吗？
我对通过进程范围的 dll 注入(inject)进行用户模式 Hook 不感兴趣，但正如我所见，easy hook 有一个使用与内核模式 Hook 相关的代码开发的驱动程序。还是我错了？
http://easyhook.codeplex.com/

这项任务的整个目标是为一个应用程序编写一个简单的保护系统，即:阻止特定进程的openprocess，阻止特定目录中的createfile ...
加上当某些进程尝试调用适当的 API 时获取通知

有什么建议吗？

也许还有其他方法可以在不重新发明轮子的情况下进行内核模式 Hook ？

Answer 1

我认为样本demo他们在教程中提供的是内核模式 Hook 。在那个演示中，它连接了 CreateFileW来自 kernel32.dll .我相信这就是内核模式 Hook 的例子。