驱动保护问题

382840495

最近正在学习驱动保护相关的东西，在学到利用ObRegisterCallbacks回调函数来保护进程的时候出现了问题，看网上很多帖子都是用POB_PRE_OPERATION_INFORMATION OperationInformation结构体中OperationInformation->Parameters->CreateHandleInformation.DesiredAccess的值来设置进程的权限，并且都能成功。可是我按照所有能查到的方法都试了一下，并没有达到预期效果。比如OperationInformation->Parameters->CreateHandleInformation.DesiredAccess &= ~PROCESS_TERMINATE;应该能让进程无法关闭，可是我这里并不起作用。我使用的开发环境是win10+vs2022  wdk是Windows 10.0.22621，目标测试系统也是win10的。  万望有大佬能给解答一下疑惑。万分感谢！

承易

可能是在设置DesiredAccess值时，没有正确地将其与PROCESS_TERMINATE进行按位与操作。请尝试：

OperationInformation->Parameters->CreateHandleInformation.DesiredAccess &= ~(PROCESS_TERMINATE | PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ);

这将确保进程无法关闭、创建线程、执行虚拟内存操作、写入虚拟内存和读取虚拟内存。如果仍然无法达到预期效果，请检查代码中是否有其他错误或遗漏。