驱动加载监控x86

Hook_ZwLoadDriver
HOOK_ZwSetSystemInformation
NTSTATUS
NTAPI HOOK_NtSetSystemInformation
(
IN ULONG SystemInformationClass,
IN OUT PVOID SystemInformation,
IN ULONG SystemInformationLength
)
((SystemInformationClass == SystemLoadAndCallImage)   
(SystemInformationClass == SystemLoadImage))


//问题 在ZwLoadDriver中 如果是用SCM加载驱动,那么得到的进程路径是server.exe,解决的方法是hook下面的函数
XP：
NtRequestWaitReplyPort 
Win7:

ZwAlpcSendWaitReceivePort 

Unhook需要通过deviceiocontrol来进行

参考【原创】总结一把，较为精确判断SCM加载 - 看雪安全论坛

部分代码:

#include "precomp.h"

#pragma pack(1)
typedef struct ServiceDescriptorEntry {
    unsigned int *ServiceTableBase;
    u