摘要： 大概这么几个思路 1. 打开文件用IoCreateFile，其他比较好发irp的（比如删除操作）走FSD irp删除文件部分处理了删除正在运行的exe镜像部分，做法是方法是IAT Hook MmFlushImageSection但是这样对于独占文件依旧不能处理，只好等到关机回调的时候ZwClose一下在检验对于鬼影这种hook住微端口驱动的StartIo这种，直接判断驱动名字... 阅读全文