易语言驱动禁止创建进程源码

系统结构:DriverEntry,DispatchDeviceControl,DispatchCreateClose,DriverUnload,OpenProcess,TerminateProcess,WriteInt,WriteSub,myprocess,ReadIntByAddr,Get_Object,DbgPrint,DbgPrintInt,memcpy,IoCreateDevice,IoCreateSymbolicLink,RtlAnsiStringToUnicodeString,RtlInitAnsiString,RtlFreeUnicodeString,IoIsWdmVersionAvailable,IoDeleteDevice,IoDeleteSymbolicLink,IoCompleteRequest,PsLookupProcessByProcessId,ZwCreateJobObject,ZwAssignProcessToJobObject,ZwTerminateJobObject,PsSetCreateProcessNotifyRoutine,PsSetCreateThreadNotifyRoutine,PsRemoveCreateThreadNotifyRoutine,ZwClose,ObOpenObjectByPointer,PspTerminateProcess,

======程序集1
           |  |
           |  |------ _启动子程序
           |  |
           |  |------ DriverEntry
           |  |
           |  |------ DispatchDeviceControl
           |  |
           |  |------ DispatchCreateClose
           |  |
           |  |------ DriverUnload
           |  |
           |  |------ OpenProcess
           |  |
           |  |------ TerminateProcess
           |  |
           |  |------ WriteInt
           |  |
           |  |------ WriteSub
           |  |
           |  |------ myprocess
           |  |
           |  |------ ReadIntByAddr
           |  |
           |  |------ Get_Object
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   DbgPrint
           |  |
           |  |---[dll]------   DbgPrintInt
           |  |
           |  |---[dll]------   _Write_Int
           |  |
           |  |---[dll]------   _Read_Int
           |  |
           |  |---[dll]------   _Write_DRIVER_OBJECT
           |  |
           |  |---[dll]------   _Read_DRIVER_OBJECT
           |  |
           |  |---[dll]------   _Write_IRP
           |  |
           |  |---[dll]------   memcpy
           |  |
           |  |---[dll]------   _Read_IRP
           |  |
           |  |---[dll]------   IoCreateDevice
           |  |
           |  |---[dll]------   IoCreateSymbolicLink
           |  |
           |  |---[dll]------   RtlAnsiStringToUnicodeString
           |  |
           |  |---[dll]------   RtlInitAnsiString
           |  |
           |  |---[dll]------   RtlFreeUnicodeString
           |  |
           |  |---[dll]------   IoIsWdmVersionAvailable
           |  |
           |  |---[dll]------   IoDeleteDevice
           |  |
           |  |---[dll]------   IoDeleteSymbolicLink
           |  |
           |  |---[dll]------   IoCompleteRequest
           |  |
           |  |---[dll]------   PsLookupProcessByProcessId
           |  |
           |  |---[dll]------   ZwCreateJobObject
           |  |
           |  |---[dll]------   ZwAssignProcessToJobObject
           |  |
           |  |---[dll]------   ZwTerminateJobObject
           |  |
           |  |---[dll]------   PsSetCreateProcessNotifyRoutine
           |  |
           |  |---[dll]------   PsSetCreateThreadNotifyRoutine
           |  |
           |  |---[dll]------   PsRemoveCreateThreadNotifyRoutine
           |  |
           |  |---[dll]------   _WriteSub
           |  |
           |  |---[dll]------   _WriteInt
           |  |
           |  |---[dll]------   ZwClose
           |  |
           |  |---[dll]------   ObOpenObjectByPointer
           |  |
           |  |---[dll]------   PspTerminateProcess

  

调用的DLL命令:

.DLL命令 DbgPrint, , "ntoskrnl.lib", "@_DbgPrint"
    .参数 Buffer, 文本型

.DLL命令 DbgPrintInt, , "ntoskrnl.lib", "@_DbgPrint"
    .参数 Format, 文本型
    .参数 Value, 整数型

.DLL命令 _Write_Int, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, 整数型, 传址
    .参数 大小, 整数型

.DLL命令 _Read_Int, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, 整数型, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Write_DRIVER_OBJECT, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, DRIVER_OBJECT, 传址
    .参数 大小, 整数型

.DLL命令 _Read_DRIVER_OBJECT, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, DRIVER_OBJECT, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Write_IRP, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, IRP, 传址
    .参数 大小, 整数型

.DLL命令 memcpy, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, 整数型
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Read_IRP, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, IRP, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 IoCreateDevice, 整数型, "ntoskrnl.lib", "_IoCreateDevice@28", , .
    .参数 DriverObject, 整数型
    .参数 DeviceExtensionSize, 整数型
    .参数 DeviceName, UNICODE_STRING, 传址
    .参数 DeviceType, 整数型
    .参数 DeviceCharacteristics, 整数型
    .参数 Exclusive, 逻辑型
    .参数 DeviceObject, 整数型, 传址

.DLL命令 IoCreateSymbolicLink, 整数型, "ntoskrnl.lib", "_IoCreateSymbolicLink@8"
    .参数 SymbolicLinkName, UNICODE_STRING, 传址
    .参数 DeviceName, UNICODE_STRING, 传址

.DLL命令 RtlAnsiStringToUnicodeString, 整数型, "ntoskrnl.lib", "_RtlAnsiStringToUnicodeString@12"
    .参数 DestinationString, UNICODE_STRING, 传址
    .参数 SourceString, ANSI_STRING, 传址
    .参数 AllocateDestinationString, 逻辑型

.DLL命令 RtlInitAnsiString, , "ntoskrnl.lib", "_RtlInitAnsiString@8"
    .参数 DestinationString, ANSI_STRING, 传址
    .参数 SourceString, 文本型, 传址

.DLL命令 RtlFreeUnicodeString, , "ntoskrnl.lib", "_RtlFreeUnicodeString@4"
    .参数 UnicodeString, UNICODE_STRING, 传址

.DLL命令 IoIsWdmVersionAvailable, 逻辑型, "ntoskrnl.lib", "_IoIsWdmVersionAvailable@8"
    .参数 MajorVersion, 字节型
    .参数 MinorVersion, 字节型

.DLL命令 IoDeleteDevice, , "ntoskrnl.lib", "_IoDeleteDevice@4"
    .参数 DeviceObject, 整数型

.DLL命令 IoDeleteSymbolicLink, , "ntoskrnl.lib", "_IoDeleteSymbolicLink@4"
    .参数 SymbolicLinkName, UNICODE_STRING, 传址

.DLL命令 IoCompleteRequest, , "ntoskrnl.lib", "_IoCompleteRequest@8"
    .参数 Irp, 整数型
    .参数 PriorityBoost, 整数型

.DLL命令 PsLookupProcessByProcessId, 整数型, "ntoskrnl.lib", "_PsLookupProcessByProcessId@8"
    .参数 ProcessID, 整数型
    .参数 EProcess, 整数型, 传址

.DLL命令 ZwCreateJobObject, 整数型, "ntoskrnl.lib", "_ZwCreateJobObject@12"
    .参数 JobHandle, 整数型, 传址, 4
    .参数 DesiredAccess, 整数型, , 4
    .参数 ObjectAttributes, OBJECT_ATTRIBUTES, , 4

.DLL命令 ZwAssignProcessToJobObject, 整数型, "ntoskrnl.lib", "_ZwAssignProcessToJobObject@8"
    .参数 JobHandle, 整数型
    .参数 ProcessHandle, 整数型

.DLL命令 ZwTerminateJobObject, 整数型, "ntoskrnl.lib", "_ZwTerminateJobObject@8"
    .参数 JobHandle, 整数型
    .参数 ExitStatus, 整数型

.DLL命令 PsSetCreateProcessNotifyRoutine, , "ntoskrnl.lib", "_PsSetCreateProcessNotifyRoutine@8"
    .参数 NotifyRoutine, 子程序指针
    .参数 Remove, 逻辑型

.DLL命令 PsSetCreateThreadNotifyRoutine, 整数型, "ntoskrnl.lib", "_PsSetCreateThreadNotifyRoutine@4", 公开
    .参数 NotifyRoutine, 子程序指针

.DLL命令 PsRemoveCreateThreadNotifyRoutine, 整数型, "ntoskrnl.lib", "_PsRemoveCreateThreadNotifyRoutine@4", 公开
    .参数 NotifyRoutine, 子程序指针

.DLL命令 _WriteSub, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, 子程序指针, 传址
    .参数 大小, 整数型

.DLL命令 _WriteInt, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, 整数型, 传址
    .参数 大小, 整数型

.DLL命令 ZwClose, 整数型, "ntoskrnl.lib", "_ZwClose@4"
    .参数 ObjectHandle, 整数型

.DLL命令 ObOpenObjectByPointer, 整数型, "ntoskrnl.lib", "_ObOpenObjectByPointer@28"
    .参数 Object, 整数型, , _In_      PVOID Object,
    .参数 HandleAttributes, 整数型, ,  _In_      ULONG HandleAttributes,
    .参数 PassedAccessState, 整数型, ,  _In_opt_  PACCESS_STATE PassedAccessState,
    .参数 DesiredAccess, 整数型, ,  _In_      ACCESS_MASK DesiredAccess,
    .参数 ObjectType, 整数型, , _In_opt_  POBJECT_TYPE ObjectType,
    .参数 AccessMode, 整数型, , _In_      KPROCESSOR_MODE AccessMode,
    .参数 Handle, 整数型, 传址, _Out_     PHANDLE Handle

.DLL命令 PspTerminateProcess, , "ntoskrnl.lib", "_PspTerminateProcess@8"
    .参数 eprocess, 整数型
    .参数 a, 整数型