（WDK，C++，Windows）有没有办法在 kernel 驱动程序中运行进程？

Question

我有一个关于制作 Kernel 驱动程序的问题

我希望在启动“notepad.exe”时使用 kernel 驱动程序运行进程，

尝试使用“PsSetLoadImageNotifyRoutine”，我成功地了解到启动了“notepad.exe”。

但是在这一点上有没有办法运行“osk.exe”进程？

找不到运行它所需的代码

我想使用此代码“ZwOpenProcess”、“ZwOpenFile”。

但是没有足够的文档来说明如何使用它

Answer 1

您不能从 kernel 模式启动常规 Windows 进程。

虽然CreateProcess确实会调用 kernel 来创建一个进程，但在此之后它将新进程连接到 csrss.exe，这是许多 Windows API 正常工作所必需的。

创建一个可以为您的 kernel 代码创建进程的服务。 使用 WTS API 和CreateProcessAsUser在所需的 session 中创建新进程。驱动程序应使用反向回调。

如果PsSetLoadImageNotifyRoutine是您进入 kernel 的唯一原因，那么您可以删除驱动程序并仅在服务中使用 WMI 来获取有关新进程的通知......