Windows 在没有驱动程序的情况下挂接内核？

是否可以在不编写设备驱动程序的情况下挂接内核级windows函数，或者这是API挂接定义的一部分？

否。这是不可能的。事实上，由于PatchGuard的存在，即使使用内核驱动程序也很难钩住内核函数

---

现在，如果您只想知道事情何时发生并获取信息，ETW将为您提供大量的信息，您通常认为这些信息需要内核挂钩（尽管您无法拦截和停止这些调用，只能看到它们何时发生）。查看更多信息。

pinvoke？你想从.net钩住内核？！！你能详细说明一下吗？我想挂接一些内核活动，但最好不要编写驱动程序？如果可能，从用户模式修补内核模式将是一个严重的安全漏洞。怎么办？