http://www.cnblogs.com/yifi/p/6480704.html
利用LoadImageNotify回调拦截DLL加载，1.这个时候写内存有可能导致死锁；2.DLL被拦截一次之后，重启前再也无法加载
最简单的方法，拦截IRP_MJ_CREATE，发现带FILE_EXECUTE属性的时候就拒绝。但根据某个很喜欢锁主页的大牛说，这个方法误伤很大
http://www.bitnuts.de/KernelBasedMonitoring.pdf
通过拦截IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION实现禁止IMAGE加载 对应函数 NtCreateSection
国外烂大街的方法 学习