SYS驱动程序我 HOOK 了 ZwCreateFile 函数,如何拒绝文件的创建?

xingworld 2008-04-11 01:07:37
SYS驱动程序我 HOOK 了 ZwCreateFile 函数,如何拒绝文件的创建?

我 HOOK 了 ZwCreateFile 函数,已经通过 ObjectAttributes->ObjectName->Buffer 检查出我要保护的目录。我不想让其他程序在这里目录里创建文件,该如何设置返回值。
我的设置是:


if ( ObjectAttributes->ObjectName->Buffer && wcsstr( ObjectAttributes->ObjectName->Buffer, L"111.txt" ) )
{
// 拒绝操作
FileHandle = NULL;
IoStatusBlock->Information = 0;
IoStatusBlock->Status = STATUS_UNSUCCESSFUL;
return STATUS_UNSUCCESSFUL;
}



就这样都不行,文件还是可以被创建出来,请教,该如何设置返回值,能让系统提示,无法创建文件。谢谢!

...全文
465 点赞 收藏 24
写回复
24 条回复
切换为时间正序
当前发帖距今超过3年,不再开放新的回复
发表回复
powerlinm 2009-04-26
驱动程HOOK会不会被杀毒软件kill掉啊?
回复
meiZiNick 2008-04-30
都是很好的建议! 值得学习
回复
muroachanf 2008-04-27
你最好确定一下ZwCreateFile没被系统多次调用
Irp->IoStatus.Status = STATUS_ACCESS_DENIED;
Irp->IoStatus.Information = 0;
IoCompleteRequest( Irp, IO_NO_INCREMENT );
return STATUS_ACCESS_DENIED;
回复
xingworld 2008-04-25
up
回复
xingworld 2008-04-24
没有的,我单步调试走到里面了,我看到函数直接 return 的。
返回是返回了,可是文件还是被创建了。

回复
wangk 2008-04-22
1. wcsstr 是大小写敏感的。 这一段有点问题。

if ( ObjectAttributes->ObjectName->Buffer && wcsstr( ObjectAttributes->ObjectName->Buffer, L"111.txt" ) )
{
// ¾Ü¾ø²Ù×÷
FileHandle = NULL;
IoStatusBlock->Information = 0;
IoStatusBlock->Status = STATUS_UNSUCCESSFUL;
return STATUS_UNSUCCESSFUL;
}


2. ApiHookFsGetFilenameByHandle 本身没什么问题,我说的是调用它的时候FileHandle参数是无效,导致判断逻辑没有进行。
于是就调用了g_pfnOrgZwCreateFile,文件就创建了。
你为什么不直接ObjectName判断呢?
回复
xingworld 2008-04-22
我刚学习驱动程序编程,也是到处找的资料弄的,不知道有没有问题,函数代码如下:


/**
* 根据文件句柄获取文件 DOS 全路径
*/
BOOL ApiHookFsGetFilenameByHandle( IN HANDLE hFileHandle, OUT PCHAR pszFilename, IN USHORT uSize )
{
if ( NULL == hFileHandle )
{
return FALSE;
}

BOOL bRet = FALSE;
NTSTATUS ntStatus;

PWCHAR pBuffer;
PFILE_OBJECT pstFileObject;
POBJECT_NAME_INFORMATION pstObjectNameInfo;

ntStatus = ObReferenceObjectByHandle( hFileHandle, FILE_READ_DATA, *IoFileObjectType, KernelMode, (void **)&pstFileObject, NULL );
if ( NT_SUCCESS( ntStatus ) )
{
ntStatus = IoQueryFileDosDeviceName( pstFileObject, &pstObjectNameInfo );
if ( NT_SUCCESS( ntStatus ) )
{
ntStatus = drvfunc_w2a( pstObjectNameInfo->Name.Buffer, pszFilename, uSize );
if ( NT_SUCCESS( ntStatus ) )
{
bRet = TRUE;
}
}
}

return bRet;
}
回复
wangk 2008-04-21
[Quote=引用 3 楼 xingworld 的回复:]
  
CHAR szFileName[ MAX_PATH ];

if ( FILE_WRITE_DATA == ( FILE_WRITE_DATA & DesiredAccess ) ||
FILE_APPEND_DATA == ( FILE_APPEND_DATA & DesiredAccess ) )
{
RtlZeroMemory( szFileName, sizeof(szFileName) );
if ( ApiHookFsGetFilenameByHandle( FileHandle, szFileName, sizeof(szFileName) ) )
{
if ( APIHOOKFS_ACTION_DENIED == ApiHookFsCheckAction( szFileName ) )
{
// ¾Ü¾ø²Ù×÷
return STATUS_ACCESS_DENIED;
}
}
}

[/Quote]

我很奇怪ApiHookFsGetFilenameByHandle使用的FileHandle这个时候是无效的吧?你怎么弄出它的文件名?
回复
会思考的草 2008-04-21
用IFS filter不行吗?非得hook system services?
回复
xingworld 2008-04-17
我是用 WinDbg + VMWare 调试的,绝对执行到那个位置了,这个我能保证。
回复
cnzdgs 2008-04-17
你是用什么方法测试?调试的时候执行到return了吗?
回复
xingworld 2008-04-17
非常感谢 cnzdgs
感谢你一直给我回帖解决问题,这个问题希望能得到你的帮助,我实在搞不定了,返回什么值,文件都是可以被创建。
回复
cnzdgs 2008-04-17
先提一下,wcsstr函数是不安全的,驱动程序中的字符串是不要求\0结尾的。
比较文件名时要注意OBJ_CASE_INSENSITIVE。
FileHandle = NULL要改成*FileHandle = NULL。
STATUS最好用STATUS_ACCESS_DENIED。
回复
xingworld 2008-04-17
楼上的朋友你好,非常感谢你的回答。
可能是我没有描述清楚。
那个代码就是测试代码,所以不需要判断 ObjectAttributes->RootDirectory

我想要的效果是,当用户创建任何包含 111.txt 这样的文件名的时候就提示,拒绝访问,无法创建文件。
不知道该如何实现呢?

我看到一些资料里面提到 IoCompleteRequest( Irp, IO_NO_INCREMENT );
可是我这里没有 Irp,我哪里能获取到当前的 Irp 指针呢?

谢谢!
回复
rjabcd 2008-04-17
那是我随便说的,实际原因和DISPATCH_LEVEL没有关系。
真实的原因是你少了一个判断
你只判断了ObjectAttributes->ObjectName
没有判断ObjectAttributes->RootDirectory
但是实际上不能直接判断ObjectAttributes->RootDriectory
中间缺少一个过程
我觉得这样解释太麻烦,又看到你前面加了一个KernelMode的判断,所以就说了ZwCreateFile不能在DISPATCH_LEVEL下执行.实际上不是这样!!!!!
回复
xingworld 2008-04-17
DISPATCH_LEVEL 是啥?
回复
rjabcd 2008-04-17
1.查是否在DISPATCH_LEVEL
2.根本的解决方法是不要hook ZwCreateFile函数.
因为ZwCreateFile的实现很复杂。
正确的方法是使用文件过滤驱动或者hook FSD.
回复
xingworld 2008-04-16
肯定被执行了,我都调试到了,这个能保证的
回复
zhoujianhei 2008-04-16
首先,你要确认你的ZwCreateFile函数确实被执行了。
回复
xingworld 2008-04-16
多谢楼上的 zhoujianhei 的回答,

return STATUS_INVALID_PARAMETER;

但是不行。文件依然可以被创建。
回复
加载更多回复
相关推荐
发帖
硬件/系统
创建于2007-09-28

2594

社区成员

VC/MFC 硬件/系统
申请成为版主
帖子事件
创建了帖子
2008-04-11 01:07
社区公告
暂无公告