hook api writefile的问题

[lilingjing]

一个文件权限的项目，需要防止某些文件的保存操作，准备采用hook winapi Writefile的方法，利用detours

BOOL _stdcall Replace_WriteFile(//替换系统的Writefile
HANDLE hFile, // handle to file to write to
LPCVOID lpBuffer, // pointer to data to write to file
DWORD nNumberOfBytesToWrite, // number of bytes to write
LPDWORD lpNumberOfBytesWritten, // pointer to number of bytes written
LPOVERLAPPED lpOverlapped // pointer to structure for overlapped I/O
)
{

BOOL res = NULL; //操作成功完成返回非零值
__try
{

MessageBox( NULL, "您没有修改权限", "拦截成功!", MB_OK );

}
__finally
{
};
return res;

}

但是有几个问题
1. word下就算使用类似findwindow的方法得到某个文件的窗口线程，如果同时又多个word打开，钩子还是会钩住所有的文件保存信息
2. word中的保存信息不像txt文件，往往点击了保存以后虽然能够拦截该保存消息，但是却造成messagebox弹出多次，可能是word中多次调用writefile操作，对此不是太了解

有没有有经验的兄弟能指点小弟一下啊，或者有什么更好的方法？

[KeSummer]

其实要是我是WORD开发人员也会调用多次WriteFile,因为我是保存文件的多个部分，而不是一次保存。

[lilingjing]

[Quote=引用 1 楼 kesummer 的回复:]
其实要是我是WORD开发人员也会调用多次WriteFile,因为我是保存文件的多个部分，而不是一次保存。
[/Quote]
如果这样简单的返回null，感觉效果并不好，有没有什么更好的办法能阻止这个线程的保存操作呢？

[KeSummer]

把文件设置为只读。

[oyljerry]

Word中还有周期性的保存，同时Word可能会修改很多地方..

[danxuezx]

不知道可不可以截获保存菜单的消息，再这直接让它失效，仅仅是想想~~

[lilingjing]

由于项目需求是大多数的文件，不能只关注word，所以还是想从api出发，搞了一个下午，发现word是先把文件多次写到一个~XXX.tmp文件中。

现在的初步想法是想通过writefile里面的参数handle得到文件名，判断当文件名是我所关心的XXX.doc时候再阻止他写入，希望这样可以区分开打开多个word时钩子一钩全钩的问题，不知道能否行得通，兄弟们觉得呢

[zoulie]

[Quote=引用 6 楼 lilingjing 的回复:]
由于项目需求是大多数的文件，不能只关注word，所以还是想从api出发，搞了一个下午，发现word是先把文件多次写到一个~XXX.tmp文件中。

现在的初步想法是想通过writefile里面的参数handle得到文件名，判断当文件名是我所关心的XXX.doc时候再阻止他写入，希望这样可以区分开打开多个word时钩子一钩全钩的问题，不知道能否行得通，兄弟们觉得呢
[/Quote]
可以的

[lilingjing]

现在的问题是我的想法不成功，我使用的是线程钩子，setWindowsHookEx的最后一个参数我使用当前word窗口的句柄得到的线程ID，监控发现每次保存都调用向~XXX.tmp中写，并没有向我关心的XXX.doc中写，

猜想原因估计是在文件关闭了以后再将数据写入.doc的，但是文件关闭了以后原本我对这个文件线程的挂的钩子应该是失效了，所以也没有钩到相应的写入操作，后来想试试全局钩子，结果全局钩子再拦截writefile时候explorer一直就重启，也没办法了。

有没有高人再指点下

[lilingjing]

[Quote=引用 10 楼 zoulie 的回复:]
引用 8 楼 lilingjing 的回复:
现在的问题是我的想法不成功，我使用的是线程钩子，setWindowsHookEx的最后一个参数我使用当前word窗口的句柄得到的线程ID，监控发现每次保存都调用向~XXX.tmp中写，并没有向我关心的XXX.doc中写，

猜想原因估计是在文件关闭了以后再将数据写入.doc的，但是文件关闭了以后原本我对这个文件线程的挂的钩子应该是失效了，所以也没有钩到相应的写入操作，后来想试试全局钩子，结果全局钩子再拦截writefile时候explorer一直就重启，也没办法了。

有没有高人再指点下

你HOOK API 有问题吧，堆栈平衡
[/Quote]

怎么样会发生堆栈不平衡？稍稍解释一下？

[lilingjing]

[Quote=引用 9 楼 sanguomi 的回复:]
我觉得不太可能文件关闭后再写入数据,你钩住API后,执行完你的操作后,再执行API本身应该可以的
前边判断可以根据句柄做判断,文件名可能会变化的
[/Quote]

可是我根据句柄得到文件名，每次调用writefile的时候我都messagebox出来看，前三次是~XXX.tmp，后面都是乱码了，也不知道是什么情况，如果根据句柄判断的话，其中一个是writefile的参数hfile，即当前写入文件的句柄，我应该再得到我所关心的文件的句柄才好比较，关键是，我所关心的文件的句柄如何得到呢？

[sanguomi]

我觉得不太可能文件关闭后再写入数据,你钩住API后,执行完你的操作后,再执行API本身应该可以的
前边判断可以根据句柄做判断,文件名可能会变化的

[zoulie]

[Quote=引用 8 楼 lilingjing 的回复:]
现在的问题是我的想法不成功，我使用的是线程钩子，setWindowsHookEx的最后一个参数我使用当前word窗口的句柄得到的线程ID，监控发现每次保存都调用向~XXX.tmp中写，并没有向我关心的XXX.doc中写，

猜想原因估计是在文件关闭了以后再将数据写入.doc的，但是文件关闭了以后原本我对这个文件线程的挂的钩子应该是失效了，所以也没有钩到相应的写入操作，后来想试试全局钩子，结果全局钩子再拦截writefile时候explorer一直就重启，也没办法了。

有没有高人再指点下
[/Quote]
你HOOK API 有问题吧，堆栈平衡

[KeSummer]

1：HOOK CreateFile记录句柄

2：用下面的函数获取句柄对应的文件名

BOOL GetFileNameFromHandle(HANDLE hFile)
{
BOOL bSuccess = FALSE;
TCHAR pszFilename[MAX_PATH+1];
HANDLE hFileMap;

// Get the file size.
DWORD dwFileSizeHi = 0;
DWORD dwFileSizeLo = GetFileSize(hFile, &dwFileSizeHi);

if( dwFileSizeLo == 0 && dwFileSizeHi == 0 )
{
printf("Cannot map a file with a length of zero.\n");
return FALSE;
}

// Create a file mapping object.
hFileMap = CreateFileMapping(hFile,
NULL,
PAGE_READONLY,
0,
MAX_PATH,
NULL);

if (hFileMap)
{
// Create a file mapping to get the file name.
void* pMem = MapViewOfFile(hFileMap, FILE_MAP_READ, 0, 0, 1);

if (pMem)
{
if (GetMappedFileName (GetCurrentProcess(),
pMem,
pszFilename,
MAX_PATH))
{

// Translate path with device name to drive letters.
TCHAR szTemp[BUFSIZE];
szTemp[0] = '\0';

if (GetLogicalDriveStrings(BUFSIZE-1, szTemp))
{
TCHAR szName[MAX_PATH];
TCHAR szDrive[3] = TEXT(" :");
BOOL bFound = FALSE;
TCHAR* p = szTemp;

do
{
// Copy the drive letter to the template string
*szDrive = *p;

// Look up each device name
if (QueryDosDevice(szDrive, szName, BUFSIZE))
{
UINT uNameLen = _tcslen(szName);

if (uNameLen < MAX_PATH)
{
bFound = _tcsnicmp(pszFilename, szName,
uNameLen) == 0;

if (bFound)
{
// Reconstruct pszFilename using szTempFile
// Replace device path with DOS path
TCHAR szTempFile[MAX_PATH];
StringCchPrintf(szTempFile,
MAX_PATH,
TEXT("%s%s"),
szDrive,
pszFilename+uNameLen);
StringCchCopyN(pszFilename, MAX_PATH+1, szTempFile, _tcslen(szTempFile));
}
}
}

// Go to the next NULL character.
while (*p++);
} while (!bFound && *p); // end of string
}
}
bSuccess = TRUE;
UnmapViewOfFile(pMem);
}

CloseHandle(hFileMap);
}
_tprintf(TEXT("File name is %s\n"), pszFilename);
return(bSuccess);
}

[lilingjing]

[Quote=引用 13 楼 kesummer 的回复:]
1：HOOK CreateFile记录句柄

2：用下面的函数获取句柄对应的文件名

BOOL GetFileNameFromHandle(HANDLE hFile)
{
  BOOL bSuccess = FALSE;
  TCHAR pszFilename[MAX_PATH+1];
  HANDLE hFileMap;

  // Get the file size.
  DWORD dwFileSizeHi = 0;
  DWORD dwFileSizeLo = GetFileSize(hFile, &dwFileSizeHi);

  if( dwFileSizeLo == 0 && dwFileSizeHi == 0 )
  {
    printf("Cannot map a file with a length of zero.\n");
    return FALSE;
  }

  // Create a file mapping object.
  hFileMap = CreateFileMapping(hFile,
                    NULL,
                    PAGE_READONLY,
                    0,
                    MAX_PATH,
                    NULL);

  if (hFileMap)
  {
    // Create a file mapping to get the file name.
    void* pMem = MapViewOfFile(hFileMap, FILE_MAP_READ, 0, 0, 1);

    if (pMem)
    {
      if (GetMappedFileName (GetCurrentProcess(),
                            pMem,
                            pszFilename,
                            MAX_PATH))
      {

        // Translate path with device name to drive letters.
        TCHAR szTemp[BUFSIZE];
        szTemp[0] = '\0';

        if (GetLogicalDriveStrings(BUFSIZE-1, szTemp))
        {
          TCHAR szName[MAX_PATH];
          TCHAR szDrive[3] = TEXT(" :");
          BOOL bFound = FALSE;
          TCHAR* p = szTemp;

          do
          {
            // Copy the drive letter to the template string
            *szDrive = *p;

            // Look up each device name
            if (QueryDosDevice(szDrive, szName, BUFSIZE))
            {
              UINT uNameLen = _tcslen(szName);

              if (uNameLen < MAX_PATH)
              {
                bFound = _tcsnicmp(pszFilename, szName,
                    uNameLen) == 0;

                if (bFound)
                {
                  // Reconstruct pszFilename using szTempFile
                  // Replace device path with DOS path
                  TCHAR szTempFile[MAX_PATH];
                  StringCchPrintf(szTempFile,
                            MAX_PATH,
                            TEXT("%s%s"),
                            szDrive,
                            pszFilename+uNameLen);
                  StringCchCopyN(pszFilename, MAX_PATH+1, szTempFile, _tcslen(szTempFile));
                }
              }
            }

            // Go to the next NULL character.
            while (*p++);
          } while (!bFound && *p); // end of string
        }
      }
      bSuccess = TRUE;
      UnmapViewOfFile(pMem);
    }

    CloseHandle(hFileMap);
  }
  _tprintf(TEXT("File name is %s\n"), pszFilename);
  return(bSuccess);
}

[/Quote]

1，hook createfile可能会有发现，等小弟去试试

2. 这个方法用过了，还是谢谢你

这么久了，谢谢楼上的兄弟们，虽然问题还没解决，先结贴吧！！

[abcdf4444]

秩序下次不许