请问全局钩子如何钩住系统的文件操作，例如复制和剪切

[qq14923349]

我需要监控电脑的所有文件操作，

请不要推荐WINAPI --ReadDirectoryChangesW
和
请不要推荐filemon驱动级

我很简单 就需要钩住 复制和剪切 新建 修改等文件操作


我自己写过键盘钩子和鼠标钩子
但是如何截取 文件操作的消息？
能否给个例子

谢谢了

[Lactoferrin]

vc6太老了，有些宏定义没有

你还是通过api hook监视对NtCreateFile,NtOpenFile,NtReadFile,NtWriteFile等的操作，不过比较麻烦

[qq14923349]

NtCreateFile
这个是ring0层吗？
做这个不是要脱层皮？

我现在用detour挂ring3的CreateFile CopyFile
但是CopyFile不起作用
倒是复制的时候 CreateFile有通知 （基本所有操作CreateFile都有通知）

我是H_SHELL
::SetWindowsHookEx( WH_SHELL , MyShellProc ,(HINSTANCE)g_hInst, 0);

有点小郁闷

[Lactoferrin]

复制文件一定用的CopyFile,CopyFile连进度条都没有
你SetWindowsHookEx应该只是用来注入dll,对tlntsvr.exe,svchost.exe无效的

我说的NtCreateFile是ntdll.dll中用户模式的stub

[Lactoferrin]

复制文件不一定用的CopyFile

[qq14923349]

[Quote=引用 34 楼 lactoferrin 的回复:]
复制文件不一定用的CopyFile
[/Quote]
我是在桌面ctrl+c 复制的
然后CreateFile响应了，CopyFile一直没响应
要是能响应就好了
我就可以记录下来

[Lactoferrin]

你到底要监视什么？远程复制肯定不会用CopyFile的

[qq14923349]

就是监视计算机的所有操作

不过本地或者远程的操作全部记录下来···-_-!!!

这个不算很难吧

[Lactoferrin]

NtCreateFile,NtOpenFile,NtReadFile,NtWriteFile.........

[蒙飞鸿]

拦截复制比较容易，但是剪切，当初试了很多API都不行，如果是CreateFile的话，太多系统动作走这个API了，不知道怎么判断其中哪个是剪切。

[qq14923349]

[Quote=引用 39 楼 mengfeihong 的回复:]
拦截复制比较容易，但是剪切，当初试了很多API都不行，如果是CreateFile的话，太多系统动作走这个API了，不知道怎么判断其中哪个是剪切。
[/Quote]

复制你是怎么拦截的
剪切分为 复制 和创建不行吗？

[Lactoferrin]

移动文件可以hook NtSetInformationFile

[蒙飞鸿]

[Quote=引用 40 楼 qq14923349 的回复:]
引用 39 楼 mengfeihong 的回复:
拦截复制比较容易，但是剪切，当初试了很多API都不行，如果是CreateFile的话，太多系统动作走这个API了，不知道怎么判断其中哪个是剪切。


复制你是怎么拦截的
剪切分为 复制 和创建不行吗？
[/Quote]
记得是CopyFileExW吧，移动、剪切是不走这个API的

[qq14923349]

我刚好碰上8楼的情况
8楼能不能把新建 复制 粘贴 剪切 移动等对应的API 映射都发给我
那我就太感激了

：我也碰到右键获取不到CreateFile:: -_-!!!

[qq14923349]

请问hook文件/文件夹操作
是
WH_SHELL 可以吗？

还是其他消息

[Lactoferrin]

文件/文件夹操作不是用消息钩子的

[qq14923349]

[Quote=引用 41 楼 lactoferrin 的回复:]
移动文件可以hook NtSetInformationFile
[/Quote]

你的代码我在VS2008试了 很不错 就是ctrl+c复制没出事件

另外我用API挂接 复制倒是拦截到
但是弹出个\\.\shadow 什么意思哦

[qq14923349]

[Quote=引用 41 楼 lactoferrin 的回复:]
移动文件可以hook NtSetInformationFile
[/Quote]

你的代码我在VS2008试了 很不错 就是ctrl+c复制没出事件

另外我用API挂接 复制倒是拦截到
但是弹出个\\.\shadow 什么意思哦

[qq14923349]

[Quote=引用 41 楼 lactoferrin 的回复:]
移动文件可以hook NtSetInformationFile
[/Quote]

你的代码我在VS2008试了 很不错 就是ctrl+c复制没出事件

另外我用API挂接 复制倒是拦截到
但是弹出个\\.\shadow 什么意思哦

[niushitang]

我也是和楼主同样的问题。我HOOK CopyFileEx。CopyFileA 。SHFileOperation这三个函数系统什么都没反馈给我。我在Win7上。是否和操作系统有关系。

[zhangmengvv]

引用 16 楼 Lactoferrin 的回复:

改了一点

#include<windows.h>
#include<Shlobj.h>
#pragma comment(lib,"Shell32.lib")
using namespace std;

long __stdcall WindowProc(HWND hwnd,unsigned int uMsg,PIDLIST_ABSOLUTE*wParam,long lParam)
{
	static wchar_t Buffer[2048];static HANDLE hStdOut;unsigned long count;
	if(uMsg==WM_USER+123)
	{
		switch(lParam)
		{
			case SHCNE_RENAMEITEM:wcscpy(Buffer,L"SHCNE_RENAMEITEM:");break;
			case SHCNE_CREATE:wcscpy(Buffer,L"SHCNE_CREATE:");break;
			case SHCNE_DELETE:wcscpy(Buffer,L"SHCNE_DELETE:");break;
			case SHCNE_MKDIR:wcscpy(Buffer,L"SHCNE_MKDIR:");break;
			case SHCNE_RMDIR:wcscpy(Buffer,L"SHCNE_RMDIR:");break;
			case SHCNE_MEDIAINSERTED:wcscpy(Buffer,L"SHCNE_MEDIAINSERTED:");break;
			case SHCNE_MEDIAREMOVED:wcscpy(Buffer,L"SHCNE_MEDIAREMOVED:");break;
			case SHCNE_DRIVEREMOVED:wcscpy(Buffer,L"SHCNE_DRIVEREMOVED:");break;
			case SHCNE_DRIVEADD:wcscpy(Buffer,L"SHCNE_DRIVEADD:");break;
			case SHCNE_NETSHARE:wcscpy(Buffer,L"SHCNE_NETSHARE:");break;
			case SHCNE_NETUNSHARE:wcscpy(Buffer,L"SHCNE_NETUNSHARE:");break;
			case SHCNE_ATTRIBUTES:wcscpy(Buffer,L"SHCNE_ATTRIBUTES:");break;
			case SHCNE_UPDATEDIR:wcscpy(Buffer,L"SHCNE_UPDATEDIR:");break;
			case SHCNE_UPDATEITEM:wcscpy(Buffer,L"SHCNE_UPDATEITEM:");break;
			case SHCNE_SERVERDISCONNECT:wcscpy(Buffer,L"SHCNE_SERVERDISCONNECT:");break;
			case SHCNE_UPDATEIMAGE:wcscpy(Buffer,L"SHCNE_UPDATEIMAGE:");break;
			case SHCNE_DRIVEADDGUI:wcscpy(Buffer,L"SHCNE_DRIVEADDGUI:");break;
			case SHCNE_RENAMEFOLDER:wcscpy(Buffer,L"SHCNE_RENAMEFOLDER:");break;
			case SHCNE_FREESPACE:wcscpy(Buffer,L"SHCNE_FREESPACE:");break;
        }
		if(SHGetPathFromIDListW(*wParam,Buffer+wcslen(Buffer)))
		{
			WriteConsoleW(hStdOut,Buffer,wcslen(Buffer),&count,0);
		}
		if(SHGetPathFromIDListW(wParam[1],Buffer))
		{
			WriteConsoleW(hStdOut,L"->",2,&count,0);
			wcscat(Buffer,L"\n");
			WriteConsoleW(hStdOut,Buffer,wcslen(Buffer),&count,0);
		}else WriteConsoleW(hStdOut,L"\n",1,&count,0);
		return 0;
	}else if(uMsg==WM_CREATE)
	{
		hStdOut=GetStdHandle(STD_OUTPUT_HANDLE);
		return 0;
	}else
	return DefWindowProcW(hwnd,uMsg,(WPARAM)wParam,lParam);
}

int wmain(int argc, _TCHAR* argv[])
{
static WNDCLASSEXW wc={sizeof(WNDCLASSEXW),0,(WNDPROC)WindowProc,0,0,0,0,0,0,0,L"a",0};
wc.hInstance=GetModuleHandleW(0);
HWND hwnd=CreateWindowExW(0,(wchar_t*)RegisterClassExW(&wc),0,0,0,0,0,0,HWND_MESSAGE,0,0,0);
static SHChangeNotifyEntry shcne={0,1};
SHGetFolderLocation(0,CSIDL_DESKTOP,0,0,const_cast<_ITEMIDLIST**>(&shcne.pidl));
ULONG id=SHChangeNotifyRegister(hwnd,SHCNRF_InterruptLevel|SHCNRF_ShellLevel|SHCNRF_RecursiveInterrupt,SHCNE_ALLEVENTS,WM_USER+123,1,&shcne);
if(!id)return 1;
MSG msg;
while(GetMessageW(&msg,0,0,0))DispatchMessageW(&msg);
return 0;
}

您的这个方法能和hook相结合吗？