hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？

2014-08-05 10:02:27 347 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

liutingting2020 墨衍会员 · AI 创作全网分发关注 + 加入社区

Windows内核驱动进阶：安装卸载、API分类与安全防御 Windows内核驱动是运行在Ring 0的高权限代码，其稳定性直接决定系统可用性。理解IRQL机制、内存池分类（分页/非分页）、对象句柄与指针的安全边界，是规避蓝屏（如IRQL_NOT_LESS_OR_EQUAL、DRIVER_IRQL_NOT_LESS_OR_EQUAL）的根本前提。驱动安装需依托INF文件与SCM服务模型，确保签名验证与硬件匹配；卸载则依赖DriverUnload例程的资源清理完整性，而非简单sc delete。在安全层面，驱动签名、KCFG控制流保护、ETW监控及内核内存校验等主动防阅读详情

在我的hook ZwCreateFile函数中，我用KdPrint输出

（1）KdPrint(("文件的根目录是： %x \n",ObjectAttributes->RootDirectory));

有时候输出结果是754，有时候输出结果是一连串类似数据流的东东。

（2）KdPrint(("文件名为：%wZ\n",ObjectAttributes->ObjectName));

有时候输出结果为\??\C:\IVU\ivu\123456.txt:|Raec25ph4sudbf0hAaq5ehw34Nf:$DATA

有时候输出结果为：|SummaryInformation:$DATA

...全文

华为/H3C/锐捷交换机配置命令对比表：一张图搞定VLAN划分与端口设置本文详细对比了华为、H3C、锐捷三大品牌交换机在VLAN划分与端口设置中的配置命令差异，提供从基础配置到高级功能的横向对比表，帮助网络工程师快速掌握多品牌设备混用环境下的配置技巧，提升工作效率。阅读详情

liutingting2020

驱动开发/核心开发 21,620 成员 21,709 内容

+ 关注 + 加入社区

切换为时间正序

liutingting2020 2014-08-05

打赏
举报

引用 2 楼 Huntercao 的回复:

[quote=引用 1 楼 liutingting2020 的回复:] Summary information of files: When you right-click on a file in Explorer and go to the 'Summary' tab, you can add summary information for the file, like title, subject, author, and so on. This summary information is also saved into alternate stream. The stream name in this case is SummaryInformation:$DATA. 文件的摘要信息：当你在资源管理器中右键单击文件，然后转到“摘要”选项卡中，可以添加摘要信息的文件，如标题，主题，作者，等等。本摘要信息也保存在备用流。在这种情况下，数据流的名称是的SummaryInformation：$ DATA。估计有时候ObjectAttributes->ObjectName中存储的是备用流吧？？

看起来是的。[/quote]可以多说点吗？ObjectAttributes中存储的不一定是文件名，有时候也是流信息：比如我打印出来的数据是： {4c8cc155-6c1e-11d1_8e41-00c04fb9386d}:$DATA

曹大夯 2014-08-05

打赏
举报

引用 1 楼 liutingting2020 的回复:

Summary information of files: When you right-click on a file in Explorer and go to the 'Summary' tab, you can add summary information for the file, like title, subject, author, and so on. This summary information is also saved into alternate stream. The stream name in this case is SummaryInformation:$DATA. 文件的摘要信息：当你在资源管理器中右键单击文件，然后转到“摘要”选项卡中，可以添加摘要信息的文件，如标题，主题，作者，等等。本摘要信息也保存在备用流。在这种情况下，数据流的名称是的SummaryInformation：$ DATA。估计有时候ObjectAttributes->ObjectName中存储的是备用流吧？？

看起来是的。

liutingting2020 2014-08-05

打赏
举报

Summary information of files: When you right-click on a file in Explorer and go to the 'Summary' tab, you can add summary information for the file, like title, subject, author, and so on. This summary information is also saved into alternate stream. The stream name in this case is SummaryInformation:$DATA. 文件的摘要信息：当你在资源管理器中右键单击文件，然后转到“摘要”选项卡中，可以添加摘要信息的文件，如标题，主题，作者，等等。本摘要信息也保存在备用流。在这种情况下，数据流的名称是的SummaryInformation：$ DATA。估计有时候ObjectAttributes->ObjectName中存储的是备用流吧？？

liutingting2020 2014-08-05

打赏
举报

引用 4 楼 Huntercao 的回复:

[quote=引用 3 楼 liutingting2020 的回复:] 可以多说点吗？ObjectAttributes中存储的不一定是文件名，有时候也是流信息：比如我打印出来的数据是： {4c8cc155-6c1e-11d1_8e41-00c04fb9386d}:$DATA

其实我是来学习的。不太明白你的问题是什么。俺也没有去hook过ZwCreateFile的ObjectAttributes。我觉得你可以从ZwCreateFile API的文档去分析一下该函数都支持哪些类别的Object。也许你把ObjectAttributes所有参数都打印出来就明白对应的Object是什么。[/quote]这样哦。都没有其他人回答、

曹大夯 2014-08-05

打赏
举报

引用 3 楼 liutingting2020 的回复:

可以多说点吗？ObjectAttributes中存储的不一定是文件名，有时候也是流信息：比如我打印出来的数据是： {4c8cc155-6c1e-11d1_8e41-00c04fb9386d}:$DATA

hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？

相关推荐