hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？-CSDN论坛

hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？

硬件/嵌入开发 > 驱动开发/核心开发

收藏回复

[问题点数：40分，结帖人liutingting2020]

⋅hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？ ⋅嵌套结构体数组的赋值与删除问题？？ ⋅请问嵌套的数据结构，删除其中的一项该怎么办？？ 更多帖子 关注私信空间博客 liutingting2020 等级 本版专家分：0 结帖率 100%:    在我的hook ZwCreateFile函数中，我用KdPrint输出

      （1）KdPrint(("文件的根目录是： %x \n",ObjectAttributes->RootDirectory));

                  有时候输出结果是754，有时候输出结果是一连串类似数据流的东东。

      （2）KdPrint(("文件名为：%wZ\n",ObjectAttributes->ObjectName));

     有时候输出结果为\??\C:\IVU\ivu\123456.txt:|Raec25ph4sudbf0hAaq5ehw34Nf:$DATA

     有时候输出结果为：|SummaryInformation:$DATA

2014-08-05 10:02:27

点赞只看楼主引用举报楼主收起

展开阅读全文

⋅hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？ ⋅嵌套结构体数组的赋值与删除问题？？ ⋅请问嵌套的数据结构，删除其中的一项该怎么办？？ 更多帖子 关注私信空间博客 liutingting2020 等级 本版专家分：0: Summary information of files: When you right-click on a file in Explorer and go to the 'Summary' tab, you can add summary information for the file, like title, subject, author, and so on. This summary information is also saved into alternate stream. The stream name in this case is SummaryInformation:$DATA.

文件的摘要信息：当你在资源管理器中右键单击文件，然后转到“摘要”选项卡中，可以添加摘要信息的文件，如标题，主题，作者，等等。本摘要信息也保存在备用流。在这种情况下，数据流的名称是的SummaryInformation：$ DATA。
估计有时候ObjectAttributes->ObjectName中存储的是备用流吧？？

2014-08-05 10:08:57

点赞只看TA 引用举报 #1得分 0

⋅推荐：OSR 最新发布的The NT Inside，顺带散分

⋅[已处理] 无法获取配置信息，用户可能被屏蔽(http://blog.csdn.net/huntercao)

更多帖子

关注私信空间博客

曹大夯

等级

本版专家分：19542

勋章

优秀版主 2014年11月论坛优秀版主
2014年11月论坛优秀版主

红花 2014年11月硬件/嵌入开发大版内专家分月排行榜第一
2014年6月硬件/嵌入开发大版内专家分月排行榜第一

黄花 2014年12月硬件/嵌入开发大版内专家分月排行榜第二
2014年8月硬件/嵌入开发大版内专家分月排行榜第二
2010年7月硬件/嵌入开发大版内专家分月排行榜第二

蓝花 2014年7月硬件/嵌入开发大版内专家分月排行榜第三
2013年1月硬件/嵌入开发大版内专家分月排行榜第三
2012年10月硬件/嵌入开发大版内专家分月排行榜第三
2010年6月硬件/嵌入开发大版内专家分月排行榜第三: 引用 1 楼 liutingting2020 的回复:
Summary information of files: When you right-click on a file in Explorer and go to the 'Summary' tab, you can add summary information for the file, like title, subject, author, and so on. This summary information is also saved into alternate stream. The stream name in this case is SummaryInformation:$DATA.

文件的摘要信息：当你在资源管理器中右键单击文件，然后转到“摘要”选项卡中，可以添加摘要信息的文件，如标题，主题，作者，等等。本摘要信息也保存在备用流。在这种情况下，数据流的名称是的SummaryInformation：$ DATA。
估计有时候ObjectAttributes->ObjectName中存储的是备用流吧？？

看起来是的。

2014-08-05 12:07:16

点赞只看TA 引用举报 #2得分 20

⋅hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？ ⋅嵌套结构体数组的赋值与删除问题？？ ⋅请问嵌套的数据结构，删除其中的一项该怎么办？？ 更多帖子 关注私信空间博客 liutingting2020 等级 本版专家分：0: 引用 2 楼 Huntercao 的回复:
Quote: 引用 1 楼 liutingting2020 的回复:

Summary information of files: When you right-click on a file in Explorer and go to the 'Summary' tab, you can add summary information for the file, like title, subject, author, and so on. This summary information is also saved into alternate stream. The stream name in this case is SummaryInformation:$DATA.

文件的摘要信息：当你在资源管理器中右键单击文件，然后转到“摘要”选项卡中，可以添加摘要信息的文件，如标题，主题，作者，等等。本摘要信息也保存在备用流。在这种情况下，数据流的名称是的SummaryInformation：$ DATA。
估计有时候ObjectAttributes->ObjectName中存储的是备用流吧？？

看起来是的。
可以多说点吗？ObjectAttributes中存储的不一定是文件名，有时候也是流信息：
比如我打印出来的数据是：
{4c8cc155-6c1e-11d1_8e41-00c04fb9386d}:$DATA

2014-08-05 12:40:55

点赞只看TA 引用举报 #3得分 0

⋅推荐：OSR 最新发布的The NT Inside，顺带散分

⋅[已处理] 无法获取配置信息，用户可能被屏蔽(http://blog.csdn.net/huntercao)

更多帖子

关注私信空间博客

曹大夯

等级

本版专家分：19542

勋章

优秀版主 2014年11月论坛优秀版主
2014年11月论坛优秀版主

红花 2014年11月硬件/嵌入开发大版内专家分月排行榜第一
2014年6月硬件/嵌入开发大版内专家分月排行榜第一

黄花 2014年12月硬件/嵌入开发大版内专家分月排行榜第二
2014年8月硬件/嵌入开发大版内专家分月排行榜第二
2010年7月硬件/嵌入开发大版内专家分月排行榜第二

蓝花 2014年7月硬件/嵌入开发大版内专家分月排行榜第三
2013年1月硬件/嵌入开发大版内专家分月排行榜第三
2012年10月硬件/嵌入开发大版内专家分月排行榜第三
2010年6月硬件/嵌入开发大版内专家分月排行榜第三: 引用 3 楼 liutingting2020 的回复:
可以多说点吗？ObjectAttributes中存储的不一定是文件名，有时候也是流信息：
比如我打印出来的数据是：
{4c8cc155-6c1e-11d1_8e41-00c04fb9386d}:$DATA

其实我是来学习的。不太明白你的问题是什么。俺也没有去hook过ZwCreateFile的ObjectAttributes。
我觉得你可以从ZwCreateFile API的文档去分析一下该函数都支持哪些类别的Object。
也许你把ObjectAttributes所有参数都打印出来就明白对应的Object是什么。

2014-08-05 13:16:30

点赞只看TA 引用举报 #4得分 20

⋅hook ZwCreateFile遇到的获取文件名字和文件全路径的困惑？？ ⋅嵌套结构体数组的赋值与删除问题？？ ⋅请问嵌套的数据结构，删除其中的一项该怎么办？？ 更多帖子 关注私信空间博客 liutingting2020 等级 本版专家分：0: 引用 4 楼 Huntercao 的回复:
Quote: 引用 3 楼 liutingting2020 的回复:

可以多说点吗？ObjectAttributes中存储的不一定是文件名，有时候也是流信息：
比如我打印出来的数据是：
{4c8cc155-6c1e-11d1_8e41-00c04fb9386d}:$DATA

其实我是来学习的。不太明白你的问题是什么。俺也没有去hook过ZwCreateFile的ObjectAttributes。
我觉得你可以从ZwCreateFile API的文档去分析一下该函数都支持哪些类别的Object。
也许你把ObjectAttributes所有参数都打印出来就明白对应的Object是什么。
这样哦。都没有其他人回答、

2014-08-05 18:49:23

点赞只看TA 引用举报 #5得分 0

收起

收藏回复

liutingting2020

等级：

关注私信 TA的帖子

打印机要打印本地文件，怎样才能获取到本地文件的全路径？？？各路大神求解答: 我在应用层用Hook，自己试了EnumJobs函数，反映的只是文件的类型及名称，拿不到路径。。。 GetModuleFileName函数也是拿不到路径。

Hook实现文件监控: 我需要设计一个应用程序来监视Windows上的文件打开、关闭和保存操作，并限制用户在安装此实用程序之前访问文件类型的子集。这是通过连接Windows文件相关api，然后根据需要在Windows中对文件进行打开、保存和关闭操作...

win7及以上系统C++实现Hook explorer文件级监控复制、剪切和删除操作: 最近项目组需要实现一个对windows用户文件操作进行监控的功能，（也就是使用explorer资源管理器的操作），于是乎我就想到了使用Hook的方法进行拦截，查找一番资料后发现XP调用的是最简单的CopyFileEx, ...

vue: vue init webpack sell (vue build选简化版，vuejs的大小可以减小6kb，依赖.vue文件开发) cd sell npm install npm run dev 如有需要 npm install less less-loader –save-dev 》》》》

Xposed 包名类名加密要如何hook？多dex如何查找对应的方法？: Xposed Hook ，逆向常用之一；findAndHookMethod 语法；...包名类名加密要如何hook？如果用xposed去hook非默认dex文件的类就会发生ClassNotFoundError，要解决这个问题，我们需要拿到对应dex文件的上下文环境。

Android的so注入( inject)和函数Hook(基于got表) - 支持arm和x86: 前面深入学习了古河的Libinject注入Android进程，下面来深入学习一下作者ariesjzj的博文《Android中的so注入(inject)和挂钩(hook) - For both x86 and arm》，注入的思路和古河的是一样的，但是代码的兼容性更好更...

Android上玩玩Hook？: 了解Hook还没有接触过Hook技术读者一定会对Hook一词感觉到特别的陌生，Hook英文翻译过来就是“钩子”的意思，那我们在什么时候使用这个“钩子”呢？我们知道，在Android操作系统中系统维护着自己的一套事件分发机制...

无需Root也能Hook？——Depoxsed框架演示: 之前我们介绍过rovo89在Githu上的Xposed框架，我们也介绍了如何使用Xposed框架进行登录劫持，和广告注入。但是，之后很多朋友都在问我，这个Xposed框架使用起来很确实很好用。可是就是有一个巨大的缺点，就是需要...

FreeRTOS_005_FreeRTOSConfig.h配置文件（二）_HOOK钩子函数: Ⅰ、HOOK介绍很多初学者（包括我在内）初学的时候对HOOK函数完全就是懵的，不知道是什么东西。如果需要理解本文说的HOOK函数相关配置，就需要理解什么是HOOK函数。 HOOK函数：HOOK翻译出来的意思是钩子、钩住，...

实现一个Linux文件系统ACL防火墙-FS_HOOK简介: 近日，我将一个基于eBPF实现的SandFS中的eBPF部分摘除了，形成了一个单纯的SandFS框架： ...纳尼？eBPF大红大紫之时，我竟然反其道而行之，这不犯了形而上学的错误了吗？没错，事实上我摘除它的原因是因为这个原生的...

通过Hook ZwCreateProcess获取进程全路径（缓存问题解决方案）: 我们在拦截进程启动时，会去拦截ZwCreateProcess函数，然后在中间获取启动进程的了全路径，判断进程是否合法。首先看下ZwCreateProcess函数的原型如下：其中我们主要是利用SectionHandle参数，通过...

【Linux】Linux文件与进程的关联: 作为文件的使用者，进程理所当然地将要使用的文件记录于自己的控制块。另外，由于进程所对应的程序也是一个文件，因此进程控制块还必须记录这个文件的相关信息。由于操作系统要对系统所以进程提供服务，因此操作系统...

查找和定位Android应用的按钮点击事件的代码位置基于Xposed Hook实现: 本文博客地址：https://blog.csdn.net/QQ1084283172/article/details/80956455在进行Android程序的逆向分析的时候，经常需要通过Android应用程序的界面UI来定位代码的位置，比较常见的例子就是分析Android应用的网络...

安卓手机不root使用xpose-修改手机位置，Tiktok使用: 安卓手机不root使用xpose-修改手机位置，Tiktok使用标签：安卓 xpose 免root安装xpose xpose是安卓手机中很厉害的一个app，利用它可以实现手机的各种diy，但是由于xpose需要root，并且可能会造成系统的略微不稳定...

android下so文件的注入和hook: 上周主要在弄android下的so文件注入和函数hook 起初想法很简单，

基于EasyHook实现监控explorer资源管理器文件复制、删除、剪切等操作: 网上找到一些通过C++实现Hookexplorer文件操作的方法，由于本人习惯用.NET开发程序，加之C/C++基础较差，所以一直在研究如何用.NET实现，花了一周多的时间，终于基本实现了通过C# Hook资源管理器文件操作的功能，...

Android Hook 机制之简单实战: 简介什么是 Hook Hook 又叫“钩子”，它可以在事件传送的过程中截获并监控事件的传输，将自身的...1.根据Android开发模式，Native模式（C/C++）和Java模式（Java）区分，在Android平台上 Java层级的Hook； ...

关于文件读写的监控, 通过APIHOOK来实现: 有的时候，我们需要对程序读写文件的时候进行监控，尤其是文件的数据是保密的，而且不能直接存储在磁盘上。举个最简单的例子来说，当我们有个文件在磁盘上，而这个文件是加密的，这时候在程序打开文件的时候，通过...

Android Hook Activity 的几种姿势: 这篇博客已 API 27 的源码为基础分析 ...寻找 Hook 点，原则是静态变量或者单例对象，尽量 Hook public 的对象和方法。选择合适的代理方式，如果是接口可以用动态代理。偷梁换柱——用代理对象替换原始对象。 And...

Unity选择文件或者文件路径的方法: 一、引用对应的库文件：https://download.csdn.net/download/xiaochenxihua/10952819 ...* 主题：打开文件 * Description： * 功能：XXX * Date：2019 * Version：0.1版本 * Author：Coffee * Modify Reco...

获取115网盘文件列表: 之前在做自动登录时，想着能不能通过获取动态javascript代码来获取DIV里的内容，从而获取文件列表和相关的信息，但是一番查阅资料后无果，大家如果有办法请不吝赐教，^_^。后来在CSDN上看到了通过hook API来监听...

[网络安全自学篇] 九.社会工程学之基础概念、IP获取、IP物理定位、文件属性: 这是作者的系列网络...本篇文章将介绍社会工程学中的IP物理位置定位、IP获取、手机和邮箱查找、文件属性等。希望对初学者有帮助，大神请飘过，谢谢各位看官！文章目录一.社会工程学二.IP物理定位三.IP地址获取四...

Hook? tf.train.SessionRunHook()介绍【精】: 最近看了下cifar10源码，训练代码中使用了tf.train.SessionRunHook()，tf.train.MonitoredTrainingSession()；查看官方API后终于有些眉目了，特记录备忘。 tf.train.SessionRunHook()是一个类；...

cocos2d-LUA逆向之hook关键函数获取xxtea解密key: 首先讲一下Androidhook，Android 基于Linux内核，提供ptrace系统函数，下图有一个简单说明： Android inline hook一般基于这个函数，使用ptrace函数attach一个目标进程，注入定制的so库进入目标进程的地址空间，...

[网络安全自学篇] 六十二.PE文件逆向之PE文件解析、PE编辑工具使用和PE结构修改（三）: 前文分享了数字签名，采用Signtool工具对EXE文件进行签名，接着利用Asn1View、PEVie、010Editor等工具进行数据提取和分析。本文将详细介绍PE文件格式，熟悉各种PE编辑查看工具，针对目标EXE程序新增对话框等，这也为...

Git hook （钩子文件）机制: githooks(5)=========== NAME----githooks - Hooks(钩子) used by git SYNOPSIS--------$GIT_DIR/hooks/* 简介----------- Hooks(钩子),是一些存放于`$GIT_...当执行'git init',几个示例hook将复制到新资源库的hooks文

如何在React Hooks中获取数据？: 在本教程中，我想通过state和effect hook来像你展示如何用React Hooks来获取数据。我将会使用Hacker News的API来获取热门的技术文章。你将会实现一个属于你自己的自定义hook来在你程序的任何地方复用，或者是作为一...

Windows内核编程文件监控（ssdt hook）: 说到SSDT HOOK，可以从MEP技术说起，MEP（即执行路径修改）主旨就是拦截系统函数或相关处理例程，让它们转向我们自己的函数进行处理，这样就能实现过滤参数或者修改目标函数处理结果的目的。而SSDT（即系统服务描述...

万物皆可Hook！重新捡起Hook神器-Xposed框架: 而是在程序界流传的强大秘技-Hook函数，Hook原意是指钩子，它表示的就是在某个函数的上下文做自定义的处理来实现我们想要的黑科技。在很多技术领域都存在的这种Hook技术，比如下面这些：在...

搜狗微信下线了怎么获取公众号文章？手把手教你最新获取方式: 关于微信公众号《云爬虫技术研究笔记》可以看到更多哦！背景最近发现搜狗微信在2019.10.29号的时候悄然下线了一个功能，也就是不能在搜狗搜索中指定公众号的名称，如下图 ...

相关热词 c# 系统托盘图标 c#结构体定义 c# 根据网络定位 c# 清除html标签 c# uwp最小化 c#和java的区别 64位转换 c# 十进制 c# 点击保存草稿的实现 c# 如何切换图片 c# 界面隐藏部分