[求助]如何对抗发IRP删除文件(FAT32文件系统)-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (2)
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 236 关注私信	cvcvxk 10 2 楼 Ctrl+D召唤出softice,写下bpx NtSetFileInformation bpx NtDeleteFile 然后取消召唤，找个文件右键删除之，Softice弹出来，单步可以找你要找的IRP~ 2010-3-31 15:10 0
linooo 雪币： 4 活跃值： (209) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	linooo 3 楼找到IRP没用，不知道怎么改IRP的标志:)我是劫持了FAT32的FatOpenExistingFcb和FatOpenExistingFile等打开文件的函数，不是文件过滤驱动，所以只能改IRP，不能返回，不知道怎么改IRP的标志位可以防止这种删除，NTFS下IO_STACK_LOCATION的flag改了能防止(sudami的HijackFile)，但相同的在FAT32下不行了 2010-3-31 15:32 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (2)
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 236 关注私信	cvcvxk 10 2 楼 Ctrl+D召唤出softice,写下bpx NtSetFileInformation bpx NtDeleteFile 然后取消召唤，找个文件右键删除之，Softice弹出来，单步可以找你要找的IRP~ 2010-3-31 15:10 0
linooo 雪币： 4 活跃值： (209) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	linooo 3 楼找到IRP没用，不知道怎么改IRP的标志:)我是劫持了FAT32的FatOpenExistingFcb和FatOpenExistingFile等打开文件的函数，不是文件过滤驱动，所以只能改IRP，不能返回，不知道怎么改IRP的标志位可以防止这种删除，NTFS下IO_STACK_LOCATION的flag改了能防止(sudami的HijackFile)，但相同的在FAT32下不行了 2010-3-31 15:32 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复