能力值：
( LV4，RANK：45 )
|
-
-
2 楼
hook内核 文件过滤吧
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
那它怎么识别是下载文件而不是其它createfile呢
|
能力值：
( LV6，RANK：90 )
|
-
-
4 楼
楼主也准备搞?
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
顶一下,大家帮看看呀
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
顶一下,大家帮看看呀
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
顶一下,大家帮看看呀
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
IE下载的文件都是先下载到IE临时文件夹里,
然后再复制到你要下载的路径里.
监视IE临时文件夹.
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
非IE浏览器也是可以监视的，比如火狐。
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
非IE浏览器也是可以监视的，比如火狐
|
能力值：
( LV2，RANK：10 )
|
-
-
11 楼
同问，火狐浏览器貌似没有像IE临时文件夹。
|
能力值：
( LV9，RANK：230 )
|
-
-
12 楼
如果被迅雷拦截了呢？怎么办
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
顶一下,快来帮个忙
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
这个确实，包括chrome浏览器下载它也能监视，所以我觉得它的方法不跟浏览器
绑定，可能是先监视网络下载情况，然后再和文件过滤结合来判断。
|
能力值：
( LV2，RANK：10 )
|
-
-
15 楼
LS正解！！
以下仅仅是个人意见，有错的请指正 
不能直接通过文件过滤来监控下载文件的原因如下：
一个进程，进行网络操作是我们能监控到的，进行文件操作也是我们能监控到的。下载文件必须具备两个条件，即存在读网络数据的行为和写文件操作的行为，否则是不能称为下载的。但是，存在以上行为也不一定就是下载，他们之间的关系是由相关进程决定的，也就是我可以写一个程序，这个程序有读取网络数据的行为和写本地文件的行为，他可以有下载行为，也可以没有！！不同的程序我们是无法保证其统一性，所以没有统一的办法做到监控下载行为。
解决办法：
不同的程序的下载操作是不同的，但是同一程序的下载操作基本是固定，我们可以通过分析某一程序的下载行为来监控文件下载操作，通常常用下载的软件不是很多。
具体做法：
比如一个软件是会下载文件到临时文件，然后移动到某一目录，使用了MoveFile函数，而且其他地方没用到这个函数，我们就可以HOOK掉，一旦程序调用了，就可以当做下载处理了。一言蔽之，就是针对性处理啦。
在下菜鸟一个，发表一下愚解，高手直接略过啊……
|
能力值：
( LV2，RANK：10 )
|
-
-
16 楼
监控临时文件吧·············
|
能力值：
( LV2，RANK：10 )
|
-
-
17 楼
希望大N们给个正确答案
|
能力值：
( LV2，RANK：10 )
|
-
-
18 楼
顶一下,请大家说说
|
能力值：
( LV2，RANK：10 )
|
-
-
19 楼
希望大N们给个正确答案
|
能力值：
( LV4，RANK：50 )
|
-
-
20 楼
ls，真相呀~
|
能力值：
( LV2，RANK：10 )
|
-
-
21 楼
可chrome并非如此
|
能力值：
( LV2，RANK：10 )
|
-
-
22 楼
各个浏览器都要产生临时文件的 针对常见的几种浏览器分别弄一下就行了 好像在iNetSafe.dll里面
|
能力值：
( LV2，RANK：10 )
|
-
-
23 楼
GET /Test.rar HTTP/1.1
Host:bbs.pediy.com
Connection: close
Hook Socket
|
能力值：
( LV5，RANK：60 )
|
-
-
24 楼
我想其实应该很简单，它把所有的下载软件都登记在程序中，以此来枚举进程，一旦发现有进程运行，就监视它，发现它有读取网络数据并建立文件的举动，就拦截下来并扫描。
|
能力值：
( LV2，RANK：10 )
|
-
-
25 楼
文件过滤 在IRP_MJ_CREATE获取父进程路径和文件路径 跟据父进程来判断是不是IE或火狐等需要监控的路径
|
|
|
|
