首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
7
文件过滤驱动DEMO版
发表于: 2011-3-30 15:24 19908

文件过滤驱动DEMO版

AlexLong 活跃值
2
2011-3-30 15:24
19908

首先声明本帖首发于赏金论坛，希望大家能多多关注这个正在成长的论坛http://www.sgoldcn.com

看了很久的文件系统过滤驱动相关教程，但一直抓不住过滤驱动代码的大框架，一直在过滤驱动的代码中找不到北。偶然看到了一篇英文版教程，读后豁然开朗，学习的过程中记录了以下文字，拿出来与大家分享。
感谢作者，原作地址（http://www.codeproject.com/KB/system/fs-filter-driver-tutorial.aspx）
代码是那篇英文教程的，代码注释换成了我自己的理解。这些代码忽略掉了请多细节，非常有助于快速掌握过滤驱动框架，不会像读sfilter那样拘泥于细节而找不着北，在掌握了整个框架之后再去读sfilter是个不错的选择。

简洁的文件系统过滤驱动框架：
1. DriverEntry中设置初始化例程、卸载例程、需要过滤的IRP例程、快速IO例程，完成卸载例程。最重要的是最后一步：注册文件系统变更消息例程。
2. 完成文件系统变更消息例程，其中需要完成挂载设备与解挂载设备的例程。挂载时需要枚举当前文件系统中已经存在的卷设备并也将自身挂载到他们之上。
3. 处理IRP例程。包括普通IRP例程与快速IO例程。

开始编写：
1. 在DriverEntry中设置IRP例程，注册系统变更消息例程、卸载例程等。这里暂时只处理IRP_MJ_CREATE，在FsFilterDispatchCreate只打印出路径信息。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
NTSTATUS DriverEntry(
IN PDRIVER_OBJECT DriverObject,
IN PUNICODE_STRING pRegistryPath
)
{
NTSTATUS status = STATUS_SUCCESS;
int i = 0;
 
//保存驱动对象到全局变量
g_FsFilterDriverObject = DriverObject;
 
//初始化例程
for (i = 0; i <= IRP_MJ_MAXIMUM_FUNCTION; i++)
{
DriverObject->MajorFunction = FsFilterDispatchPassThrough;
}
 
//卸载例程
DriverObject->DriverUnload = FsFilterUnload;
 
//在这个Demo里，只过滤IRP_MJ_CREATE
DriverObject->MajorFunction[IRP_MJ_CREATE] = FsFilterDispatchCreate;
 
//FastIO分发函数
DriverObject->FastIoDispatch = &g_fastIoDispatch;
 
//注册文件系统变更消息例程
status = IoRegisterFsRegistrationChange(DriverObject,FsFilterNotificationCallback);
if (!NT_SUCCESS(status))
{
KdPrint(("IoRegisterFsRegistrationChange Error!"));
return status;
}
 
return STATUS_SUCCESS;
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
VOID FsFilterUnload(
IN PDRIVER_OBJECT DriverObject)
{
ULONG numDevices = 0;
ULONG i = 0;
LARGE_INTEGER interval;
PDEVICE_OBJECT devList[DEVOBJ_LIST_SIZE];
 
interval.QuadPart = (5 * DELAY_ONE_SECOND);
 
//注销系统变更例程
IoUnregisterFsRegistrationChange(DriverObject,FsFilterNotificationCallback);
 
//循环Detach所有设备并删除
for (;;)
{
IoEnumerateDeviceObjectList(DriverObject,devList,sizeof(devList),&numDevices);
if (0 == numDevices)
break;
 
numDevices = min(numDevices,RTL_NUMBER_OF(devList));
 
for (i = 0; i < numDevices; i++)
{
//Detach并删除设备
FsFilterDetachFromDevice(devList);
ObDereferenceObject(devList);
}
 
//延时5秒，保证所有IRP都完成
KeDelayExecutionThread(KernelMode,FALSE,&interval);
}
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
//当文件系统被激活或被注销时会调用此回调函数
VOID FsFilterNotificationCallback (
IN struct _DEVICE_OBJECT *DeviceObject,
IN BOOLEAN FsActive
)
{
if (FsActive)
{
//FsActive == TRUE 被激活
FsFilterAttachToFileSystemDevice(DeviceObject);
}
else
{
//FsActive == FALSE 被注销
FsFilterDetachFromFileSystemDevice(DeviceObject);
}
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
//文件系统激活回调函数
NTSTATUS FsFilterAttachToFileSystemDevice (
IN PDEVICE_OBJECT DeviceObject
)
{
NTSTATUS status = STATUS_SUCCESS;
PDEVICE_OBJECT filterDeviceObject = NULL;
 
//检测我们的设备是否已经挂载，防止重复挂载
if (!FsFilterIsAttachedToDevice(DeviceObject))
{
//开始挂载
status = FsFilterAttachToDevice(DeviceObject,&filterDeviceObject);
if (!NT_SUCCESS(status))
{
return status;
}
 
//枚举文件系统上已有的所有卷设备并挂载
status = FsFilterEnumerateFileSystemVolumes(DeviceObject);
if (!NT_SUCCESS(status))
{
FsFilterDetachFromDevice(filterDeviceObject);
return status;
}
}
 
return STATUS_SUCCESS;
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
//挂载设备
NTSTATUS FsFilterAttachToDevice(
IN PDEVICE_OBJECT DeviceObject,
OUT PDEVICE_OBJECT* pFilterDeviceObject
)
{
NTSTATUS status = STATUS_SUCCESS;
PDEVICE_OBJECT filterDeviceObject = NULL;
PFSFILTER_DEVICE_EXTENSION pDevExt = NULL;
ULONG i = 0;
 
//防止重复挂载
ASSERT(!FsFilterIsAttachedToDevice(DeviceObject));
 
//创建过滤设备
status = IoCreateDevice(g_FsFilterDriverObject,sizeof(FSFILTER_DEVICE_EXTENSION),NULL,DeviceObject->DeviceType,0,FALSE,&filterDeviceObject);
if (!NT_SUCCESS(status))
{
return status;
}
 
pDevExt = (PFSFILTER_DEVICE_EXTENSION)filterDeviceObject->DeviceExtension;
 
//复制标志位
if (FlagOn(DeviceObject->Flags,DO_BUFFERED_IO))
{
SetFlag(filterDeviceObject->Flags,DO_BUFFERED_IO);
}
 
if (FlagOn(DeviceObject->Flags,DO_DIRECT_IO))
{
SetFlag(filterDeviceObject->Flags,DO_DIRECT_IO);
}
 
if (FlagOn(DeviceObject->Characteristics,FILE_DEVICE_SECURE_OPEN))
{
SetFlag(filterDeviceObject->Characteristics,FILE_DEVICE_SECURE_OPEN);
}
 
//如果挂载失败说明是设备对象还没有完成初始化，这种情况一般发生在卷正在被装入的时候过滤驱动被加载
//所以用for循环，失败后可以再次尝试挂载
for (i = 0; i < 8; i++)
{
LARGE_INTEGER interval;
 
//正式挂载设备
status = IoAttachDeviceToDeviceStackSafe(filterDeviceObject,DeviceObject,&pDevExt->AttachedToDeviceObject);
if (NT_SUCCESS(status))
{
break;
}
 
//延时5秒，给设备足够的时间完成初始化
interval.QuadPart = (500 * DELAY_ONE_MILLISECOND);
KeDelayExecutionThread(KernelMode, FALSE, &interval);
}
 
if (!NT_SUCCESS(status))
{
//失败则清理现场
IoDeleteDevice(filterDeviceObject);
filterDeviceObject = NULL;
}
else
{
//设置正在初始化的标志
ClearFlag(filterDeviceObject->Flags, DO_DEVICE_INITIALIZING);
 
if (NULL != pFilterDeviceObject)
{
*pFilterDeviceObject = filterDeviceObject;
}
}
 
return status;
}

[注意]看雪招聘，专注安全领域的专业人才平台！

上传的附件：
收藏
免费 ・7
支持
分享
赞赏记录
参与人
雪币
留言
时间
Youlor
为你点赞~
2024-5-31 06:24
伟叔叔
为你点赞~
2024-3-27 00:03
心游尘世外
为你点赞~
2024-2-8 00:39
飘零丶
为你点赞~
2024-1-28 04:09
QinBeast
为你点赞~
2024-1-24 00:03
shinratensei
为你点赞~
2024-1-19 01:37
PLEBFE
为你点赞~
2023-3-10 03:00
最新回复 (10)
房有亮
雪    币： 773
活跃值： (442)
能力值： ( LV9，RANK：200 )
在线值：
发帖
回帖
粉丝
私信
2 楼
支持下。。。。不过发广告就XXX
2011-3-30 15:48
0
zycxy
雪    币： 387
活跃值： (76)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
3 楼
先收藏了，这块正糊涂呢
2011-3-30 17:14
0
gddcxysqw
雪    币： 40
活跃值： (14)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
和书上的例子没什么区别啊  并且 还没盘符  不幸福
2012-3-23 15:50
0
tianhz
雪    币： 557
活跃值： (459)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
5 楼
文件系统过滤驱动的书籍很少，不知道各位能否推荐一些好的资料？
2012-5-22 09:52
0
莫灰灰
雪    币： 2481
活跃值： (2405)
能力值： (RANK：400 )
在线值：
发帖
回帖
粉丝
私信
6 楼
win8以后sfilter可能就不支持了吧。。
minifilter以后才是王道啊。
2012-5-22 10:04
0
uniking
雪    币： 931
活跃值： (339)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
如果会Sfilter，minifilter就会很简单。minifilter只是它的封装罢了。反过来就难说了啊。
2012-5-22 10:15
0
wwwzhigang
雪    币： 274
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
呵呵，得系统的好好学习一下了~~
2012-7-16 11:10
0
hidden米
雪    币： 58
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
不错不错呵呵
2012-7-19 22:55
0
liudanking
雪    币： 84
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
谢谢分享！  先下载看看
2012-7-20 16:03
0
十年后不是你
雪    币： 256
活跃值： (382)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
学习
2020-8-6 21:55
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回

账号登录
验证码登录

忘记密码？
没有账号？立即免费注册
我已同意 《看雪服务条款》 《看雪课程免责声明》 《看雪隐私政策》