-
-
[求助] 内核中如何准确的区分文件和文件夹创建和打开或是文件是否存在
-
发表于:
2012-8-1 15:30
5802
-
[求助] 内核中如何准确的区分文件和文件夹创建和打开或是文件是否存在
请教 各位 大虾 内核中如何准确的区分 文件和文件夹 创建和打开 或是 文件和文件夹 是否存在
我HOOK 了 NtCreateFile 目前 唯一确定 就是 CreateDisposition==FILE_CREATE 创建
但是 CreateDisposition==FILE_OPEN_IF || CreateDisposition==FILE_OVERWRITE_IF
这2个 参数 同样也具有 创建文件的效果同时也是打开文件 无法准确的区分出来
那么 是否可以通过 ObjectAttributes->ObjectName 在内核中准确的判断 文件和文件夹是否存在
我目前可以想到的就是 NtOpenFile 但又需要 先确认打开的是 文件 还是文件夹
不知道 各位大虾 是否 有 比较 精确的简单的 办法 先感谢大虾 看帖 并且 万分感谢 下面回复的 朋友
不管是否 解决了我的问题 你的热心帮助 都将使我 努力的学习成长
谢谢各位
已解决 WRK中 写的很清楚 呵呵 好东西啊~!!
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)