首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]minispy监控文件读写创建的程序BUG求教
发表于: 2012-12-21 14:05 6213

[求助]minispy监控文件读写创建的程序BUG求教

wangde 活跃值
2012-12-21 14:05
6213
我用minispy框架编写一个监控文件读写创建的程序。

       在SpyPostOperationCallback中
      通过监控  ：
      IRP_CREAT ,
      IRP_MJ_CREATE_NAMED_PIPE,
      IRP_MJ_CREATE_MAILSLOT
      查询文件路径，保存到哈希表
   
      通过监控 ：
      IRP_READ,
      IRP_WRITE,
      IRP_MJ_MDL_READ,
      IRP_MJ_MDL_READ_COMPLETE,
      IRP_MJ_MDL_WRITE_COMPLETE         
      查询哈希表文件路径

      通过监控 ：
      IRP_CLOSE
      删除哈希表中相应记录

  测试结果发现有读写操作未监控到，而且未监控到的操作是随机出现。手动操作读写文件一般不会漏掉，用程序打开、读、写文件会随机没有监控到。

      求有经验的大牛指正错误.............感激不尽..........................

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (8)
wangde
雪    币： 4
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
我感觉可能是我获取文件路径方法不是很正确，我是通过FltParseFileNameInformation和 ObQueryNameString来获取文件路径。
2012-12-21 14:23
0
zhouws
雪    币： 3116
活跃值： (1269)
能力值： ( LV8，RANK：120 )
在线值：
发帖
回帖
粉丝
私信
3 楼
你是用什么判断的，系统system进程有时候会用stream fileobject来进行读写的，而且这个fileobject是不经过IRP_CREATE
2012-12-21 14:27
0
wangde
雪    币： 4
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
用stream fileobject来进行读写的该怎么监控，求指导
2012-12-21 15:24
0
tydef
雪    币： 107
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
开源文件过滤 有好多
试试他们会不会也漏过
对比下设置过滤条件 操作啥的
说不定就有结论了
2012-12-21 16:24
0
wangde
雪    币： 4
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
开源文件过滤不多吧........求指点
2012-12-21 20:40
0
tydef
雪    币： 107
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
可能 zhouws  的意见更贴切一些
我只是说自己 在没办法会采取的最保守办法
我会自己用 minifilter sfilter的passthrough代码 自己过滤创建 读写试试看

开源的代码 还有（恩 是还有  除了DDK自带代码之外的）
filespy  filemon 似乎都有代码可找
2012-12-22 11:37
0
wangde
雪    币： 4
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
多谢，但是我想可能是我解析文件路径失败导致漏掉的，不过我用哈希表ObQueryNameString在creat后获得。结果还是有漏掉现象。求大牛门指点..............

我用的也是passthrough的代码，但是也有漏报的情况，求大牛指点啊
2012-12-29 15:48
0
wangde
雪    币： 4
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
自己顶一个吧.................求大牛现身
2013-1-5 09:20
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//