首页
社区
课程
招聘
[求助]minispy监控文件读写创建的程序BUG求教
发表于: 2012-12-21 14:05 6212

[求助]minispy监控文件读写创建的程序BUG求教

2012-12-21 14:05
6212
我用minispy框架编写一个监控文件读写创建的程序。

       在SpyPostOperationCallback中
      通过监控  :
      IRP_CREAT ,
      IRP_MJ_CREATE_NAMED_PIPE,
      IRP_MJ_CREATE_MAILSLOT
      查询文件路径,保存到哈希表
   
      通过监控 :
      IRP_READ,
      IRP_WRITE,
      IRP_MJ_MDL_READ,
      IRP_MJ_MDL_READ_COMPLETE,
      IRP_MJ_MDL_WRITE_COMPLETE         
      查询哈希表文件路径

      通过监控 :
      IRP_CLOSE
      删除哈希表中相应记录

  测试结果发现有读写操作未监控到,而且未监控到的操作是随机出现。手动操作读写文件一般不会漏掉,用程序打开、读、写文件会随机没有监控到。

      求有经验的大牛指正错误.............感激不尽..........................

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (8)
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
我感觉可能是我获取文件路径方法不是很正确,我是通过FltParseFileNameInformation和 ObQueryNameString来获取文件路径。
2012-12-21 14:23
0
雪    币: 3116
活跃值: (1269)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
3
你是用什么判断的,系统system进程有时候会用stream fileobject来进行读写的,而且这个fileobject是不经过IRP_CREATE
2012-12-21 14:27
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
用stream fileobject来进行读写的该怎么监控,求指导
2012-12-21 15:24
0
雪    币: 107
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
开源文件过滤 有好多
试试他们会不会也漏过
对比下设置过滤条件 操作啥的
说不定就有结论了
2012-12-21 16:24
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
开源文件过滤不多吧........求指点
2012-12-21 20:40
0
雪    币: 107
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
可能 zhouws  的意见更贴切一些
我只是说自己 在没办法会采取的最保守办法
我会自己用 minifilter sfilter的passthrough代码 自己过滤创建 读写试试看

开源的代码 还有(恩 是还有  除了DDK自带代码之外的)
filespy  filemon 似乎都有代码可找
2012-12-22 11:37
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
多谢,但是我想可能是我解析文件路径失败导致漏掉的,不过我用哈希表ObQueryNameString在creat后获得。结果还是有漏掉现象。求大牛门指点..............

我用的也是passthrough的代码,但是也有漏报的情况,求大牛指点啊
2012-12-29 15:48
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
自己顶一个吧.................求大牛现身
2013-1-5 09:20
0
游客
登录 | 注册 方可回帖
返回
//