首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] 有没有办法要过操作系统对文件的保护对其进行写操作 0.00雪花
发表于: 2013-3-29 00:03 5000

[旧帖] 有没有办法要过操作系统对文件的保护对其进行写操作 0.00雪花

沙皮 活跃值
2013-3-29 00:03
5000
比如用ms word打开一文件，该文件被打开后即被保护，不可写入。
我试过用winhex工具直接对扇区内数据进行修改，也会报错：access denied
求大神指点！

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (10)
obusr
雪    币： 47
活跃值： (25)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
2 楼
R3方法：搜索word进程句柄->复制->修改, 如果是内核方法就多了。。
2013-3-29 01:25
0
wrgg
雪    币： 134
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
文件驱动过滤，过滤IRP。
2013-3-29 08:22
0
mccoysc
雪    币： 65
活跃值： (112)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
4 楼
这不叫保护好不好！
仅仅是共享属性的控制而已
2013-3-29 08:30
0
mccoysc
雪    币： 65
活跃值： (112)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
5 楼
这不叫保护好不好！
仅仅是共享属性的控制而已。
还有，你所谓的直接写磁盘扇区，想必那也不叫写磁盘扇区，写的还是文件，仅仅是把文件用winhex打开按十六进制显示而已，换个马甲就叫写扇区了？看到十六进制的显示就是写扇区了？
2013-3-29 08:33
0
catface
雪    币： 49
活跃值： (19)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
话粗理不粗
能找到文件在磁盘上的分布 还写进不进去就不应该了
最多我们开机初始阶段改写 驱动在应用层一些措施生效前改写 或者干脆引导到其他系统改写
不可能系统一开机连系统文件都不管 就开始迫不及待的保护那些word文件的磁盘扇区

楼主对问题的定义和分析可能错的有点远了
2013-3-29 09:14
0
沙皮
雪    币： 32
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
最初就是用文件过滤驱动做的，不行啊
2013-3-29 10:19
0
沙皮
雪    币： 32
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
我写的是MFT里的字段，我觉得通过文件系统没办法直接写这里的吧，所以我推测此软件的实现绕过了文件系统
2013-3-29 10:27
0
wrgg
雪    币： 134
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
应该不是绕过文件系统，而是Word这种特殊的文件格式可能是在内存中创建了临时副本后将原打开文件关闭，直到做出修改后再写入真实文件中，导致你捕获不到它的写操作吧。。。猜测而已，你再去看看Word的操作流程试试。
2013-3-29 11:15
0
wodexinren
雪    币： 74
活跃值： (748)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
记得用word打开的时候，在当前目录下会有一个隐藏的副本，复制粘贴之类的操作也会创建，你试下显示隐藏所有文件观察看看，不知道有没关系
2013-3-29 21:15
0
kinghow
雪    币： 35
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
同目录下会有一个文件名前半部分相同的隐藏文件，如果设置了定时自动存档，里面会有一部分内容
2013-4-1 00:36
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//