-
-
[分享] minifilter隐藏文件
-
发表于: 2018-4-23 08:57
-
思路来源于各大论坛大手子，我只是把思路变成代码，故不敢声称原创。
本文类容我在
Tesla.Angela 的论坛发过。昨天有坛友说在这边也发一下，故此。
NtQueryDirectoryFile 遍历目录，有个通用套路，还有个与众不同的套路。通用套路就是目录下的所有子目录与文件都在一个缓冲区，此时，网上的隐藏代码是没有毛病的。另一个套路是：每次只返回一个查询结果，分N次返回，此时，网上的隐藏套路就炸了。
IRP_MJ_DIRECTORY_CONTROL后操作隐藏文件。可以隐藏每次只返回一个查询结果的情况。
BUG：
1. 隐藏某文件后，在该目录下新建文件，并重命名为隐藏的那个文件，将导致重入。还没想到一个高效的解决办法。详见代码(好像后来解决了这个问题的，我不记得了)
2. 隐藏后需刷新才能生效。目测采用FltNotifyFilterChangeDirectory可解决此问题。(此处，应使用如下代码解决此问题： SHChangeNotify ( SHCNE_ASSOCCHANGED, SHCNF_IDLIST, NULL, NULL ); )
说明：
1. minifilter加载方法来自tangptr@126.com
2. 隐藏代码来自论坛第八个男人的“cmjrm888”及github的“killbug2004”
3. 隐藏单入口查询的思路来自驱网"znsoft"
4. 感谢以上各位
效果如下( Folder Protect价值40刀 )
BUG：
1. 隐藏某文件后，在该目录下新建文件，并重命名为隐藏的那个文件，将导致重入。还没想到一个高效的解决办法。详见代码(好像后来解决了这个问题的，我不记得了)
2. 隐藏后需刷新才能生效。目测采用FltNotifyFilterChangeDirectory可解决此问题。(此处，应使用如下代码解决此问题： SHChangeNotify ( SHCNE_ASSOCCHANGED, SHCNF_IDLIST, NULL, NULL ); )
说明：
1. minifilter加载方法来自tangptr@126.com
2. 隐藏代码来自论坛第八个男人的“cmjrm888”及github的“killbug2004”
3. 隐藏单入口查询的思路来自驱网"znsoft"
4. 感谢以上各位
效果如下( Folder Protect价值40刀 )
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
这个只是个例子，展示文件隐藏的实现思路。IRP_MJ_DIRECTORY_CONTROL的后操作里调用FltGetFileNameInformation是很慢的。 |
|
|
想个办法在应用层调SHChangeNotify就行了 |
|
|
|
|
|
|
|
|
有一个取文件对象名字的API会很慢，忘记是哪一个了。你可以去掉取名字的API试一下还慢不慢
最后于 2018-10-8 14:40
被Thead编辑
，原因：
|
|
|
|
|
|
常规的遍历操作是提供足够的缓冲区，把目录下的所有内容都放到那个缓冲区。然而还有种操作是：每次缓冲区里返回的内容只有一个，而不是多个。在这种情况下，如果被隐藏的是第一个文件，那么返回给上层的应该是第二个；如果第二个也被隐藏了，那就需要返回第三个给上层 |
|
|
|
|
|
dayang 我在WIN2008上架设的IIS，用了网上公开的minifilter 驱动，只要网站访问量1大，就卡死，这个是个通病，怎么解决？ 有一个取文件对象名字的API会很慢，忘记是哪一个了。你可以去掉取名字的API试一下还慢不慢 FltGetFileNameInformation ？？？？？？？？
不用判断名字，那还怎么隐藏啊？
最后于 2018-10-9 09:33
被dayang编辑
，原因：
|
|
|
啧，获取文件对象的名字的接口有很多，你换一个看看是不是那个接口的问题 |
|
|
|
|
|
|
|
|
啧，IRP_MJ_CREATE的预操作返回STATUS_ACCESS_DENIED |
|
|
我看你的代码里没写这个呀 |
|
|
啧，你用我的代码，成功隐藏了？ |
|
|
参考了下 |
|
|
貌似这个返回值 只能把C盘的变红色D盘的就变不了红色 |
|
|
貌似这个返回值 只能把C盘的变红色D盘的就变不了红色 |
