[求助]用minifilter实现沙盒的删除操作时的困惑 [ 在线等 ]-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (6)
hzqst 雪币： 12848 活跃值： (9142) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 568 关注私信	hzqst 3 2 楼 IRP == IRP_MJ_SET_INFORMATION && FileInformationClass == FileDispositionInformation&& fileinfo.deletefile=1 2018-11-26 20:23 0
dsqyg 雪币： 1258 活跃值： (598) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 27 粉丝 0 关注私信	dsqyg 3 楼 hzqst IRP == IRP_MJ_SET_INFORMATION && FileInformationClass == FileDispositionInformation&& ... 记事本保存文件时，收到的信息和删除时收到的信息是一样的，所以这个判断是无效的 2018-11-27 10:07 0
hzqst 雪币： 12848 活跃值： (9142) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 568 关注私信	hzqst 3 4 楼 dsqyg 记事本保存文件时，收到的信息和删除时收到的信息是一样的，所以这个判断是无效的我猜测记事本保存=删除+重新创建一份同名的文件？ 2018-11-27 10:52 0
dsqyg 雪币： 1258 活跃值： (598) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 27 粉丝 0 关注私信	dsqyg 5 楼首先谢谢你的回答！那么接下来该如何去拦截这种操作？因为我可能需要在删除文件时建立标识文件在沙盒中？最后于 2018-11-27 14:36 被dsqyg编辑，原因： 2018-11-27 14:35 0
dsqyg 雪币： 1258 活跃值： (598) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 27 粉丝 0 关注私信	dsqyg 6 楼 hzqst 我猜测记事本保存=删除+重新创建一份同名的文件？首先谢谢你的回答！那么接下来该如何去拦截这种操作？因为我可能需要在删除文件时建立标识文件在沙盒中？ 2018-11-27 14:36 0
沉醉星渊雪币： 16 活跃值： (527) 能力值： ( LV2，RANK：10 ) 在线值：发帖 41 回帖 112 粉丝 0 关注私信	沉醉星渊 7 楼沙盒中需要创建删除标记，用删除标记标识你已经删除了这个文件 2019-9-9 14:07 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (6)
hzqst 雪币： 12848 活跃值： (9142) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 568 关注私信	hzqst 3 2 楼 IRP == IRP_MJ_SET_INFORMATION && FileInformationClass == FileDispositionInformation&& fileinfo.deletefile=1 2018-11-26 20:23 0
dsqyg 雪币： 1258 活跃值： (598) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 27 粉丝 0 关注私信	dsqyg 3 楼 hzqst IRP == IRP_MJ_SET_INFORMATION && FileInformationClass == FileDispositionInformation&& ... 记事本保存文件时，收到的信息和删除时收到的信息是一样的，所以这个判断是无效的 2018-11-27 10:07 0
hzqst 雪币： 12848 活跃值： (9142) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 568 关注私信	hzqst 3 4 楼 dsqyg 记事本保存文件时，收到的信息和删除时收到的信息是一样的，所以这个判断是无效的我猜测记事本保存=删除+重新创建一份同名的文件？ 2018-11-27 10:52 0
dsqyg 雪币： 1258 活跃值： (598) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 27 粉丝 0 关注私信	dsqyg 5 楼首先谢谢你的回答！那么接下来该如何去拦截这种操作？因为我可能需要在删除文件时建立标识文件在沙盒中？最后于 2018-11-27 14:36 被dsqyg编辑，原因： 2018-11-27 14:35 0
dsqyg 雪币： 1258 活跃值： (598) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 27 粉丝 0 关注私信	dsqyg 6 楼 hzqst 我猜测记事本保存=删除+重新创建一份同名的文件？首先谢谢你的回答！那么接下来该如何去拦截这种操作？因为我可能需要在删除文件时建立标识文件在沙盒中？ 2018-11-27 14:36 0
沉醉星渊雪币： 16 活跃值： (527) 能力值： ( LV2，RANK：10 ) 在线值：发帖 41 回帖 112 粉丝 0 关注私信	沉醉星渊 7 楼沙盒中需要创建删除标记，用删除标记标识你已经删除了这个文件 2019-9-9 14:07 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

[求助]用minifilter实现沙盒的删除操作时的困惑 [ 在线等 ]

或者该怎么真正正确的过滤删除操作？