首页
社区
课程
招聘
[求助]win10 1809 (17763) minifilter失效?!
2019-5-6 09:32 3795

[求助]win10 1809 (17763) minifilter失效?!

2019-5-6 09:32
3795
在win10 1809(17763)版本上,minifilter对新建(IRP_MJ_CREATE)、读(IRP_MJ_READ)、删除(IRP_MJ_SET_INFORMATION)的拒绝操作无效。 拒绝操作我是在pre操作中完成的,代码是这样写的:
Data->IoStatus.Status = STATUS_ACCESS_DENIED;
Data->IoStatus.Information = 0;
return FLT_PREOP_COMPLETE;
发现拒绝不了?!

[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法

最后于 2019-5-6 09:35 被yirucandy编辑 ,原因:
收藏
点赞0
打赏
分享
最新回复 (9)
雪    币: 6977
活跃值: (1775)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
TopC 2019-5-6 09:48
2
0
我觉得这样写是没有问题的,难道你在instancesetup那没有绑定要过滤的卷?
雪    币: 5103
活跃值: (1237)
能力值: ( LV12,RANK:220 )
在线值:
发帖
回帖
粉丝
yirucandy 4 2019-5-6 10:03
3
0
TopC 我觉得这样写是没有问题的,难道你在instancesetup那没有绑定要过滤的卷?
为什么要绑定instancesetup过滤的卷啊?
雪    币: 6977
活跃值: (1775)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
TopC 2019-5-6 10:17
4
0
InstanceSetupCallback

A pointer to a routine of type PFLT_INSTANCE_SETUP_CALLBACK to be registered as the minifilter's InstanceSetupCallback routine. This member is optional and can be NULL. Note that if NULL is specified for this routine, the attachment is always made.
雪    币: 293
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mrJank 2019-5-6 10:21
5
0
问题描述不详:
1、该代码是否在其它版本的系统上测试有效,如果仅在win10 1809(17763)版本上进行了测试,应该考虑自身问题,minifilter是目前微软推荐的文件过滤驱动框架,应该不会在新版本系统中禁用
2、你提供的代码即是官方文档的标准写法,拿出来问有没有问题,实在让人无fuck说!
3、1楼说的绑定卷的问题应该不存在,默认是自动绑定的,应该没人会刻意去禁止绑定把?
雪    币: 5103
活跃值: (1237)
能力值: ( LV12,RANK:220 )
在线值:
发帖
回帖
粉丝
yirucandy 4 2019-5-6 10:51
6
0
mrJank 问题描述不详: 1、该代码是否在其它版本的系统上测试有效,如果仅在win10 1809(17763)版本上进行了测试,应该考虑自身问题,minifilter是目前微软推荐的文件过滤驱动框架,应该不会 ...
win7 x64上测试有效。
雪    币: 1038
活跃值: (1216)
能力值: ( LV3,RANK:35 )
在线值:
发帖
回帖
粉丝
StriveXjun 2019-5-6 11:16
7
0
你在precallback,你怎么知道文件是 覆写的 还是新建的呢?
雪    币: 5103
活跃值: (1237)
能力值: ( LV12,RANK:220 )
在线值:
发帖
回帖
粉丝
yirucandy 4 2019-5-6 11:21
8
0
StriveXjun 你在precallback,你怎么知道文件是 覆写的 还是新建的呢?
可以判断文件存不存在。
雪    币: 1038
活跃值: (1216)
能力值: ( LV3,RANK:35 )
在线值:
发帖
回帖
粉丝
StriveXjun 2019-5-6 13:03
9
0
yirucandy 可以判断文件存不存在。
但在precallback里面你拿不到,是否是覆写和新建的标志位呀
雪    币: 5103
活跃值: (1237)
能力值: ( LV12,RANK:220 )
在线值:
发帖
回帖
粉丝
yirucandy 4 2019-5-6 16:17
10
0
已经解决了,逻辑写得有点问题,感谢楼上的同志们!
游客
登录 | 注册 方可回帖
返回