有偿求解决,文件过滤驱动函数FltRegisterFilter调用失败返回0xc0000034的问题-求助问答-看雪-安全社区|安全招聘|kanxue.com

曹操abc

雪币： 975

活跃值： (2383)

能力值：

( LV3，RANK：20 )

在线值：

发帖

1

回帖

105

粉丝

3

关注

私信

曹操abc: 2 楼

仅供参考
https://stackoverflow.com/questions/42389211/fltregisterfilter-not-working

2020-10-21 09:47

0

Sprite雪碧

雪币： 9626

活跃值： (1848)

能力值：

( LV5，RANK：73 )

在线值：

发帖

2

回帖

322

粉丝

73

关注

私信

Sprite雪碧 1: 3 楼

有偿你倒是开个悬赏贴啊

2020-10-21 12:47

0

のばら

雪币： 803

活跃值： (2694)

能力值：

( LV2，RANK：10 )

在线值：

发帖

1

回帖

142

粉丝

8

关注

私信

のばら: 4 楼

FltRegisterFilter会检测你的inf是否有安装并创建注册表项目，函数调用失败说明你注册表里该有的没有

2020-10-22 01:19

0

Paula。

雪币： 48

能力值：

( LV1，RANK：0 )

在线值：

发帖

11

回帖

39

粉丝

0

关注

私信

Paula。: 5 楼

のばら FltRegisterFilter会检测你的inf是否有安装并创建注册表项目，函数调用失败说明你注册表里该有的没有

谢谢。文件过滤驱动的加载是要先写注册表的

2020-11-3 23:48

0

低调putchar

雪币： 2674

活跃值： (2304)

能力值：

( LV5，RANK：60 )

在线值：

发帖

4

回帖

141

粉丝

40

关注

私信

低调putchar 1: 6 楼

STATUS_OBJECT_NAME_NOT_FOUND
可以用如下rundll32命令安装MiniFileFilter
rundll32.exe syssetup SetupInfObjectInstallAction DefaultInstall 128 .inf文件路径
.inf文件中可以配置服务启动类型，安装完后OpenService,StartService启动服务就可以了。

最后于 2020-11-4 11:47 被低调putchar编辑，原因：

2020-11-4 11:42

0

低调putchar

雪币： 2674

活跃值： (2304)

能力值：

( LV5，RANK：60 )

在线值：

发帖

4

回帖

141

粉丝

40

关注

私信

低调putchar 1: 7 楼

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

76

77

78

79

80

81

82

83

84

85

86

//操作回调集
static CONST FLT_OPERATION_REGISTRATION operCallbacks[]={
               {
         IRP_MJ_CREATE,  //文件的创建
         0,
         OnFltCreatePreCallback,
         OnFltCreatePostCallback,
         NULL
        },
        {
         IRP_MJ_READ,    //文件的读
         0,
         OnFltReadPreCallback,
         OnFltReadPostCallback,
         NULL
        },
         {
            IRP_MJ_WRITE,   //文件的写
            0,
            OnFltWritePreCallback,
            OnFltWritePostCallback,
            NULL
        },
        {
            IRP_MJ_SET_INFORMATION,  //文件的设置
            0,
            OnFltSetInformationPreCallback,
            OnFltSetInformationPostCallback,
            NULL
        },
        {
          IRP_MJ_QUERY_INFORMATION,   //文件的查询
           0,
          OnFltQueryInformationPreCallback,
           OnFltQueryInformationPostCallback,
           NULL
        },
        {
          IRP_MJ_CLEANUP,    //清理操作
          0,
          OnFltCleanupPreCallback,
          OnFltCleanupPostCallback,
          NULL
        },
        {
          IRP_MJ_CLOSE,      //关闭操作
          0,
          OnFltClosePreCallback,
          OnFltClosePostCallback,
          NULL
        },
        {IRP_MJ_OPERATION_END}
};
...
do{
       ....
//填写微过滤器注册结构
        g_userGlobalInfo.g_fltRegistration.Size=sizeof(FLT_REGISTRATION);
            g_userGlobalInfo.g_fltRegistration.Version=FLT_REGISTRATION_VERSION;
#if DBG       
            g_userGlobalInfo.g_fltRegistration.Flags=0;
#else
        g_userGlobalInfo.g_fltRegistration.Flags=FLTFL_REGISTRATION_DO_NOT_SUPPORT_SERVICE_STOP;
#endif
        g_userGlobalInfo.g_fltRegistration.ContextRegistration=NULL;
        g_userGlobalInfo.g_fltRegistration.OperationRegistration=operCallbacks;
        g_userGlobalInfo.g_fltRegistration.FilterUnloadCallback=OnFltUnloadCallback;
        g_userGlobalInfo.g_fltRegistration.InstanceSetupCallback=OnFltInstanceSetupCallback;
        g_userGlobalInfo.g_fltRegistration.InstanceQueryTeardownCallback=OnFltInstanceQueryTearDownCallback;
        g_userGlobalInfo.g_fltRegistration.InstanceTeardownStartCallback=OnFltInstanceTearDownStartCallback;
        g_userGlobalInfo.g_fltRegistration.InstanceTeardownCompleteCallback=OnFltInstanceTearDownCompleteCallback;
//注册微过滤器
        ntStatus=FltRegisterFilter(pDriverObject,
        &g_userGlobalInfo.g_fltRegistration,
        &g_userGlobalInfo.g_pFltFilter);
        if(!NT_SUCCESS(ntStatus)){
    KdPrintEx((
         DPFLTR_IHVDRIVER_ID,
         DPFLTR_ERROR_LEVEL,
         "Failed to FltRegisterFilter[DriverEntry]!Status: 0x%08X\n",
                      ntStatus
                     ));
         break;
        }
        ...
}while(FALSE);