-
-
[求助]minifilter怎么获取当前正在读写的文件和对应的进程信息？
-
发表于: 2022-8-22 14:52
-
|
|
|---|---|
|
|
|
|
|
|
|
|
测试好用，感谢大佬指点~~ 
|
|
|
FltObjects->FileObject->FileName 拿到文件对象后，可以判断最后是不是" \ ”结尾 |
|
|
FltIsDirectory |
|
|
|
|
|
|
|
|
PsGetProcessImageFileName得到的只有进程的文件名，不包括前面的路径部分，需求是获取进程全路径。 |
|
|
获取当前文件全路径已经实现了：IoVolumeDeviceToDosName获取卷标，FltObjects->FileObject->FileName获取路径，然后拼接在一起就是文件全路径。 获取进程全路径暂时还没搞定，PEPROCESS 能直接得到的只有进程文件名或者PID，网上有些方案是直接读PEB的偏移地址获取全路径，代码比较简洁但是是硬编码的，兼容性不太好。其他的方案都是长篇大论啰里啰唆，难道就没有一个简单点方法获取进程全路径吗？ |
|
|
|
|
|
ZwQueryInformationProcess —— 这个是在应用层调用的吧？现在是在驱动层，怎么调用ZwQueryInformationProcess呢？ |
|
|
驱动可以用的，用MmGetSystemRoutineAddress获取函数地址就可以调用了 |
|
|
https://oomake.com/question/857399 可以参照这个下面回复中的代码 |
|
|
谢谢大佬，经过一番努力已经抓到了进程名路径了，但是ZwQueryInformationProcess查出来的路径是设备名，\Device\HarddiskVolume3\Windows\explorer.exe这种形式，怎么把它转成盘符呢？网上的方法都是遍历C盘到Z盘，把DOS路径转成设备路径然后逐一对比，这方法太傻了吧，而且兼容性堪忧，如果盘符分区大于26个可能会有异常，有没有啥API函数可以一步到位或者尽可能简洁点把设备路径转换成DOS路径？ |
|
|
PsReferenceProcessFilePointer+IoQueryFileDosDeviceName 没PsReferenceProcessFilePointer的系统自己想办法 |
|
|
谢谢大牛，这个之前在CSDN上看到了，但是调试代码一调用PsReferenceProcessFilePointer就蓝屏，弄了半天不知道哪里有问题，所以后来放弃了。 https://my.oschina.net/simpower91/blog/4263121 copy了几个又臭又长的函数搞定了，但是实在看不顺眼啊。。。 |
|
|
这个函数我记得在Pre里是用不了的，只能在Post函数里用 |
|
|
这个方法我记得在某些情况下不灵。有可能文件对象末尾是“文件夹名“而不是” \ ” |
|
|
我查了一下文档，确实是不行的，不过调用fltcreatefile打开文件再查一次文件属性，就可以了 |
|
|
|
hzqst
