能力值：
![]()
(RANK：260 )
|
-
-
2 楼
复制文件不就是 ReadFile(原文件), 再 WriteFile(新文件)吗？外加CreateFile
似乎直接涉及到NtCreateFile，NtReadFile，NtWriteFile这三个函数了。
至于有没有NtSetInformationFile，我就不知道了。
|
能力值：
( LV3，RANK：20 )
|
-
-
3 楼
文件在同一卷上和不同卷间通过explorer复制，其过程是不一样的。
同一卷上走的是MJ_SET_INFORMATION IRP，所以Hook NtSetInformationFile是可能实现禁止的。
在不同卷上复制，实际上就是简单的 MJ_CREATE, MJ_READ, MJ_WRITE IRPs。这些IRP和一般的文件读写没有区别，所以很难实现禁止，一个第三方的软件自己实现的读写拷贝就更没有规律可循了。
|
能力值：
![]()
(RANK：260 )
|
-
-
4 楼
原来如此，又学知识了。
对NT研究得不深入，平时尽做一些open source的开发了，如Linux和ReactOS。如果有功夫，一定多看些NT的东西。
|
|
|
