-
-
[旧帖] [分享]简单防删除文件方法小技巧 等待申请码 0.00雪花
-
发表于: 2009-7-13 20:12
-
本人是刚学习驱动编程新手，但是喜欢投机取巧。看了很多防删除文件技术的驱动程序，不过很多防删除文件例子面对IceSword都显得非常脆弱。那些通过微文件过滤保护或者通过钩子HOOK技术来保护文件防删除，在用IceSword情况下都给强制删除。但是我试了下自己一个小技巧，结果发现IceSword无法删除我的目标文件。我通过内核驱动程序打开我所保护目标文件，然后不关闭这个文件对象下，用IceSword是无法强制删除我的保护目标文件。比如：防C:\1.sys文件删除。
代码如下：
驱程代码
UNICODE_STRING FileName;
OBJECT_ATTRIBUTES ob;
IO_STATUS_BLOCK iostatus;
RtlInitUnicodeString(&FileName, L"\\??\\c:\\1.sys");
InitializeObjectAttributes(&ob, &FileName, OBJ_CASE_INSENSITIVE, NULL, NULL);
ZwCreateFile(&hfile, GENERIC_READ, &ob, &iostatus, NULL, FILE_ATTRIBUTE_NORMAL, FILE_SHARE_READ, FILE_OPEN_IF, FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0);
我只是试过IceSword，不知道别的工具可不可以删除。
代码如下：
驱程代码
UNICODE_STRING FileName;
OBJECT_ATTRIBUTES ob;
IO_STATUS_BLOCK iostatus;
RtlInitUnicodeString(&FileName, L"\\??\\c:\\1.sys");
InitializeObjectAttributes(&ob, &FileName, OBJ_CASE_INSENSITIVE, NULL, NULL);
ZwCreateFile(&hfile, GENERIC_READ, &ob, &iostatus, NULL, FILE_ATTRIBUTE_NORMAL, FILE_SHARE_READ, FILE_OPEN_IF, FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0);
我只是试过IceSword，不知道别的工具可不可以删除。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
版主指的是MoveFileEx，通过重启后删除的方法，如果楼主的这个驱动是Boot Start的驱动，估计MoveFileEx也不行
|
|
|
|
|
|
|
|
|
|
|
|
|
