-
-
[求助]关于发IRP给FSD
-
发表于:
2009-10-7 17:39
4514
-
关于发送IRP给FSD.进行文件操作..
看到网上这样一句话.不很理解..
所以请教一下大家..
"基本原理就是自己构造一个irp出来，然后直接IoCallDriver发送到fsd。但是 icesword做了更多的工作。它直接读取ntfs.sys 和fastfat.sys，从pe文件格式的角度上计算出正确的fsd的dispatch routine地址，然后再call。"
大致了解了一下发IRP给FSD操作文件的流程..
假设操作C:\\123.txt..
则首先IoCreateFile打开C:
把HANDLE.转换成FILE_OBJECT..
接着FILE_OBJECT_vpb->DeviceObject
分配一个IRP..填写各个IRP参数..
感觉这句可能和问题有关.IrpToSend=IoGetNextIrpStackLocation(Irp);
然后IoCallDriver....
不理解.如果已经得到FSD的DisPacth地址.如何发给它?谢谢指点..
[课程]Linux pwn 探索篇！
