Форум программистов [Powered by Invision Power Board]

Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате

Форум программистов > C/C++: Системное программирование и WinAPI > NtCreateFile-и комбинация флагов

Автор: Coocky 23.7.2007, 10:41

Привет!
Есть такая ситуация. Нужно отловить комбинацию флагов,когда файл открывается на запись.
Никак не получается.
Для функции

Код


NtCreateFile( phFile, AccessMask,  pObjectAttributes,  pIoStatusBlock,  pliAllocationSize,  uFileAttributes,   uShareAccess,  uCreateDisposition,  uCreateOptions,  pEaBuffer,   uEaLength);

не работает,к примеру в Фаре по нажатию F4 такой код

Код


if(uCreateDisposition==FILE_OPEN&&(AccessMask&GENERIC_WRITE||AccessMask&GENERIC_ALL)/*&&uShareAccess==FILE_SHARE_WRITE*/)

Может кто подскажет правильные флаги,комбинацию которых надо проверить, что б узнать, что файл может открываться для записи
Спасибо

Автор: dumb 23.7.2007, 11:07

Цитата(Coocky @ 23.7.2007, 10:41

)

не работает,к примеру в Фаре по нажатию F4

файл открывается "на запись" при сохранении, а не при открытии.

GENERIC_WRITE и GENERIC_ALL - комбинации флагов, а тебе нужно ловить какой-нибудь FILE_WRITE_DATA.

Автор: Coocky 23.7.2007, 11:53

Код


if(AccessMask&FILE_WRITE_DATA)
{
 
}

if(AccessMask&STANDARD_RIGHTS_WRITE)
{
 
}
if(AccessMask&FILE_WRITE_ATTRIBUTES)
{

}
if(AccessMask&FILE_WRITE_EA)
{

}
if(AccessMask&FILE_APPEND_DATA)
{
 
}

Не попадаю ни в один блок при отладке. То же самое, к примеру, и с блокнотом ,при сохранении.
uCreateDisposition приходит с флагом FILE_OPEN
Ну и что делать?

Автор: dumb 23.7.2007, 13:00

ты б хоть привел значение AccessMask smile

Автор: W4FhLF 23.7.2007, 13:02

Coocky, для начала покажи ты получаешь uCreateDisposition и AccessMask.

Автор: Coocky 23.7.2007, 14:02

Цитата(dumb @ 23.7.2007, 13:00

)

ты б хоть привел значение AccessMask

Смотрел через FileSpy-действительно Фар записывает через F2 с флагами, в которых одним является FILE_WRITE_DATA.
Но я не попадаю в блок

Код


if(AccessMask&FILE_WRITE_DATA)
{

}

Вообще в никакие не попадаю smile

Вот при сохранении по F2 такое значение-
AccessMask=1074790528 (hex 0x40100080)
У меня определено
#define FILE_WRITE_DATA ( 0x0002 )

Цитата(W4FhLF @ 23.7.2007, 13:02

)

Coocky, для начала покажи ты получаешь uCreateDisposition и AccessMask.

Как и все-методом перехвата функции. smile

Автор: W4FhLF 23.7.2007, 14:25

Цитата(Coocky @ 23.7.2007, 14:02

)

Как и все-методом перехвата функции.

Код?

Цитата(Coocky @ 23.7.2007, 14:02

)

Вообще в никакие не попадаю
Вот при сохранении по F2 такое значение-AccessMask=1074790528 (hex 0x40100080)
У меня определено
#define FILE_WRITE_DATA ( 0x0002 )

Т.е. один вызов NtCreateFile и разные значения AccessMask у тебя и в FileSpy?

Автор: Coocky 23.7.2007, 14:35

Цитата(W4FhLF @ 23.7.2007, 14:25

)

Код?

Да ну перестань. Сейчас возьму и всю либу брошу сюда smile

Там с перехватом все ок. Все флаги нормальные.

Цитата(W4FhLF @ 23.7.2007, 14:25

)

Т.е. один вызов NtCreateFile и разные значения AccessMask у тебя и в FileSpy

Похоже, что да.

Автор: W4FhLF 23.7.2007, 15:16

Цитата(Coocky @ 23.7.2007, 14:35

)

Там с перехватом все ок. Все флаги нормальные.

Ну давай тогда спишем всё на FileSpy, ибо из двух программ одна работает не верно, но т.к. ты уверен, что твоя работает верно, стало быть Far Manager просто нагло обманывает FileSpy, а сам на самом деле юзает порты IO для записи в файл.

Автор: Coocky 23.7.2007, 15:24

Цитата(W4FhLF @ 23.7.2007, 15:16

)

Ну давай тогда спишем всё на FileSpy, ибо из двух программ одна работает не верно

Ну так а что-обвинить Detours ? smile

Что тебе -сюда код перехвата выложить?
Ну лови,найди ошибку

Код


NTSTATUS (WINAPI *pNtCreateFile)(PHANDLE phFile,ACCESS_MASK AccessMask_i, POBJECT_ATTRIBUTES pObjectAttributes, PIO_STATUS_BLOCK pIoStatusBlock, PLARGE_INTEGER pliAllocationSize, ULONG uFileAttributes,  ULONG uShareAccess, ULONG uCreateDisposition, ULONG uCreateOptions, PVOID pEaBuffer,  ULONG uEaLength);
............
............
NTSTATUS WINAPI UnrealpNtCreateFile(PHANDLE phFile,ACCESS_MASK AccessMask_i, POBJECT_ATTRIBUTES pObjectAttributes, PIO_STATUS_BLOCK pIoStatusBlock, PLARGE_INTEGER pliAllocationSize, ULONG uFileAttributes,  ULONG uShareAccess, ULONG uCreateDisposition, ULONG uCreateOptions, PVOID pEaBuffer,  ULONG uEaLength)
{
     if(AccessMask_i&FILE_WRITE_DATA)
   
   {
 
    }
return pNtCreateFile( phFile, AccessMask_i,  pObjectAttributes,  pIoStatusBlock,  pliAllocationSize,  uFileAttributes,   uShareAccess,  uCreateDisposition,  uCreateOptions,  pEaBuffer,   uEaLength);

}
........
........
........
BOOL APIENTRY DllMain( HANDLE hModule,DWORD  ul_reason_for_call, LPVOID lpReserved)

{

  if (ul_reason_for_call == DLL_PROCESS_ATTACH)
  
{
        pNtCreateFile=NULL;
        reinterpret_cast<FARPROC&>(pNtCreateFile) = GetProcAddress(GetModuleHandle(TEXT("ntdll.dll")), "ZwCreateFile");
        DetourTransactionBegin();
        DetourUpdateThread(GetCurrentThread());
        DetourAttach(&(PVOID&)pNtCreateFile,UnrealpNtCreateFile);
        DetourTransactionCommit();
}

}

Замечу, что все работает во многих приложениях нормально.И ВСЕ совпадает, кроме маски доступа.
Ты просил код? Вот тебе код smile

Автор: W4FhLF 23.7.2007, 16:09

Цитата(Coocky @ 23.7.2007, 15:24

)

Ну так а что-обвинить Detours ?

Встречал я такого зверя, не помню правда, толи это был Trojan.Downloader толи Bot.DDOS/Socks. Я надеюсь не ты автор? smile

Цитата(Coocky @ 23.7.2007, 15:24

)

Ну лови,найди ошибку

Ага, благодарю за одолжение smile

Собственно, я вообще не знаю чего тут репу чесать, у тебя AccessMask_i = 0x40100080, а FILE_WRITE_DATA = 0x0002. С чего условие выполниться должно? smile

Я б на твоём месте подключился к FAR'у, в который уже внедрена DLL, отладчиком и поставил бряк на CreateFile и протрейсил бы всё это дело внимательно анализирую параметры, ибо это гадание на кофейной гуще ни к чему не приведёт.

Автор: dumb 24.7.2007, 02:11

прошу пардона за небольшой увод в сторону. GENERIC_xxx - это отдельные флаги, которые "превращаются"(где-то там "внутрях") в комбинации флагов согласно типам объектов.
посему проверять надо как-то так:

Код


if(AccessMask&(GENERIC_ALL | GENERIC_WRITE | FILE_WRITE_DATA))

Цитата(Coocky @ 23.7.2007, 14:02

)

AccessMask=1074790528 (hex 0x40100080)

GENERIC_WRITE | SYNCHRONIZE | FILE_READ_ATTRIBUTES.

GENERIC_WRITE вроде как содержит SYNCHRONIZE, так что зачем он тут - smile

Цитата(W4FhLF @ 23.7.2007, 16:09

)

Встречал я такого зверя, не помню правда, толи это был Trojan.Downloader толи Bot.DDOS/Socks. Я надеюсь не ты автор?

http://research.microsoft.com/sn/detours/. или это была особо-изощренная шутка? smile

Автор: Coocky 24.7.2007, 09:03

dumb, хм.. Мне понравилась твоя мысль. Только не могу за нее толком зацепится
Вот что я нашел в описании winnt.h

Код


////////////////////////////////////////////////////////////////////////
//                                                                    //
//                             ACCESS MASK                            //
//                                                                    //
////////////////////////////////////////////////////////////////////////

//
//  Define the access mask as a longword sized structure divided up as
//  follows:
//
//       3 3 2 2 2 2 2 2 2 2 2 2 1 1 1 1 1 1 1 1 1 1
//       1 0 9 8 7 6 5 4 3 2 1 0 9 8 7 6 5 4 3 2 1 0 9 8 7 6 5 4 3 2 1 0
//      +---------------+---------------+-------------------------------+
//      |G|G|G|G|Res'd|A| StandardRights|         SpecificRights        |
//      |R|W|E|A|     |S|               |                               |
//      +-+-------------+---------------+-------------------------------+
//
//      typedef struct _ACCESS_MASK {
//          WORD   SpecificRights;
//          BYTE  StandardRights;
//          BYTE  AccessSystemAcl : 1;
//          BYTE  Reserved : 3;
//          BYTE  GenericAll : 1;
//          BYTE  GenericExecute : 1;
//          BYTE  GenericWrite : 1;
//          BYTE  GenericRead : 1;
//      } ACCESS_MASK;
//      typedef ACCESS_MASK *PACCESS_MASK;
//
//  but to make life simple for programmer's we'll allow them to specify
//  a desired access mask by simply OR'ing together mulitple single rights
//  and treat an access mask as a DWORD.  For example
//
//      DesiredAccess = DELETE | READ_CONTROL
//
//  So we'll declare ACCESS_MASK as DWORD
//

// begin_ntddk begin_wdm begin_nthal begin_ntifs
typedef DWORD ACCESS_MASK;
typedef ACCESS_MASK *PACCESS_MASK;

////////////////////////////////////////////////////////////////////////
//                                                                    //
//                             ACCESS TYPES                           //
//                                                                    //
////////////////////////////////////////////////////////////////////////


// begin_ntddk begin_wdm begin_nthal begin_ntifs
//
//  The following are masks for the predefined standard access types
//

#define DELETE                           (0x00010000L)
#define READ_CONTROL                     (0x00020000L)
#define WRITE_DAC                        (0x00040000L)
#define WRITE_OWNER                      (0x00080000L)
#define SYNCHRONIZE                      (0x00100000L)

#define STANDARD_RIGHTS_REQUIRED         (0x000F0000L)

#define STANDARD_RIGHTS_READ             (READ_CONTROL)
#define STANDARD_RIGHTS_WRITE            (READ_CONTROL)
#define STANDARD_RIGHTS_EXECUTE          (READ_CONTROL)

#define STANDARD_RIGHTS_ALL              (0x001F0000L)

#define SPECIFIC_RIGHTS_ALL              (0x0000FFFFL)

//
// AccessSystemAcl access type
//

#define ACCESS_SYSTEM_SECURITY           (0x01000000L)

//
// MaximumAllowed access type
//

#define MAXIMUM_ALLOWED                  (0x02000000L)

//
//  These are the generic rights.
//

#define GENERIC_READ                     (0x80000000L)
#define GENERIC_WRITE                    (0x40000000L)
#define GENERIC_EXECUTE                  (0x20000000L)
#define GENERIC_ALL                      (0x10000000L)


//
//  Define the generic mapping array.  This is used to denote the
//  mapping of each generic access right to a specific access mask.
//

typedef struct _GENERIC_MAPPING {
    ACCESS_MASK GenericRead;
    ACCESS_MASK GenericWrite;
    ACCESS_MASK GenericExecute;
    ACCESS_MASK GenericAll;
} GENERIC_MAPPING;
typedef GENERIC_MAPPING *PGENERIC_MAPPING;

Хрен его знает,как это мне поможет smile

,но хотелось бы ... smile

Автор: Coocky 24.7.2007, 09:34

dumb, ничего не понимаю, но вот так

Код


if(uCreateDisposition==FILE_OPEN&&(AccessMask_i&(GENERIC_WRITE)))

работает

для всех приложений.
Ладно,лови плюс в репу,незнаю чем помог,но на мысль натолкнул smile

Дальше постараюсь копать сам.
W4FhLF, не.Я не пишу трояны.Скорее наоборот-антитроянские программы.Хотя раньше просто интерфейсы для них, теперь-не повезло.Само ядро. smile

Автор: dumb 24.7.2007, 13:47

Цитата(Coocky @ 24.7.2007, 09:34

)

ничего не понимаю

http://msdn2.microsoft.com/en-us/library/aa374902.aspx

Цитата(Coocky @ 24.7.2007, 09:34

)

но вот так <...> работает smile для всех приложений.

более правильную проверку я уже изобразил.

Цитата(Coocky @ 24.7.2007, 09:34

)

Ладно,лови плюс в репу,незнаю чем помог,но на мысль натолкнул

а вот одолжений мне не нужно делать smile

- будь добр, компенсируй этот "плюс".

Автор: W4FhLF 24.7.2007, 14:40

Цитата(dumb @ 24.7.2007, 02:11

)

Detours. или это была особо-изощренная шутка?

Нет, это был обычный ддос-бот, с жалкими зачатками руткита(прятал ключи реестра, свой файл и скрывал себя из диспетчера задач обычным перехватом по средствам сплайсинга). Достал я его вроде из эксплойта, ссылка на который пришла спамом.

Цитата(Coocky @ 24.7.2007, 09:34

)

W4FhLF, не.Я не пишу трояны.Скорее наоборот-антитроянские программы.Хотя раньше просто интерфейсы для них, теперь-не повезло.Само ядро.

Очень интересно. И отчего, по-твоему, должен защитить перехват в usermode?

Автор: Coocky 24.7.2007, 15:12

Цитата(dumb @ 24.7.2007, 13:47

)

а вот одолжений мне не нужно делать

А никто и не делал smile

Просто благодаря твоей мысли-я решил свою проблему smile

Добавлено @ 15:14

Цитата(W4FhLF @ 24.7.2007, 14:40

)

Очень интересно. И отчего, по-твоему, должен защитить перехват в usermode?

Ну во-первых я уже написал-я пишу ИНТЕРФЕЙСЫ под антируткиты smile

А вот сейчас нужна маленькая утилита для защиты от кривых рук smile

Я ж не говорил, что сейчас пишу защиту от троянов, а вот интерфейсы для работы с драйверами писал smile

Но это уже оффтоп

Добавлено через 10 минут и 23 секунды
dumb, то что ты мне дал ссылку-я не про то.
Я про вот что
GENERIC_WRITE

это комбинация

FILE_APPEND_DATA
FILE_WRITE_ATTRIBUTES
FILE_WRITE_DATA
FILE_WRITE_EA
STANDARD_RIGHTS_WRITE
SYNCHRONIZE
тогда почему не работало

Код


if(uCreateDisposition==FILE_OPEN && (AccessMask & FILE_WRITE_DATA))

ведь

Код


int r=0, r1=10,r2=20;
r=r1|r2
if (r & 20)
{
}
дает true ?

Автор: W4FhLF 24.7.2007, 15:29

Цитата(Coocky @ 24.7.2007, 15:12

)

Ну во-первых я уже написал-я пишу ИНТЕРФЕЙСЫ под антируткиты

А под какие именно, если не секрет? smile

Автор: Coocky 24.7.2007, 15:31

В приват отвечу smile

Автор: dumb 24.7.2007, 15:58

Цитата(Coocky @ 24.7.2007, 15:12

)

Я про вот что
GENERIC_WRITE
это комбинация

Цитата(dumb @ 24.7.2007, 02:11

)

GENERIC_xxx - это отдельные флаги, которые "превращаются"(где-то там "внутрях") в комбинации флагов согласно типам объектов.

эти GENERIC'и - старшие четыре бита в маске доступа. посмотри на схематичное изображение, которое ты приводил в одном из своих постов.

ты даешь GENERIC_WRITE для объекта файла - он(этот флаг) в ядре "раскрывается" в специфичные для данного типа объекта(файл) флаги + флаги доступа к самому объекту - их список в твоем посте.

схематичный код того, что творится в ядре:

Код


if (ObjectType = OBJ_FILE && ( AccMask & GENERIC_WRITE ) )
  AccMask = FILE_APPEND_DATA | FILE_WRITE_ATTRIBUTES | FILE_WRITE_DATA | FILE_WRITE_EA | STANDARD_RIGHTS_WRITE | SYNCHRONIZE;

для другого типа объекта(например, папка или ком-порт) этот GENERIC_WRITE "раскроется" в иной набор флагов.

но какой-нибудь "извращенец" может вместо указания какого-либо GENERIC, указать точный набор флагов, специфичных для объекта, с которым он работает. поэтому ловить только GENERIC_WRITE - тоже не совсем правильно. так что бери тот if, что я приводил.

ps. блин, что-то у меня объяснялка сломалась от недосыпа. smile

Автор: Coocky 24.7.2007, 16:09

Цитата(dumb @ 24.7.2007, 15:58

)

GENERIC_WRITE - тоже не совсем правильно. так что бери тот if, что я приводил.

Цитата(dumb @ 24.7.2007, 15:58

)

но какой-нибудь "извращенец" может вместо указания какого-либо GENERIC, указать точный набор флагов,

Так что делать?
Понимаешь-тот набор заточен так, а представь будет два флага вместо трех-ведь тогда не раскроется?

Автор: dumb 24.7.2007, 16:37

Цитата(Coocky @ 24.7.2007, 16:09

)

Так что делать?

повторюсь: smile

Код


if(AccessMask&(GENERIC_ALL | GENERIC_WRITE | FILE_WRITE_DATA))

Цитата(Coocky @ 24.7.2007, 16:09

)

Понимаешь-тот набор заточен так, а представь будет два флага вместо трех-ведь тогда не раскроется?

эм... у тебя проблемы с простейшими логическими операциями? smile

вышеуказанный if сработает на любую комбинацию этих флагов - хоть один, хоть все сразу.

Автор: Coocky 24.7.2007, 17:07

Цитата(dumb @ 24.7.2007, 16:37

)

эм... у тебя проблемы с простейшими логическими операциями? вышеуказанный if сработает на любую комбинацию этих флагов - хоть один, хоть все сразу.

У меня НЕТ ПРОБЛЕМ с этим smile

Ты просто невнимательно читал пост сначала
Еще раз
НЕ РАБОТАЕТ!

Код


if(AccessMask&FILE_WRITE_DATA)
{
 
}

if(AccessMask&STANDARD_RIGHTS_WRITE)
{
 
}
if(AccessMask&FILE_WRITE_ATTRIBUTES)
{

}
if(AccessMask&FILE_WRITE_EA)
{

}
if(AccessMask&FILE_APPEND_DATA)
{
 
}

Добавлено через 3 минуты и 43 секунды

Цитата(dumb @ 24.7.2007, 15:58

)

ps. блин, что-то у меня объяснялка сломалась от недосыпа.

Вот вот

Я тебя не могу понять, что ты мне хочешь донести .
Хотя проблема давно решена.
Просто мы наверное не можем понять друг друга. smile

Автор: dumb 24.7.2007, 17:48

Код


if(AccessMask&(GENERIC_ALL | GENERIC_WRITE | FILE_WRITE_DATA))
{
  // зописывают! памагите!
}

!!!

я не знаю, как еще можно это объяснить... smile

Автор: Coocky 25.7.2007, 08:54

Цитата(dumb @ 24.7.2007, 17:48

)

я не знаю, как еще можно это объяснить...

dumb, ты издеваешься? Бл....
Все..Тема закрыта.