VPF::перехват FindNextFile для Windows NT(Windows 7)

Fishtel

Дата 6.6.2010, 18:54 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 16
Регистрация: 27.5.2010

Репутация: нет
Всего: нет

еще немного не по теме говоря FindFirst/FindNext вы имеете ввиду FindFirstFile/FindNextFile ???
или они все используют NtQueryDirectoryFile

xvr

Дата 6.6.2010, 19:57 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Комодератор
Сообщений: 7046
Регистрация: 28.8.2007
Где: Дублин, Ирландия

Репутация: 40
Всего: 223

Цитата(Fishtel @ 6.6.2010, 18:54

)

вы имеете ввиду FindFirstFile/FindNextFile ???
или они все используют NtQueryDirectoryFile

ВСЕ функции группы Find*File* используют NtQueryDirectoryFile

Fishtel

Дата 7.6.2010, 11:38 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 16
Регистрация: 27.5.2010

Репутация: нет
Всего: нет

Цитата(xvr @ 6.6.2010, 19:57)

Цитата(Fishtel @ 6.6.2010, 18:54

)

вы имеете ввиду FindFirstFile/FindNextFile ???
или они все используют NtQueryDirectoryFile

ВСЕ функции группы Find*File* используют NtQueryDirectoryFile

упс, сделал сплайсинг, для FindNextFileW таже ерунда, а вот начал смотреть NTQueryDirectoryFile уже в проводнике видно,
что иногда к ней обращаются, ток как с помощью нее скрыть ? smile

xvr

Дата 7.6.2010, 13:42 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Комодератор
Сообщений: 7046
Регистрация: 28.8.2007
Где: Дублин, Ирландия

Репутация: 40
Всего: 223

Цитата(Fishtel @ 7.6.2010, 11:38)

Отпарсить данные, возвращенные в FileInformation параметре (убрать из них упоминания о нужных файлах)

Fishtel

Дата 7.6.2010, 20:27 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 16
Регистрация: 27.5.2010

Репутация: нет
Всего: нет

объявил стурктуру

Код



#pragma pack(1)
struct FILE_BOTH_DIRECTORY_INFORMATION
{
    DWORD NextEntryOffset;
    DWORD Unknown;
    int CreationTime, LastAccessTime, LastWriteTime, ChangeTime, EndOfFile, AllocationSize;
    DWORD FileAttributes;
    DWORD FileNameLength;
    DWORD EaInformationLength;
    DWORD AlternateNameLength;
    WCHAR AlternateName[MAX_PATH];
    WCHAR FileName[MAX_PATH];
};
#pragma pack()


///двойник NtQueryDirectoryFile
NTSTATUS WINAPI myNtQueryDirectoryFile(HANDLE FileHandle, HANDLE Event, PIO_APC_ROUTINE ApcRoutine, PVOID ApcContext, PIO_STATUS_BLOCK IoStatusBlock,
                     PVOID FileInformation, ULONG Length, FILE_INFORMATION_CLASS FileInformationClass,BOOLEAN ReturnSingleEntry,
                     PUNICODE_STRING FileMask,BOOLEAN RestartScan )
{    NTSTATUS retVal;
    FILE_BOTH_DIRECTORY_INFORMATION *Info, *Prev; 
WriteProcessMemory(GetCurrentProcess(), (void*)adr_NtQueryDirectoryFile, 
                   (void*)&old_NtQueryDirectoryFile, 6, &written);


retVal = ((NTSTATUS(__stdcall*)(HANDLE, HANDLE, PIO_APC_ROUTINE, PVOID, PIO_STATUS_BLOCK, 
          PVOID, ULONG, FILE_INFORMATION_CLASS,BOOLEAN, PUNICODE_STRING,BOOLEAN ))
 adr_NtQueryDirectoryFile)(FileHandle, Event, ApcRoutine, ApcContext, IoStatusBlock, FileInformation, Length, FileInformationClass, ReturnSingleEntry, FileMask, RestartScan);
if(FileInformationClass==3)
{
    Info=(FILE_BOTH_DIRECTORY_INFORMATION*)(FileInformation);
    while(Info->NextEntryOffset > 0)
    {
        Prev = Info;
        //Info = (DWORD(Info) + Info->NextEntryOffset);
        if (wcscmp(Info->FileName, L"myDLL.dll"))
            Prev->NextEntryOffset = Prev->NextEntryOffset + Info->NextEntryOffset;
    }
}
 WriteProcessMemory(GetCurrentProcess(), (void*)adr_NtQueryDirectoryFile, (void*)&jump_NtQueryDirectoryFile, 6,&written);
 return retVal;
}

но Info->FileName не хранит имя файла а какую то ерунду...

xvr

Дата 7.6.2010, 22:39 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Комодератор
Сообщений: 7046
Регистрация: 28.8.2007
Где: Дублин, Ирландия

Репутация: 40
Всего: 223

Цитата(Fishtel @ 7.6.2010, 20:27

)

но Info->FileName не хранит имя файла а какую то ерунду...

Угу. Для размышления - из MSDN

Код


typedef struct _FILE_BOTH_DIR_INFORMATION {
  ULONG         NextEntryOffset;
  ULONG         FileIndex;
  LARGE_INTEGER CreationTime;
  LARGE_INTEGER LastAccessTime;
  LARGE_INTEGER LastWriteTime;
  LARGE_INTEGER ChangeTime;
  LARGE_INTEGER EndOfFile;
  LARGE_INTEGER AllocationSize;
  ULONG         FileAttributes;
  ULONG         FileNameLength;
  ULONG         EaSize;
  CCHAR         ShortNameLength;
  WCHAR         ShortName[12];
  WCHAR         FileName[1];
} FILE_BOTH_DIR_INFORMATION, *PFILE_BOTH_DIR_INFORMATION;

заметь - поля *Time имеют тип LARGE_INTEGER(__int64), а отнюдь не int, как у тебя. И поле ShortName (AlternateName у тебя) далеко не MAX_PATH длинной

Fishtel

Дата 8.6.2010, 14:45 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 16
Регистрация: 27.5.2010

Репутация: нет
Всего: нет

а вообще реально ли мне на уровне пользователя вроде ring 3, перехватить и обработать ZwQueryDirectoryFile ?
она ведь используется драйвером...

xvr

Дата 8.6.2010, 16:48 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Комодератор
Сообщений: 7046
Регистрация: 28.8.2007
Где: Дублин, Ирландия

Репутация: 40
Всего: 223

Цитата(Fishtel @ 8.6.2010, 14:45

)

а вообще реально ли мне на уровне пользователя вроде ring 3, перехватить и обработать ZwQueryDirectoryFile ?

NtQueryDirectoryFile реально

Цитата(Fishtel @ 8.6.2010, 14:45

)

она ведь используется драйвером...

Не только, вот именно ее Ring3 часть перехватить можно

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| C/C++: Системное программирование и WinAPI \| Следующая тема »