Общая задача: написать что-то вроде FileMon'а, который перехватывает все обращения к любым файлам. Перехватываю api функции сплайсингом. Сначала пробовал с FindFirst, FindNext, но ничего путного не вышло, все-таки они не всегда используются при обращении к файлам. Стал пробовать перехватывать ZwQueryDirectoryFile, но возникла такая куча проблем... У меня есть функции



которая представляет собой "настоящую" функцию. Есть



которая является "подменной" функцией. Какая-то из них не работает, т.е. вызов api перехватывается, но его подмена не происходит, и процесс, который вызвал ZwQueryDirectoryFile вылетает. В чем дело? 

P.S. есть предположения, что надо записывать какую-то инфу в параметры FileInformation и IoStatusBlock, но какую   

DoZENT, Во первых, как ты устанавливаешь перехват? Какие функции для этого используешь и.т.д
Во вторых,

если ты хочешь перехватывать именно ВСЕ обращения то тебе придется писать драйвер 
В третьих, покажи код DLL которую ты внедряешь в процеесс  или как ты вообще хук делаешь?

Если процесс вылетает значит ошибка в функциях перехвата, т.е. происходит недопустимая операция и исключение. Смотри адрес по которому вылетает, грузи программу в отладчик и изучай, что творится по этому адресу и к какой функции она принадлежит.

Ты внимательно прочёл статью MsRem по перехвату? 

На первый взгляд только вот это глаз режет:



Вызывай NewZwQueryDirectoryFile. И покажи как перехват ставишь.

Наверное ты не понял механизма перехвата. В функции TrueZwQueryDirectoryFile я сначала устанавливаю оригинальный адрес входа в функцию ZwQueryDirectoryFile, потом вызываю ZwQueryDirectoryFile, потом устанавливаю "мой" адрес точки входа, чтобы при вызове этой ф-и вызывалась NewZwQueryDirectoryFile


Перехват делаю так:




Нужно перехватывать обращения, которых хватит для того, чтобы при надобности скрыть файл. Я думаю ZwQueryDirectoryFile будет достаточно

Это сообщение отредактировал(а) DoZENT - 6.1.2007, 19:12

Этот механизм я уже выучил наизусть Немножечко невнимателен был, поэтому извиняй. Я тебе уже сказал, что делать, нужно отлаживать этот процесс, смотреть где вылеает, смотреть почему, какие исключения, какие ошибки. Я смотрю ты всё делаешь в точности как в статье MsRem, а у него там хватает пробелов, над которыми нужно работать самостоятельно. 

Все-таки хотелось бы найти путь попроще. 


есть предположения, что надо записывать какую-то инфу в параметры FileInformation и IoStatusBlock, но какую   


Я заметил ;) Длл сначала не выгружалась из памяти, MsRem забыл, что для создания хука он создает отдельный поток, поэтому обрабатывать надо не только DLL_PROCESS_DETACH, но и DLL_THREAD_DETACH.

Это сообщение отредактировал(а) DoZENT - 7.1.2007, 11:43

DLL_THREAD_DETACH обрабатывать не надо.

Где написано что он создает отдельный поток для перехвата?
DoZENT, я использовал его модули для перехвата и работали они безупречно 
Я перехватывал FindFirst, FindNext и все тоже работало безупречно. Почитай статьи на wasm.ru по перехвату, если что то не понятно, милости просим 

Нет тут пути попроще, нужно отлаживать. 



Зачем туда что-то класть твоей функции перехватчику? Если без перехвата программа не падает, а с перехватом падает, то эти параметры тут совсем не причём.



К слову, о каких модулях речь? Если advApiHook, то там сплайсинг реализован иначе, чем в примерах к статьям. Кстати, гораздо более удачно. 
И ещё о каких статьях ты говоришь? По перехвату по-моему лучшими статьями на васме являются как раз статьи MsRem, ну можно ещё у Рихера неплохую информацию найти. Статьи 90211 уже достаточно устерели, да и в них нет того, чего бы не было в статьях Рема.



Это сообщение отредактировал(а) W4FhLF - 7.1.2007, 15:33

А это что?



Если его не обрабатывать, то dll не выгружается из памяти. Так было у меня. Даже Delphi при следующей компиляции писала, что не может перезаписать dll, т.к. она используется.

Добавлено @ 15:50 

Вообще-то я этот модуль не юзал, но надо будет попробовать

Я про него и говорю

О 3х статьях MsRem'a которые на wasm.ru

Его не надо обрабатывать, надо обрабатывать DLL_PROCESS_DETACH
Вот пример простого перехвата с использованием AdvApiHook




Это сообщение отредактировал(а) bartram - 7.1.2007, 16:10

Блин. Еще раз. Если обрабатывать ТОЛЬКО его, то dll из памяти У МЕНЯ не выгружается. Я обрабатываю и его и DLL_THREAD_DETACH


Дык я то же самое делаю, но без этой библиотеки. Попробую ночью ее поюзать, отпишусь.

А каким способом ты dll выгружаешь? 

FreeLibrary ест-но

Это сообщение отредактировал(а) DoZENT - 7.1.2007, 21:30

Перехватывать я умею и без библиотек. Что делать в "новой" функции  

вот:

смекаешь?