搜索

[10887] 2017-01-03_MINIFILTER实现文件重定向之从分析到实现

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2017-01-03_MINIFILTER实现文件重定向之从分析到实现 M I N I F I L T E R 实 现 文 件 重 定 向 之 从 分 析 到 实 现 l z l d h u   F r e e B u f   2 0 1 7 - 0 1 - 0 3 本 次 实 验 的 测 试 环 境 为 本 次 实 验 的 测 试 环 境 为 W i n d o w s   S e r v e r   2 0 0 8   R 2   X 6 4 下 。 下 。 为 了 解 决 例 如 系 统 关 键 目 录 或 者 业 务 敏 感 目 录 被 放 入 恶 意 的 可 执 行 程 序 或 者 网 页 文 件 等 ， 一 些 安 全 软 件 会 使 用 文 件 过 滤 驱 为 了 解 决 例 如 系 统 关 键 目 录 或 者 业 务 敏 感 目 录 被 放 入 恶 意 的 可 执 行 程 序 或 者 网 页 文 件 等 ， 一 些 安 全 软 件 会 使 用 文 件 过 滤 驱 动 的 技 术 结 合 一 定 的 检 测 规 则 来 达 到 保 护 系 统 和 业 务 安 全 的 一 些 目 的 。 动 的 技 术 结 合 一 定 的 检 测 规 则 来 达 到 保 护 系 统 和 业 务 安 全 的 一 些 目 的 。 简 单 地 来 看 下 M i n i f i l t e r 技 术 的 介 绍 ： F i l t e r 管 理 器 随 W i n d o w s 一 起 被 安 装 ， 但 它 只 在 一 个 m i n i f i l t e r 驱 动 被 加 载 时 才 会 起 作 用 。 F i l t e r 管 理 器 绑 定 到 目 标 卷 的 文 件 系 统 栈 上 。 M i n i f i l t e r 驱 动 为 它 要 过 滤 的 I / O 操 作 而 通 过 向 f i l t e r 管 理 器 注 册 来 间 接 绑 定 到 文 件 系 统 栈 上 。 F i l t e r 管 理 器 随 W i n d o w s 一 起 被 安 装 ， 但 它 只 在 一 个 m i n i f i l t e r 驱 动 被 加 载 时 才 会 起 作 用 。 F i l t e r 管 理 器 绑 定 到 目 标 卷 的 文 件 系 统 栈 上 。 M i n i f i l t e r 驱 动 为 它 要 过 滤 的 I / O 操 作 而 通 过 向 f i l t e r 管 理 器 注 册 来 间 接 绑 定 到 文 件 系 统 栈 上 。 微 软 的 W D K 实 例 中 存 在 通 过 使 用 R E P A R S E 重 定 向 来 完 成 跨 盘 的 重 定 向 ， 以 及 通 过 M i n i f i l t e r 使 用 I o C r e a t e F i l e S p e c i f y D e v i c e O b j e c t H i n t 来 完 成 的 非 跨 盘 重 定 向 。 所 以 ， 我 们 的 目 标 是 先 通 过 W i n d o w s 部 分 内 核 代 码 来 看 看 为 何 R e p a r s e 能 够 完 成 文 件 重 定 向 的 功 能 ， 再 通 过 实 现 一 个 能 够 简 易 配 置 监 视 路 径 和 重 定 向 后 路 径 的 驱 动 程 序 和 应 用 控 制 程 序 。 通 过 源 码 查 看 文 件 创 建 源 码 的 关 键 部 分 通 过 源 码 查 看 文 件 创 建 源 码 的 关 键 部 分 虽 然 是 W i n d o w s   S e r v e r   2 0 0 8   x 6 4 系 统 ， 但 是 为 了 避 免 过 多 的 逆 向 分 析 , 直 接 以 W R K 为 目 标 （ 由 于 无 法 过 多 引 用 ， 所 以 尽 量 以 文 字 描 述 ） ， 看 看 是 否 可 以 得 到 关 于 R e p a r s e 重 定 向 的 结 论 。 创 建 文 件 的 入 口 为 I o C r e a t e F i l e 时 ， 其 主 要 工 作 由 I o p C r e a t e F i l e 的 O b O p e n O b j e c t B y N a m e 来 完 成 ， 其 为 一 个 对 象 管 理 的 内 核 函 数 。
O b O p e n O b j e c t B y N a m e 函 数 中 主 要 完 成 的 2 个 工 作 是 调 用 O b p L o o k u p O b j e c t N a m e 函 数 即 对 应 我 们 真 正 的 文 件 内 核 对 象 ， 并 通 过 O b p C r e a t e H a n d l e 完 成 内 核 对 象 到 指 定 句 柄 表 的 插 入 。 其 实 最 后 的 答 案 就 在 这 个 O b p L o o k u p O b j e c t N a m e 函 数 内 ， 由 于 函 数 存 在 可 选 输 入 参 数 R o o t D i r e c t o r y H a n d l e 作 为 搜 索 的 目 录 对 象 ， 但 是 类 似 地 我 们 以 不 提 供 该 参 数 的 流 程 分 析 其 中 工 作 。 第 一 步 ， 它 会 使 用 O b p R o o t D i r e c t o r y O b j e c t 为 搜 索 的 根 目 录 对 象 ， 处 理 了 以 “ ? ? ” 开 头 的 对 象 名 ， 以 当 前 进 程 的 P r o c e s s M a p 为 父 目 录 的 查 找 。 接 着 进 入 循 环 依 次 解 析 对 象 名 中 的 每 个 段 ， 在 访 问 前 非 K e r n e l M o d e 的 访 问 必 须 经 过 安 全 性 检 查 ， 进 入 O b p L o o k u p D i r e c t o r y E n t r y 中 其 对 当 前 层 对 象 名 计 算 其 H a s h 值 后 与 H a s h 数 组 大 小 3 7 取 余 。 其 存 在 后 继 链 表 当 获 取 到 的 对 象 的 O B J E C T _ H E A D E R _ N A M E _ I N F O 和 提 供 的 名 称 一 致 后 就 返 回 这 个 这 个 对 象 的 地 址 。 直 接 调 用 其 对 象 类 型 的 P a r s e P r o c e d u r e （ 进 入 I o p P a r s e F i l e - > I o p P a r s e D e v i c e 从 而 向 对 应 的 卷 对 象 发 送 请 求 ） 。 阅 读 后 发 现 返 回 了 S T A T U S _ R E P A R S E 后 会 转 入 P a r s e F r o m R o o t 处 ， 完 成 从 前 面 描 述 的 D e v i c e M a p 处 处 理 的 重 新 解 析 。
这 说 明 了 S T A T U S _ R E P A R S E 确 实 可 以 帮 助 我 们 完 成 一 个 文 件 位 置 到 另 一 个 文 件 位 置 的 重 定 向 （ 比 如 某 类 目 录 总 是 S T A T U S _ R E P A R S E ， 而 且 S T A T U S _ R E P A R S E 在 O b p L o o k u p O b j e c t N a m e 有 次 数 限 制 ） ， 第 二 由 于 交 还 给 对 象 管 理 器 时 会 完 完 整 整 地 重 新 解 析 ， 所 以 这 确 实 可 以 完 成 跨 盘 的 操 作 。 实 现 可 配 置 文 件 的 文 件 系 统 跨 盘 重 定 向 实 现 可 配 置 文 件 的 文 件 系 统 跨 盘 重 定 向 我 们 目 标 是 实 现 一 个 应 用 程 序 将 监 控 配 置 发 送 给 驱 动 ， 驱 动 将 需 要 重 定 向 文 件 的 结 果 报 告 给 应 用 程 序 。 其 中 驱 动 完 成 将 在 监 控 文 件 夹 内 的 新 建 文 件 全 部 转 移 到 目 标 文 件 夹 下 的 操 作 。 首 先 我 们 主 要 关 心 如 何 截 获 特 定 路 径 下 的 文 件 创 建 操 作 。 我 们 先 完 成 对 卷 实 例 的 绑 定 工 作 。 这 个 回 调 例 程 在 新 的 卷 被 挂 载 后 以 及 注 册 后 已 经 挂 载 卷 后 被 调 用 。 在 这 个 回 调 中 主 要 通 过 F l t G e t V o l u m e N a m e 和 完 成 卷 的 设 备 名 称 和 卷 标 名 称 的 获 取 ， 并 通 过 F l t A l l o c a t e C o n t e x t 从 内 存 池 或 者 l o o k a s i d e 表 种 得 到 获 取 保 存 上 下 文 的 内 存 ， F l t S e t I n s t a n c e C o n t e x t 来 完 成 设 置 到 实 例 中 。 为 了 满 足 程 序 能 够 跨 盘 重 定 向 后 以 D O S 风 格 名 称 发 送 给 应 用 程 序 故 加 入 双 链 表 中 以 便 获 取 其 他 盘 的 信 息 。 对 于 绑 定 后 I n s t a n c e Q u e r y T e a r d o w n C a l l b a c k ， I n s t a n c e T e a r d o w n S t a r t C a l l b a c k ， I n s t a n c e T e a r d o w n C o m p l e t e C a l l b a c k 3 类 回 调 的 处 理 ， 值 得 注 意 的 是 I n s t a n c e Q u e r y T e a r d o w n C a l l b a c k ， 因 为 其 对 应 手 工 的 解 绑 定 ， 我 们 简 单 地 直 接 返 回 S T A T U S _ F L T _ D O _ N O T _ D E T A C H 以 拒 绝 。 现 在 我 们 来 看 对 应 主 功 能 号 为 I R P _ M J _ C R E A T E 的 处 理 ， 而 主 功 能 号 （ M i n i f i l t e r 中 ） 为 I R P _ M J _ N E T W O R K _ Q U E R Y _ O P E N 的 请 求 ， 我 们 也 请 求 处 理 到 了 这 里 ， 由 于 其 是 一 个 F a s t   I / O 操 作 ， 所 以 返 回 F L T _ P R E O P _ D I S A L L O W _ F A S T I O 来 拒 绝 。 我 们 使 用 了 F l t G e t F i l e N a m e I n f o r m a t i o n 和 F l t P a r s e F i l e N a m e I n f o r m a t i o n 来 得 到 其 文 件 名 信 息 ， 后 者 是 为 了 方 便 获 得 卷 设 备 名 以 转 换 成 D O S 风 格 名 。
这 个 过 程 中 ， 我 们 根 据 实 例 上 下 文 链 表 及 配 置 生 成 2 个 名 称 ， 一 个 是 D O S 风 格 文 件 名 及 完 整 文 件 名 ， 前 者 以 发 送 给 应 用 程 序 ， 后 者 设 置 到 F i l e O b j e c t 中 （ 使 用 I o R e p l a c e F i l e O b j e c t N a m e ） ， 并 在 I / O 请 求 包 中 返 回 S T A T U S _ R E P A R S E 以 完 成 第 一 部 分 分 析 让 这 个 创 建 操 作 再 重 新 根 据 新 名 称 重 新 从 对 象 管 理 处 开 始 处 理 。 对 于 回 调 函 数 返 回 F L T _ P R E O P _ C O M P L E T E 来 完 成 这 个 I / O 请 求 ， 并 不 往 下 发 送 请 求 。 I R P _ M J _ C R E A T E 的 操 作 I R P _ M J _ S E T _ I N F O R M A T I O N 的 F i l e I n f o r m a t i o n C l a s s 为 F i l e R e n a m e I n f o r m a t i o n 的 处 理 ， 因 为 对 于 非 跨 盘 的 移 动 会 通 过 这 个 请 求 来 完 成 操 作 ， 所 以 使 用 同 I R P _ M J _ C R E A T E 一 样 的 操 作 。 最 后 提 一 下 M i n i f i l t e r 中 由 应 用 程 序 向 驱 动 的 信 息 发 送 和 驱 动 主 动 向 应 用 程 序 发 送 的 处 理 。 应 用 程 序 以 通 过 F i l t e r C o n n e c t C o m m u n i c a t i o n P o r t 向 命 名 的 通 信 端 口 请 求 连 接 。 驱 动 内 部 通 过 P F L T _ M E S S A G E _ N O T I F Y   M e s s a g e N o t i f y C a l l b a c k 回 调 接 受 收 监 控 的 目 录 和 重 定 向 后 的 目 录 。 最 后 ， 完 成 重 定 向 后 驱 动 使 用 F l t S e n d M e s s a g e 发 送 消 息 ， 应 用 程 序 使 用 F i l t e r G e t M e s s a g e 获 取 。 本 次 试 验 资 源 可 以 通 过 链 接 ： h t t p : / / p a n . b a i d u . c o m / s / 1 o 7 6 6 J t K 密 码 ： j n s k 下 载 。 参 考 文 档 ： 参 考 文 档 ： W D K 之 M i n i f i l t e r 权 威 教 程 * 本 文 作 者 ： l z l d h u ， 转 载 须 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理