驱动开发之二:尝试挂接file system

转载 2006年06月15日 11:18:00

hookfilesystem.c

代码
//尝试挂接file system

 


#include "Hookfilesystem.h"


HANDLE        hFileHandle;
OBJECT_ATTRIBUTES        ObjectAttrib;
PDEVICE_OBJECT        pFileDeviceObject;


struct _DRIVER_OBJECT *pDeviceObject;


PDRIVER_DISPATCH RealCreateDispatch;


NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject ,IN PUNICODE_STRING RegistryPath)
{
        UNICODE_STRING        uninameString,unilinkString;
        NTSTATUS        ntStatus;
        PDEVICE_OBJECT        pDeviceObject;
       
        RtlInitUnicodeString(&uninameString,L"//Device//Shadow3");
       
        ntStatus = IoCreateDevice(DriverObject,
        0,
        &uninameString,
        FILE_DEVICE_UNKNOWN,
        0,
        TRUE,
        &pDeviceObject
        );
                                                                                                               
        if(!NT_SUCCESS(ntStatus))        //如果创建设备失败,则直接退出
                return ntStatus;
               
        //创建Win32可见的符号连接
        RtlInitUnicodeString( &unilinkString, L"//DosDevices//shadow3" );
       
        ntStatus = IoCreateSymbolicLink(&unilinkString ,&uninameString);
        if(!NT_SUCCESS(ntStatus))
        {
                return ntStatus;       
        }
       
        //设置Dispatch
        DriverObject->MajorFunction[IRP_MJ_CREATE] = DriverDispatch;
        DriverObject->MajorFunction[IRP_MJ_CLOSE] = DriverDispatch;
        //设置Unload
        DriverObject->DriverUnload = DriverUnload;
        //Hook File System
        HookFileSystem();
       
        return 0;       
}


NTSTATUS
DriverDispatch(
    IN PDEVICE_OBJECT DeviceObject,
    IN PIRP           Irp
    )
{
               
    Irp->IoStatus.Status = STATUS_SUCCESS;
    IoCompleteRequest (Irp,IO_NO_INCREMENT);
    return Irp->IoStatus.Status;
}


void DriverUnload(IN PDRIVER_OBJECT pDriverObject)
{
                UNICODE_STRING uniNameString;
               
                RtlInitUnicodeString(&uniNameString, L"//DosDevices//shadow3");
                IoDeleteSymbolicLink(&uniNameString);        //删除win32可见
                IoDeleteDevice(pDriverObject->DeviceObject);        //删除设备
               
                return ;
}


void HookFileSystem(void)
{
        UNICODE_STRING uniDeviceName;
        NTSTATUS        Ntstatus;
        IO_STATUS_BLOCK IoStatusBlock;
        PVOID pFileObject;
       
        RtlInitUnicodeString(&uniDeviceName ,L"//DosDevices//C://");
       
        InitializeObjectAttributes(&ObjectAttrib ,&uniDeviceName ,OBJ_CASE_INSENSITIVE, NULL, NULL);
        //打开一个设备
        Ntstatus = ZwCreateFile(
                                &hFileHandle,
                                SYNCHRONIZE|FILE_ANY_ACCESS,
                                &ObjectAttrib,
                                &IoStatusBlock,
                                0,
                                0,
                                FILE_SHARE_READ|FILE_SHARE_WRITE,
                                FILE_OPEN,
                                FILE_SYNCHRONOUS_IO_NONALERT|FILE_DIRECTORY_FILE,
                                0,
                                0
                                );
                                                       
        if(!NT_SUCCESS(Ntstatus))
        {
                DbgPrint("ZwCreateFile Failed,ntstatus:%ld/n",Ntstatus);       
                return;
        }
       
        //通过文件句柄得到与之向对应的文件对象
        Ntstatus = ObReferenceObjectByHandle(hFileHandle,FILE_READ_DATA,0,0,&pFileObject,NULL);
        if(!NT_SUCCESS(Ntstatus))
        {
                ZwClose(hFileHandle);
                DbgPrint("ObReferenceObjectByHandle Failed,ntstatus:%ld/n",Ntstatus);       
                return;
        }
       
        //在通过该文件对象查找相对应的文件设备
        pFileDeviceObject = IoGetRelatedDeviceObject(pFileObject);
        //文件对象引用计数器减一
        ObDereferenceObject(pFileObject);
        ZwClose(hFileHandle);
       
        if(pFileDeviceObject==NULL)
        {
                DbgPrint("Get File Object Failed/n");               
                return ;
        }
       
        pDeviceObject = pFileDeviceObject->DriverObject;
       
        if(pDeviceObject->MajorFunction[IRP_MJ_CREATE] == HookCreateDispatch)
        {
                DbgPrint("already hook IRP_MJ_CREATE/n");       
                return ;
        }
       
        //保存IRP_MJ_CREATE处理的地址
        RealCreateDispatch = pDeviceObject->MajorFunction[IRP_MJ_CREATE];
       
        //Hook Create DisPatch
        pDeviceObject->MajorFunction[IRP_MJ_CREATE] = HookCreateDispatch;
       
        return;       
}


NTSTATUS
HookCreateDispatch(   
                IN PDEVICE_OBJECT DeviceObject,
    IN PIRP           Irp
    )
{
        // DbgPrint("hook success/r/n");
        PIO_STACK_LOCATION        pIocurrentstack;
        PFILE_OBJECT pFileObject;
       
        DbgPrint("DeviceName:%S/r/n",DeviceObject->DriverObject->DriverName.Buffer);
       
       
        pIocurrentstack = IoGetCurrentIrpStackLocation(Irp);
       
        pFileObject = pIocurrentstack->FileObject;
       
        DbgPrint("FileName:%S/r/n",pFileObject->FileName.Buffer);
       
        _asm
        {
                push Irp
                push DeviceObject
                call RealCreateDispatch       
        }
       
        return 0;       
}

 

hookfilesystem.h

 

代码
#ifndef _INCLUDE_
#define _INCLUDE_

 


#include <ntddk.h>


NTSTATUS
DriverDispatch(
    IN PDEVICE_OBJECT DeviceObject,
    IN PIRP           Irp
    );
   
void DriverUnload(IN PDRIVER_OBJECT DriverObject);


void HookFileSystem(void);


NTSTATUS
HookCreateDispatch(   
                IN PDEVICE_OBJECT DeviceObject,
    IN PIRP           Irp
    );


#endif

驱动开发之二:尝试挂接file system

hookfilesystem.c 代码 //尝试挂接file system   #include "Hookfilesystem.h" HANDLE ...
  • cosmoslife
  • cosmoslife
  • 2012年06月18日 06:07
  • 497

驱动开发之二:尝试挂接file system

 hookfilesystem.c 代码 //尝试挂接file system ...
  • iiprogram
  • iiprogram
  • 2006年12月14日 17:08
  • 1737

挂接file system

//尝试挂接file system   #include "Hookfilesystem.h" ...
  • iiprogram
  • iiprogram
  • 2007年12月25日 23:58
  • 969

谷歌三大核心技术(一)Google File System中文版

The Google File System中文版 译者:alex 摘要 我们设计并实现了Google GFS文件系统,一个面向大规模数据密集型应用的、可伸缩的分布式文件系统。GFS...
  • hsbirenjie
  • hsbirenjie
  • 2015年02月05日 20:27
  • 2356

尝试行为驱动开发

原文是为《PHPer》电子杂志写的一篇稿子,这里摘取了一部分(主要是代码)发表。BDD(行为驱动开发)是很热门的话题。对于热门话题我都是有好奇心的 ^_^仔细看了一下各种资料,发现 BDD 真是个好东...
  • phphot
  • phphot
  • 2008年08月19日 17:07
  • 922

电脑启动后出现checking file system on c:

Checking file system on C: 检查E分区文件系统 相信很多人都碰到过电脑开机后出现 “Checking file system on C: The type of the f...
  • zhangvalue
  • zhangvalue
  • 2015年10月23日 21:46
  • 48218

真机缺少com.google.android.maps.jar解决方法

真机缺少com.google.android.maps.jar解决方法:     原文:http://kb.cnblogs.com/a/1652230 ...
  • yaojuntao1988
  • yaojuntao1988
  • 2011年08月23日 09:44
  • 14341

Read-only file system错误的解决办法(转)

今天在公司发布新版本时,发布脚本突然报Read-only file system的错误,之前一直还用的好好的…登录到远程服务器上,发现只要涉及到修改/保存条目等需要写磁盘操作的命令都无法使用(如tar...
  • caizi001
  • caizi001
  • 2014年08月18日 14:08
  • 11913

Linux报错:read-only file system

使用scp传输文件之后linux系统突然报错 “Read-only file system”,然后就创建不了修改不了文件了,网上普遍说是文件系统遭到破坏,有一个用于修复linux文件系统的命令:fsc...
  • tq384998430
  • tq384998430
  • 2017年03月21日 09:49
  • 1186

Read-only file system错误

环境:用虚拟机搭建的两台服务器组成的ORALCE RAC环境,都报同样的系统错误: [oracle@jljcdb1 ~]$ sqlplus / as sysdba SQL*Plus: Releas...
  • YABIGNSHI
  • YABIGNSHI
  • 2016年10月13日 16:29
  • 1262
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:驱动开发之二:尝试挂接file system
举报原因:
原因补充:

(最多只允许输入30个字)