Win7、win8、win10下实现精准截获Explorer拷贝行为

最新推荐文章于 2024-09-14 02:06:15 发布
最新推荐文章于 2024-09-14 02:06:15 发布
阅读量2.5k 收藏 3
点赞数
分类专栏： vc＋＋ 逆向 文章标签： DLP
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/basketwill/article/details/72627684
版权

已经发表于freebuf （ http://www.freebuf.com/column/134192.html）


在企业数据安全中我通常需要监测用户的拷贝行为，特别像explorer这样的进程，方法很多比如文件过滤驱动监测文件的打开与读写，但是这样会有很多噪音产生，实现的不好的话也可能会造成用户在桌面操作感受不良好，比如卡，所以我们需要的是一种更精准地方法，下面我们就来分析下如何去更加精准的定位拷贝。

一、            分析

我们都知道windows软件读写的方法很多比如c库一些读写函数，fopen 、fread、fwrite，c++流函数std::stream,但是都会进入windows的底层读写，还有一类文件操作函数就是Shell函数SHFileOperation,不管什么函数最后都会调用windows自己常用的文件操作函数就是CreateFileA、CreateFileW、ReadFile、WriteFile，我们可以使用调试器去在CreateFileW函数设置断点，但是这个一个问题我们必须在explorer进程空间里设断点，但是会阻碍正常的桌面UI操作，为了方便我们操作桌面，写一个文件过滤驱动，去过滤我们需要的信息，比如我们把一个.txt文件从目录A拷贝到目录B，我们可以在过滤驱动的IRP_MJ_CREATE的例程函数里这样写

CErrorStatus  PreCreate(


                CIrp&           Irp,


                zipmbool&       
IsIrpCompleted)


{


    CFileObject FileObject;


    CErrorStatus
Error = STATUS_SUCCESS;


    Irp.UseCurrentStackLocation();


    CIoStackLocation
Stack = Irp.StackLocation();


 


    do 


    {


        if( wcsstr(FileObject.FileName()->Buffer,L".txt"))


        {


            if (
FileObject.RelatedFileObject())


            {


                


            }           


        }       


    } while (FALSE);


    


    return Error;


}

这样过滤会减少很多干扰，利用windbg的虚拟机的双机器调试。

QQ图片20170420180431.png

加载驱动后，我们可以设置断点在if ( FileObject.RelatedFileObject())，这行代码上。

然后拷贝一个txt的文件从A到B,如下图

QQ图片20170421150212.png

这里windbg调试器就会停下，进入刚才设置的断点位置。

QQ图片20170420112954.png

输入命令kb

QQ图片20170420113051.png

发现堆栈是从user层到内核层在到本驱动的PreCreate函数，这时user层显示的只是地址，是因为符号没加载，继续输入.reload  /user,慢慢就显示了

QQ图片20170420124353.png

引起注意的是红色框显示的堆栈：

Nt!NtCreateFile

KernelBase!CreateFile

Kernel32!CreateFileWImplementation

Shell32!CFSTransfer:_OpenSrcFileWithRetry

Shell32! CFSTransfer::OpenItem

Shell32!CDelegatingTansfer:: OpenItem

Shell32! CCopyOperation::Do

Shell32! CCopyWorkItem::_DoOperation

Shell32! CCopyWorkItem::_SetupAndPerformOp

Shell32! CCopyWorkItem::ProcessWorkItem

Shell32!CRecursiveFolderoperation::Do

Shell32!CFileOperation::_EnumRootDo

Shell32!CFileOperation::PrepareAndDoOperation

Shell32!CFileOperation::PreformOperation

Shell32!SHFileOperationEx

由上可以看出最主要的是调用了SHFileOperationEx函数，这好说了，使用IDA打开shell32.dll分析这个函数

IDA显示这个函数调用了SHCreateFileOperation

QQ图片20170421153422.png

继续跟进SHCreateFileOperation

QQ图片20170509143839.png

它创建的是GUID_947aab5f_0a5c_4c13_b4d6_4bf7836fc9f8这个类的实例，隶属于FileOperaton, 写过com的人都知道947aab5f_0a5c_4c13_b4d6_4bf7836fc9f8这个实例id就是com中的 IFileOperation的com库接口，查看windows的sdk定义如下

MIDL_INTERFACE("947aab5f-0a5c-4c13-b4d6-4bf7836fc9f8")
    IFileOperation : public IUnknown
    {
    public:
        virtual HRESULT STDMETHODCALLTYPE Advise( 
             __RPC__in_opt IFileOperationProgressSink *pfops,
            __RPC__out DWORD *pdwCookie) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE Unadvise( 
            DWORD dwCookie) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE SetOperationFlags( 
             DWORD dwOperationFlags) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE SetProgressMessage( 
             __RPC__in_string LPCWSTR pszMessage) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE SetProgressDialog( 
             __RPC__in_opt IOperationsProgressDialog *popd) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE SetProperties( 
             __RPC__in_opt IPropertyChangeArray *pproparray) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE SetOwnerWindow( 
            __RPC__in HWND hwndOwner) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE ApplyPropertiesToItem( 
            __RPC__in_opt IShellItem *psiItem) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE ApplyPropertiesToItems( 
             __RPC__in_opt IUnknown *punkItems) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE RenameItem( 
             __RPC__in_opt IShellItem *psiItem,
             __RPC__in_string LPCWSTR pszNewName,
            __RPC__in_opt IFileOperationProgressSink *pfopsItem) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE RenameItems( 
             __RPC__in_opt IUnknown *pUnkItems,
             __RPC__in_string LPCWSTR pszNewName) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE MoveItem( 
            __RPC__in_opt IShellItem *psiItem,
             __RPC__in_opt IShellItem *psiDestinationFolder,
             __RPC__in_opt_string LPCWSTR pszNewName,
            __RPC__in_opt IFileOperationProgressSink *pfopsItem) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE MoveItems( 
            __RPC__in_opt IUnknown *punkItems,
            __RPC__in_opt IShellItem *psiDestinationFolder) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE CopyItem( 
             __RPC__in_opt IShellItem *psiItem,
             __RPC__in_opt IShellItem *psiDestinationFolder,
             __RPC__in_opt_string LPCWSTR pszCopyName,
             __RPC__in_opt IFileOperationProgressSink *pfopsItem) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE CopyItems( 
             __RPC__in_opt IUnknown *punkItems,
             __RPC__in_opt IShellItem *psiDestinationFolder) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE DeleteItem( 
            __RPC__in_opt IShellItem *psiItem,
            __RPC__in_opt IFileOperationProgressSink *pfopsItem) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE DeleteItems( 
             __RPC__in_opt IUnknown *punkItems) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE NewItem( 
             __RPC__in_opt IShellItem *psiDestinationFolder,
             DWORD dwFileAttributes,
             __RPC__in_opt_string LPCWSTR pszName,
             __RPC__in_opt_string LPCWSTR pszTemplateName,
             __RPC__in_opt IFileOperationProgressSink *pfopsItem) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE PerformOperations( void) = 0;
        
        virtual HRESULT STDMETHODCALLTYPE GetAnyOperationsAborted( 
             __RPC__out BOOL *pfAnyOperationsAborted) = 0;
        
    };

我们回到之前那个Ex函数，创建完IFileOperation的实例后，就开始调用里面的函数

分别调用了

Call dword ptr[esi+0x20h]

Call dword pre[esi+0x2Ch] 或者Call  dword pre[esi+0x4Ch]

Call dword pre[esi+0x44h] 或者 Call dword pre[esi+0x3Ch]

 

其他函数都是设置Explorer的拷贝Item的属性的函数，+0×44这个函数对应的是IFileOperation::Copy Items,而+0x3C对应的函数是IFileOperation::Move tems,而我们这次的拷贝动作调用的就是IFileOperation::CopyItems,下面我们有方案了我们可以hook这个IFileOpertion的接口库实现精准截获桌面的拷贝动作。

一、            实现

以CopyItems为例子

 定义一个CFileOperation类

#define QueryInterface_Index 0


#define AddRef_Index (QueryInterface_Index + 1)


#define Release_Index (AddRef_Index + 1)


#define Advice_Index (Release_Index + 1)


#define Unadvise_Index (Advice_Index + 1)


#define SetOperationFlags_Index (Unadvise_Index + 1)


#define SetProgressMessage_Index (SetOperationFlags_Index + 1)


#define SetProgressDialog_Index (SetProgressMessage_Index + 1)


#define SetProperties_Index (SetProgressDialog_Index + 1)


#define SetOwnerWindow_Index (SetProperties_Index + 1)


#define ApplyPropertiesToItem_Index (SetOwnerWindow_Index + 1)


#define ApplyPropertiesToItems_Index (ApplyPropertiesToItem_Index + 1)


#define RenameItem_Index (ApplyPropertiesToItems_Index + 1)


#define RenameItems_Index (RenameItem_Index + 1)


#define MoveItem_Index (RenameItems_Index + 1)


#define MoveItems_Index (MoveItem_Index + 1)


#define CopyItem_Index (MoveItems_Index + 1)


#define CopyItems_Index (CopyItem_Index + 1)


#define DeleteItem_Index (CopyItems_Index + 1)


#define DeleteItems_Index (DeleteItem_Index + 1)


#define NewItem_Index (DeleteItems_Index + 1)


#define PerformOperations_Index (NewItem_Index + 1)


#define GetAnyOperationAborted_Index (PerformOperations_Index + 1)


 


#define HOOK(a, b) b##_old = (P##b)HookVtbl(a, 0, b##_Index,
(PBYTE)b##_new)


 


class CFileOperation


{


public:


    CFileOperation(void);


    ~CFileOperation(void);


int HookVtbl(void* pObject, unsigned int classIdx, unsigned int methodIdx, int newMethod);


static


HRESULT __stdcall CopyItems_new(IFileOperation *pThis,


                                IUnknown *punkItems,


                                IShellItem *psiDestinationFolder);


 


    BOOL Init();


};


 

在初始化的时候我们需要获取接口并却修改截获CopyItems和MoveItems的指针接口 

BOOL 


CFileOperation::Init()


{


    IFileOperation* Pf = NULL;


    CoInitialize( NULL );


 


    do 


    {


        HRESULT hr = CoCreateInstance(


            CLSID_FileOperation,


            NULL,


            CLSCTX_ALL,


            IID_IFileOperation,


            (PVOID*)&Pf);


 


        HOOK(Pf, CopyItems);


 


} while (FALSE);


 


}


 


int CFileOperation::HookVtbl(void* pObject, unsigned int classIdx, unsigned int methodIdx, int newMethod)


{


    int** vtbl = (int**)pObject;


    DWORD oldProtect = 0;


    int oldMethod = vtbl[classIdx][methodIdx];


    VirtualProtect(vtbl[classIdx] + sizeof(int*) * methodIdx, sizeof(int*), PAGE_READWRITE, &oldProtect);


    vtbl[classIdx][methodIdx] = newMethod;


    VirtualProtect(vtbl[classIdx] + sizeof(int*) * methodIdx, sizeof(int*), oldProtect, &oldProtect);


    return oldMethod;


}


HRESULT CFileOperation::CopyItems_new(IFileOperation *pThis,


                                IUnknown *punkItems,


                                IShellItem *psiDestinationFolder)


{


HRESULT hr = CopyItems_old(pThis, punkItems, psiDestinationFolder);


return hr;


}


 

这里生成了dll后我们需要注入到桌面进程中，这样就可以实现截获CopyItems接口，注意这里只是完成了第一步，这个接口传进来的参数只是一个Item内存结构，我们需要获取具体的数据，下面继续。

 从上面分析我们得知winvista以后的桌面拷贝操作最终使用的是IFileOperation接口，在shell32.dll里对应的就是CFileOperation类

QQ图片20170509133901.png

CopyItems对应的就是

QQ图片20170509144331.png

继续进入

CFileOperation::_AddOperationMulti

QQ图片20170509144530.png

可以看到首先判断DestFile这个参数是否是Folder文件夹，如果是文件夹就是开始枚举ShellItem这个参数，我们继续进入EnumShellItemsFromUnknown函数

QQ图片20170509135140.png

QQ图片20170509135212.png

从上面我们看出该函数会QueryInterface各个接口：

_GUID_70629033_e363_4a28_a567_0db78006e6d7

_GUID_b63ea76d_1f85_456f_a19c_48159efa858b

_GUID_d0191542_7954_4908_bc06_b2360bbe45ba

_GUID_0000010e_0000_0000_c000_000000000046

如果以上接口都不存在的话，就调用

SHGetIDListFromObject、SHCreateShellItemArrayFromIDLists来获取接口，

在实际调用中发现以上几个不是所有操作系统都支持，而最后两个函数却支持winvista以后的所有系统，所以我们就用最后两个函数来获取源信息，而这两个函数在shell32.dll都是导出的接口定义如下：

HRESULT SHCreateShellItemArrayFromIDLists(

                                _In_  UINT                   cidl,

                              _In_  PCIDLIST_ABSOLUTE_ARRAY rgpidl,

                             _Out_ IShellItemArray        **ppsiItemArray

);

最后获取的是IShellItemArray接口，接口定义为：

MIDL_INTERFACE("b63ea76d-1f85-456f-a19c-48159efa858b")


    IShellItemArray : public IUnknown

    {

    public:

        virtual HRESULT STDMETHODCALLTYPE BindToHandler( 

            /* [unique][in] */ __RPC__in_opt IBindCtx *pbc,


            /* [in] */ __RPC__in REFGUID bhid,


            /* [in] */ __RPC__in REFIID riid,


            /* [iid_is][out] */ __RPC__deref_out_opt void **ppvOut) = 0;


        virtual HRESULT STDMETHODCALLTYPE GetPropertyStore( 


            /* [in] */ GETPROPERTYSTOREFLAGS flags,


            /* [in] */ __RPC__in REFIID riid,


            /* [iid_is][out] */ __RPC__deref_out_opt void **ppv) = 0;


        


        virtual HRESULT STDMETHODCALLTYPE GetPropertyDescriptionList( 


            /* [in] */ __RPC__in REFPROPERTYKEY keyType,


            /* [in] */ __RPC__in REFIID riid,


            /* [iid_is][out] */ __RPC__deref_out_opt void **ppv) = 0;

        virtual HRESULT STDMETHODCALLTYPE GetAttributes( 


            /* [in] */ SIATTRIBFLAGS AttribFlags,


            /* [in] */ SFGAOF sfgaoMask,


            /* [out] */ __RPC__out SFGAOF *psfgaoAttribs) = 0;



        virtual HRESULT STDMETHODCALLTYPE GetCount( 


            /* [out] */ __RPC__out DWORD *pdwNumItems) = 0;




        virtual HRESULT STDMETHODCALLTYPE GetItemAt( 


            /* [in] */ DWORD dwIndex,


            /* [out] */ __RPC__deref_out_opt IShellItem **ppsi) = 0;

  

        virtual HRESULT STDMETHODCALLTYPE EnumItems( 


            /* [out] */ __RPC__deref_out_opt IEnumShellItems **ppenumShellItems) = 0;


        


};

大致我们可以写出获取信息的文件的函数

UINT 
GetFilesFromDataObjectWin(
	IUnknown *iUnknown,
	LPWSTR **ppPath)
{
	HRESULT hr = E_FAIL;
	LPITEMIDLIST Pv = NULL;
	int nCount = 0;
	IShellItemArray* ShellItemArray = NULL;
	do 
	{

		__try
		{
			hr = SHGetIDListFromObject(iUnknown,&Pv);
			if ( FAILED(hr) )
			{
				break;
			}

			hr = SHCreateShellItemArrayFromIDLists(
				TRUE,
				(LPCITEMIDLIST *)&Pv,
				&ShellItemArray);

			if ( FAILED(hr) )
			{
				break;
			}
			
			hr = ShellItemArray->GetCount((ULONG*)&nCount);

			if ( !nCount )
			{
				break;
			}

			*ppPath = new LPWSTR[nCount];
			memset(*ppPath,0,sizeof(LPWSTR)*nCount);
		
			for ( int Index = 0 ; Index < nCount ; Index++)
			{
				IShellItem* ShellItem = NULL;

				if( SUCCEEDED(ShellItemArray->GetItemAt( 
													Index,
													&ShellItem)))
				{
					if ( ShellItem /*&& ShellItem->GetAttributes(
														0x20000000,
														&GAof ) == 0 */)
					{
						LPWSTR Temp = NULL;
						if(SUCCEEDED(ShellItem->GetDisplayName(
											SIGDN_FILESYSPATH,
											&Temp)))
						{
							__try
							{
								if ( Temp )
								{
									int Length = wcslen(Temp);
									*ppPath[Index] = new WCHAR[Length + 1];
									memset(*ppPath[Index],0,sizeof(WCHAR)*(Length + 1));
									wcsncpy( 
										*ppPath[Index],
										Temp,
										Length);
									CoTaskMemFree(Temp);
									Temp = NULL;

								}
							}
							__except(EXCEPTION_EXECUTE_HANDLER)
							{
								if ( Temp )
								{
									CoTaskMemFree(Temp);
									Temp = NULL;
								}
							}
							
							
						}
					}


					if ( ShellItem )
					{
						ShellItem->Release();
					}
					
				}
			}
		}
		__finally
		{

			if ( ShellItemArray )
			{
				ShellItemArray->Release();
			}

			if ( Pv)
			{
				CoTaskMemFree(Pv);
			}
		}
	
	} while (FALSE);

	return nCount;
}

以上是获取源文件的信息，而拷贝目的的信息获取就很简单了，CopyItem的定义的目的中的参数

IShellItem *psiDestinationFolder，中的IShellItem 定义如下

MIDL_INTERFACE("43826d1e-e718-42ee-bc55-a1e261c37bfe")


    IShellItem : public IUnknown


    {


    public:


        virtual HRESULT STDMETHODCALLTYPE BindToHandler( 


            /* [unique][in] */ __RPC__in_opt IBindCtx *pbc,


            /* [in] */ __RPC__in REFGUID bhid,


            /* [in] */ __RPC__in REFIID riid,


            /* [iid_is][out] */ __RPC__deref_out_opt void **ppv) = 0;


        


        virtual HRESULT STDMETHODCALLTYPE GetParent( 


            /* [out] */ __RPC__deref_out_opt IShellItem **ppsi) = 0;


        


        virtual HRESULT STDMETHODCALLTYPE GetDisplayName( 


            /* [in] */ SIGDN sigdnName,


            /* [string][out] */ __RPC__deref_out_opt_string LPWSTR *ppszName) = 0;


        


        virtual HRESULT STDMETHODCALLTYPE GetAttributes( 


            /* [in] */ SFGAOF sfgaoMask,


            /* [out] */ __RPC__out SFGAOF *psfgaoAttribs) = 0;


        


        virtual HRESULT STDMETHODCALLTYPE Compare( 


            /* [in] */ __RPC__in_opt IShellItem *psi,


            /* [in] */ SICHINTF hint,


            /* [out] */ __RPC__out int *piOrder) = 0;


        


};


 

根据定义我们就可以通过GetDisplayName去获取目的文件的信息：

BOOL
GetDestFolder( 
				IShellItem* psiDestinationFolder,
				LPWSTR* lpDst )
{
	do 
	{
		HRESULT hr = psiDestinationFolder->GetDisplayName(
			SIGDN_FILESYSPATH,
			lpDst);

		if(FAILED(hr))
		{
			break;
		}

		return TRUE;

	} while (FALSE);


	return FALSE;
	
}

综合起来，我们可以实现如下：

HRESULT CFileOperation::CopyItems_new(IFileOperation *pThis,
								IUnknown *punkItems,
								IShellItem *psiDestinationFolder)
{
HRESULT hr = CopyItems_old(pThis, punkItems, psiDestinationFolder);

LPWSTR lpDst = NULL;
PWSTR* lpSrc = NULL;

//获取目的信息
GetDestFolder(
										psiDestinationFolder,
										&lpDst) )；
	//获取源文件信息		
	GetFilesFromDataObjectWin(
								punkItems,
								&lpSrc);
											
return hr;
}

至此我们就很就精准地截获了windows桌面程序的拷贝、剪切的具体动作，也获取详细的文件名称，我们甚至还能准确地得知该动作是否成功，更加详细的信息就留给读者去研究，总之shell32.dll是个很值得开发人员去研究的，里面有很多意想不到的东西，甚至能写出很简单的程序实现很复杂有效的功能，可以充分利用windows系统给我们提供的便捷的库。


basketwill
关注
专栏目录
win7及以上系统C++实现Hook explorer文件级监控复制、剪切和删除操作
BruceAYG的博客
08-06 6928
最近项目组需要实现一个对windows用户文件操作进行监控的功能，（也就是使用explorer资源管理器的操作），于是乎我就想到了使用Hook的方法进行拦截，查找一番资料后发现XP调用的是最简单的CopyFileEx, MoveFileWithProgressW, ReplaceFileW之类的API，所以XP是最好解决的，但是到了Vista及以后的系统中，微软采用了一种新的方法——com组件里的...
Windows系统中监控文件复制操作的几种方式
guangmingsky的专栏
08-25 4649
1. ICopyHook 作用: 监视文件夹和打印机移动,删除, 重命名, 复制操作. 可以得到源和目标文件名. 可以控制拒绝操作.   缺点: 不能对文件进行控制. 只对Shell文件操作有效, 对原生Api MoveFile, CopyFile之类的操作无效.   用法: 从ICopyHook派生一个COM对象, 重载CopyCallbackA和CopyCallb
腾讯 IEG 游戏安全面经：挑战与成长
最新发布
m0_57836225的博客
09-14 794
腾讯作为一家知名的互联网公司，其游戏安全岗位备受关注。本文将结合多位求职者的面经，详细分析腾讯 IEG 游戏安全面试的过程、问题及应对策略，希望能为广大求职者提供有价值的参考。
Windows文件检索之——查询范围
永远即等待的专栏
02-26 3083
对于检索范围来说，也是比较简单的，根据第一节，我们知道，ISearcherFolderFactory提供了一个方法SetScope，就是让用户传一个IShellItemArray的指针进去。所以，我们主要的工作就是如何来创建IShellItemArray接口指针。 1.如何创建IShellItemArray Shell API提供了一个方法，SHCreateShellItemArrayFrom
通过windbg来查看window7资源管理器的文件拷贝
forxy的专栏
04-01 2051
          在windows xp中，资源管理器（explorer.exe)对于文件的复制/粘接是通过CopyFile（ExW）来完成的。但是，到了windows7却不是这样了。由于要hook文件操作api，所以必须知道windows7的explorer.exe掉了些什么函数。         通过wingdb可以发现，步骤如下：1）在windows7下安装wingdb,并下载符号
Windows API——SHFileOperation——文件操作
weixin_30319097的博客
11-09 142
1 int SHFileOperation( LPSHFILEOPSTRUCT lpFileOp); 如果执行成功返回0. 1 typedef struct _SHFILEOPSTRUCT { 2 HWND hwnd;//指向发送消息的窗口 3 UINT wFunc;//执行的操作 4 LPCTSTR pFrom;//源文件名 5 LPCTSTR pTo;...
Spy4Win__Win10
05-31
Spy4Win, 适用于win10的版本. Spy4Win(Spy for Window)是一个类似MS Spy++的 辅助工具,主要功能是探测和获取窗口的更多信息 (窗口基本信息,样式描述及动态改变样式,识别控 件来源,窗口内容的读取,窗口消息截获,可视...
Spy4_Win10.rar
07-21
Spy4Win, 适用于win10的版本. Spy4Win(Spy for Window)是一个类似MS Spy++的 辅助工具,主要功能是探测和获取窗口的更多信息 (窗口基本信息,样式描述及动态改变样式,识别控 件来源,窗口内容的读取,窗口消息截获,可视...
博客-”深入windows的关机消息截获-从XP到Win7的变化“测试文件
01-11
这是博客“深入windows的关机消息截获-从XP到Win7的变化”的测试文件和测试日志，利用这个测试文件测试Windows的关机方案从XP到Win7到底发生了什么变化，分析得到如何进行有效的截获Windows关机消息。
WINDOWS钩子与API截获和替换Win32 API的开发包HookAPI源码1.62版
02-23
API截获是Hook技术的一种应用，主要用于替代或修改特定的Win32 API函数的行为。在某些情况下，例如为了实现调试、监控、安全控制等功能，开发者可能需要对特定API调用进行拦截，然后根据需求执行自定义操作，甚至...
Spy4Win10.rar
05-19
Spy4Win10 (Spy for Window 10)是一个类似MS Spy++的辅助工具,主要功能是探测和获取窗口的更多信息(窗口基本信息,样式描述及动态改变样式,识别控件来源,窗口内容的读取,窗口消息截获,可视窗口截图等). 另外还可以从...
IFileOperationProgressSink_Sample.zip
12-08
IFileOperationProgressSink_Sample 源代码，关于如何使用Win7的IFileOperationProgressSink，可以记录和控制文件拷贝对话过程
IFileOperation COM HOOK
08-03
IFileOperation COM HOOK代码实例 WIN7系统在explorer.exe中操作文件都是调用IFileOperation COM接口，因此通用方法HOOK Win32 API 如DeleteFile就失去了作用该实例成功HOOK到了NewItem、RenameItem、RenameItems、MoveItem、MoveItems、CopyItem、CopyItems、DeleteItem、DeleteItems等接口备注： google您可以找到有关com hook代码实例，但存在两大问题： 1、只能hook一次，并且操作文件将失效 2、反注入后，explorer.exe直接奔溃该版本未修复这两个问题如果需要完整版本，请访问：http://www.csto.com/case/show/id:5177
win10专业版系统explorer.exe
11-16
win10专业版系统explorer.exe，用于系统文件损坏后修复
【基于Visua C++2010 与 Windows 7 SDK开发windows7 Shell应用--搜索文件夹】
cuanxunlai1966的博客
07-03 149
windows7 shell 就是windows7操作系统的的控制台 对于熟悉了命令行的人而言,用键盘调用程序比鼠标更快更省力 您可以用"Shell:"命令调用一切可以用资源管理器打开的项目甚至是一次完成.需要很多步骤...
rename 表操作后index是否依然可用
龙神add-走向数据架构师的路
01-29 5579
今天群里有人问起rename 表操作对index的影响。今天简单说一下： 首先ORACLE官方文档对RENAME操作的说明如下：   Use the RENAME statement to rename a table, view, sequence, or private synonym. Oracle Database automatically transfers inte
（2.4）file_operation 实现具体操作：思考三四
Under the Pine
10-21 291
【思考三：为什么要创建类呢？】 概念：         在刚开始写Linux设备驱动程序的时候，很多时候都是利用mknod命令手动创建设备节点，实际上Linux内核为我们提供了一组函数，可以用来在模块加载的时候自动在/dev目录下创建相应设备节点，并在卸载模块时删除该节点，当然前提条件是用户空间移植了udev。         内核中定义了struct class结构体，顾名思义，一个str...
【大话QT之五】Windows与Linux下文件操作监控的实现
天道酬勤
04-28 4696
一、需求分析：         随着渲染业务的不断进行，数据传输渐渐成为影响业务时间最大的因素。究其原因就是因为数据传输耗费较长的时间。于是，依托于渲染业务的网盘开发逐渐成为迫切需要解决的需求。该网盘的实现和当前市场上网盘实现有一些的不同，主要在客户端与服务器端的操作需要双向进行，即：用户在客户端的操作需要及时同步到服务器端；在服务器端作业渲染生成的文件要及时同步到客户端。即：用户不在需要单独的
Windows Shell 编程 第二章
热门推荐
chchzh的专栏
03-27 2万+
第二章Shell的结构 “Shell 编程”的大伞之下有大量的API函数和COM接口。这个种类繁多的‘命令’集允许你用不同的方法对Windows Shell进行编程。函数和接口并不是两种提供相同功能的等价途径，相反，它们在不同的逻辑层上提供不同的功能。         API函数包含了用户想要在Shell对象上执行的基本操作，如文件和文件夹。COM接口则给出了扩展增强，甚至客户化各种要素对
"Win7下SSH客户端连接CentOS54的SSH证书配置方法
Win7下用SSH客户端工具连接CentOS5.4的SSH证书配置方法是一种安全的网络连接方式。在传统的网络服务程序中，如FTP、POP和telnet，明文传送口令和数据的方式存在很大的安全风险，容易被不法分子截获和攻击。而SSH...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值