LaZySandBox Ver0.5(beta)

    昨天赶了个界面出来,比较水,将就一下,总结大会过了之后准备果断重构一遍.上图

 

    一个Ring0下的exe,跟驱动通信的,简单通信(DeviceIoControl)和一个文件系统过滤驱动,基本完成的功能是对指定进程的文件操作进行重定向.录了两个测试视频,不过优酷可能看不太清,有兴趣的同学请猛击(不过这个是无解说的...)

 

    正常程序测试:http://v.youku.com/v_show/id_XMjY3Nzg0Nzcy.html

    感染病毒测试:http://v.youku.com/v_show/id_XMjY3Nzg1OTcy.html

 

    碰到的难题主要是驱动重入问题,解决的方法是:1,特殊路径检测;2,直接向底层设备发IRP包;3,创建影设备.我是用了前面两个.另一个让我烦躁的是文件标志太多,具体可以参考之前搞的这篇http://blog.csdn.net/GaA_Ra/archive/2011/03/30/6288802.aspx,这个无解,果断人肉分类,最后一个小小烦躁的问题是驱动里面实现CopyFile,自己用ZwReadFile和ZwWriteFile写,当然还不够底,再底可以发IRP包操作.

   

   瞄的昨天用Windbg调发现KdPrint对%S的中文支持不好..上图,哥以为中文路径被截断了..调了好一会..

 

   最末推荐文章一篇,好文章啊有木有,来自JJ同学的QQ空间...http://user.qzone.qq.com/298958325/blog/1305544731