内核与驱动_04_文件操作

最新推荐文章于 2021-11-09 10:37:14 发布
最新推荐文章于 2021-11-09 10:37:14 发布
阅读量481 收藏
点赞数
分类专栏： 内核与驱动 文章标签： 内核 驱动程序
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_35156596/article/details/104315221
版权

文章目录

文件操作

概述

  • 在内核中也是可以操作文件的，在用户层中我们操作文件是会提供一个路径，但是在内核中，我们需要在路径前加上\\??\\。

使用OBJECT_ATTRIBUTES

  • 在内核中进行文件操作时并不直接接受一个字符串路径，使用者必须首先填写一个OBJECT_ATTRIBUTE结构。这个结构总是被InitalizeObjectAttribute函数来初始化。
  • 对象属性结构体大致如下：
typedef struct _OBJECT_ATTRIBUTE
{
    ULONG Length;
    HANDLE RootDirectory;
    PUNICODE_STRING ObjectName;
    ULONG Attribute;
    PVOID SecurityDescriptor;
    PVOID SecurityQualityOfService;
}OBJECT_ATTRIBUTE,*POBJECT_ATTRIBUTE;
  • 这个结构并不需要自己填写，而是使用一个看似是函数实则是一个有参宏InitalizeObjectAttribute来初始化。
VOID InitializeObjectAttribute(
	OUT POBJECT_ATTRIBUteS InitializeAttributes,//要被初始化的结构体
    IN PUNICODE_STRING ObjectName,	//对象名字
    IN ULONG Attribute,	//对象结构体的属性
    IN HANDLE RootDirectory,	//一般为NULL
    IN PSECURITY_DESCRIPTOR SecurityDescriptor//一般为NULL
);

  • 对象结构体的属性可以填写OBJ_CASE_INSENSITIVE，表明不区分大小写
    也可以加上OBJ_KERNEL_HANDLE表示打开的文件句柄是一个"内核句柄“，其余可查看MSDN

    内核句柄比应用层句柄使用更方便，可以不受线程和进程的限制，在任何线程中都可以读/写，同时打开内核我呢见句柄不需要估计当前进程是否有权限访问该文件的问题。

打开和关闭文件

打开文件

  • 使用函数如下：
NTSTATUS ZwCreateFile(
    _OUT_ PHANDLE FileHandle,	//输出文件句柄
    _In_ ACCESS_MASK DesiredAccess,
    _In_ POBJECT_ATTRIBUTES ObjectAttributes,
    _Out_ PIO_STATUS_BLOCK IoStatusBlock,
    _In_opt_ PLAGE_INTEGER AllocationSize,
    _In_ ULONG FileAttributes,
    _In_ ULONG SharAccess,
    _In_ ULONG CreateDisposition,
    _In_ ULONG CreateOptions,
    _In_ PVOID EaBuffer OPTIONAL,
    _In_ ULONG EaLength);
  • 下面是各个参数的详细说明：
  • FileHandle：输出文件句柄，如果函数调用成功(返回STATUS_SUCCESS)，那么打开的文件句柄就在这里。
  • DesiredAccess：申请的各种权限如下：
属性说明
FILE_WRITE_DATA写属性
FILE_READ_DATA读属性
DELETE删除或给文件改名
FILE_WRITE_ATTRIBUTES写文件属性
FILE_READ_ATTRIBUTES读文件属性
GENERIC_ALL全部权限
  • ObjectAttribute：对象描述，OBJECT_ATTRIBUTES结构地址。
  • IoStatusBlock：也是一个结构，结构在内核开发中经常使用
typedef struct _IO_STATUS_BLOCK{
    union{
      NTSTATUS Status;
      PVOID Pointer;
    };
    ULONG_PTR Information;
}IO_STATUS_BLOCK,*PIO_STATUS_BLOCK;

一般使用Status保存返回结果，成功返回STATUS_SUCCESS，进一步信息在Information中，不同的情况下返回的Information信息意义不同，有以下几种情况：

​ FILE_CREATED:文件被成功创建

​ FILE_OPENED:文件被打开了

​ FILE_OVERWRITTEN:文件被覆盖了

​ FILE_SUPERSEDED:文件被替代了

​ FILE_EXISTS:文件已存在

​ FILE_DOES_NOT_EXIST:文件不存在

另外在传输成功后，会将information设置为传输的字节数

  • AlloctionSize:是一个指针，指向64位整数，定义文件初始分配的大小，参数仅关系到创建或重写文件操作。
  • FileAttributes:参数控制新建立的文件属性，一般设置为0或FILE_ATTRIBUTe_NORMAL
  • ShareAccess:共享访问，FILE_SHARE_READ,FILE_SHARE_WRITE,FILE_SHARE_DELETE
  • CreateDisposition:参数说明了这次打开的意图，可以选择如下的宏，注意这些选择不能使用“|”组合”
值文件存在采取措施文件不存在时操作
FILE_SUPERSEDE替换文件创建文件
FILE_CREATE返回错误创建文件
FILE_OPEN打开文件返回错误
FILE_OPEN_IF打开文件创建文件
FILE_OVERWRITE打开文件，并覆盖它返回错误
FILE_OVERWRITE_IF打开文件，并覆盖它创建文件

  • CreatePotions：属性，创建新的还是打开存在的，可以使用FILE_NON_DIRECTORY_FILE|FILE_SYNCHRONOUS_IO_NONALERT，此时文件被同步打开，而且打开的是文件（不是目录，创建目录使用FILE_DIRECTORY_FILE),不过要想同步打开，前面的DesiredAccess参数必须含有SYNCHRONIZE

  • 一个标准的模板：

NTStATUS status;
//返回的文件句柄
HANDLE hFile=NULL;
//初始化文件对象属性结构体
UNICODE_STRING fileName=RTL_CONSTANT_STRING(L"\\??\\C:\\1,txt");
OBJECT_ATTRIBUTES objAttributes;
//初始化
InitializeObjectAttributes(
	&objAttributes,
    &fileName,
    OBJ_CASE_INSENSITIVE|OBJ_KERNEL_HANDLE,
    NULL,
    NULL);
//以FILE_OPEN_IF的方式打开文件
status=ZwCreateFile(
    &hFile,
    GENERIC_READ|GENERIC_WRITE,
    &objAttributes,
    &io_status,
    NULL,
    FILE_ATTRIBUTE_NORMAL,
    FILE_SHARE_READ,
    FILE_OPEN_IF,
    FILE_NON_DIRECTORY_FILE|FILE_RANDOM_ACCESS|
    FILE_SYNCHRONOUS_IO_NONALERT,
    NULL,
	0);
  • 关闭文件句柄使用ZwCloase函数，内核句柄的关闭不需要和打开在同一进程中。
  • 微软还提供了一个函数ZwOpenFile用于专门打开文件，他更简单
ZwOpenFile(
	_Out_ PHANDLE FileHandle;
    _In_ ACCESS_MASK DesiredAccess,
    _In_ POBJECT_ATTRIBUTES ObjectAttributes,
    _Out_ PIO_STATUS_BLOCK IoStatusBlock,
    _In_ ULONG ShareAccess,
    _In_ ULONG OpenOptions
);

文件读/写操作

读

  • ZwReadFile
NTSTATUS ZwReadFile(
	_In_ HANDLE FileHandle,		//句柄
    _In_opt_ HANDLE Event,		//为NULL即可，一个用于异步完成读时的事件
    _In_opt_ PIO_APC_ROUTINE ApcRoutine,//为NULL即可，回调例程，用于异步完成读时
    _In_opt_ PVOID ApcContext,//为NULL即可
    _Out_ PIO_STATUS_BLOCK IoStatusBlock,//返回函数调用结果状态
    _Out_ PVOID Buffer,//读取到文件内容的缓冲区
    _In_ ULONG Length,//缓冲去长度
    _In_ PLARGE_INTEGER ByteOffset,//尧都区的文件的偏移量，也就是读取的位置，一般不要设置为NULL，文件句柄不一定支持直接读取当前偏移量
    _In_opt_ PULONG Key//为NULL即可
);
//返回值：成功返回STATUS_SUCCESS，只要能读取到任意多个字节，返回值都成功，但是如果仅读取文件长度之外的部分，返回STATUS_END_OF_FILE

写

  • 和读参数完全相同
NTSTATUS ZwWriteFile(
	_In_ HANDLE FileHandle,		//句柄
    _In_opt_ HANDLE Event,		//为NULL即可，一个用于异步完成读时的事件
    _In_opt_ PIO_APC_ROUTINE ApcRoutine,//为NULL即可，回调例程，用于异步完成读时
    _In_opt_ PVOID ApcContext,//为NULL即可
    _Out_ PIO_STATUS_BLOCK IoStatusBlock,//返回函数调用结果状态
    _Out_ PVOID Buffer,//读取到文件内容的缓冲区
    _In_ ULONG Length,//缓冲去长度
    _In_ PLARGE_INTEGER ByteOffset,//尧都区的文件的偏移量，也就是读取的位置，一般不要设置为NULL，文件句柄不一定支持直接读取当前偏移量
    _In_opt_ PULONG Key//为NULL即可
);

使用示例

  • 完成打开一个文件获取其内容，然后在同文件夹下创建新的文件，然后将文件内容进行拷贝，实现一个自定义的ZwCopyFile函数
/*
完成打开一个文件获取其内容，
然后在同文件夹下创建新的文件，
然后将文件内容进行拷贝，
实现一个自定义的ZwCopyFile函数
*/
#include <ntddk.h>


VOID OnDriverUnload(PDRIVER_OBJECT pDriver)
{
	pDriver;
	KdPrint(("驱动被卸载\n"));
}
/*
函数实现文件拷贝功能
参数1：源文件路径
参数2：目标文件路径
//文件路径要使用\\??\\..的规范定义
*/
NTSTATUS MyZwCopyFile(PUNICODE_STRING srcFilePath,PUNICODE_STRING dstFilePath)
{
	__try
	{
		//初始化对象属性结构
		OBJECT_ATTRIBUTES srcObjAttributes;
		OBJECT_ATTRIBUTES dstObjAttributes;
		InitializeObjectAttributes(&srcObjAttributes, srcFilePath, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, NULL, NULL);
		InitializeObjectAttributes(&dstObjAttributes, dstFilePath, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, NULL, NULL);
		//创建文件句柄
		HANDLE hSrc = NULL, hDst = NULL;
		//用于拷贝的缓冲区
		PVOID buff = NULL;
		//接受文件大小结构体
		LARGE_INTEGER byteOffset = { 0 };
		//返回信息结构体
		IO_STATUS_BLOCK ioStatusBlock = { 0 };
		NTSTATUS status;
		/*开始进行正式拷贝操作*/
		//1.打开两个文件
		status = ZwCreateFile(&hSrc, GENERIC_READ, &srcObjAttributes, &ioStatusBlock, NULL,
			FILE_ATTRIBUTE_NORMAL, FILE_SHARE_READ, FILE_OPEN_IF,
			FILE_NON_DIRECTORY_FILE | FILE_RANDOM_ACCESS | FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0);
		if (!NT_SUCCESS(status))
		{
			//不成功，释放资源,打印错误信息
			KdPrint(("打开文件%wZ失败", &srcFilePath->Buffer));
			return status;
		}
		status = ZwCreateFile(&hDst, GENERIC_WRITE, &dstObjAttributes, &ioStatusBlock, NULL,
			FILE_ATTRIBUTE_NORMAL, FILE_SHARE_WRITE, FILE_SUPERSEDE,
			FILE_NON_DIRECTORY_FILE | FILE_RANDOM_ACCESS | FILE_SYNCHRONOUS_IO_NONALERT, NULL, 0);
		if (!NT_SUCCESS(status))
		{
			//不成功，打印错误信息
			if (hSrc!=NULL)
			{
				ZwClose(hSrc);
			}
			KdPrint(("打开文件%wZ失败", &dstFilePath->Buffer));
			return status;
		}
		//2.为buff开辟4BK空间
		ULONG length = 4 * 1024;
		buff = ExAllocatePoolWithTag(NonPagedPool, length, 'Tag1');
		//3.循环进行拷贝，每次读取4KB源文件拷贝到目标文件中
		while (1)
		{
			length = 4 * 1024;	//重新设置读取大小为4kb
			//读取源文件
			status = ZwReadFile(hSrc, NULL, NULL, NULL, &ioStatusBlock, buff, length, &byteOffset, NULL);
			if (!NT_SUCCESS(status))
			{
				//如果返回结果为STATUS_END_OF_FILE说明文件读取完毕了
				if (status == STATUS_END_OF_FILE)
					status = STATUS_SUCCESS;
				break;
			}
			//获得实际读取到的长度
			length = ioStatusBlock.Information;
			//写入读取到的大小的内容到目标文件
			status = ZwWriteFile(hDst, NULL, NULL, NULL, &ioStatusBlock, buff, length, &byteOffset, NULL);
			if (!NT_SUCCESS(status))
			{
				break;
			}
			//移动偏移byteOffset直到读取文件到末尾
			byteOffset.QuadPart += length;
		}
	//退出前释放所有资源
	if (hSrc!=NULL)
	{
		ZwClose(hSrc);
	}
	if (hDst!=NULL)
	{
		ZwClose(hDst);
	}
	if (buff!=NULL)
	{
		ExFreePool(buff);
	}
	return status;
	}
	__except(EXCEPTION_EXECUTE_HANDLER) {
		return STATUS_SUCCESS;
	}
}

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pPath)
{
	pPath;
	KdPrint(("驱动已被加载\n"));
	NTSTATUS status = STATUS_SUCCESS;
	pDriver->DriverUnload = OnDriverUnload;
	//定义两个文件路径
	UNICODE_STRING srcPath = RTL_CONSTANT_STRING(L"\\??\\C:\\1.txt");
	UNICODE_STRING dstPath = RTL_CONSTANT_STRING(L"\\??\\C:\\2.txt");
	//调用拷贝函数
	status=MyZwCopyFile(&srcPath, &dstPath);
	return status;
}

遍历文件

  • 内核层对文件遍历只提供了一个函数ZwQueryDirectoryFile,这个函数第9个参数适用于控制此函数的返回信息类型，如果为true，则函数返回“第一个文件信息”否则返回当前的“文件列表”。
  • 我们可以通过“第一个文件信息”来获取第一个文件，通过“文件列表”获取剩余的以及最后一个文件信息，然后封装两个函数MyZwFindFirstFile和·MyZwFindNext来完成文件的遍历
  • 记得包含头文件ntifs.h
#include <ntifs.h>
#include <ntddk.h>



VOID OnDriverUnload(PDRIVER_OBJECT pDriver)
{
	pDriver;
	KdPrint(("驱动被卸载\n"));
}

/*
函数用来获取第一个文件信息
参数1：文件句柄
参数2：总的文件信息列表长度
参数3：文件信息列表
参数4：第一个文件信息长度
参数5：第一个文件信息
*/
BOOLEAN MyZwFindFirstFile(
	_In_ HANDLE hFile,
	_In_ ULONG length,
	_Out_ PFILE_BOTH_DIR_INFORMATION pDirList,
	_In_ ULONG firstLength,
	_Out_ PFILE_BOTH_DIR_INFORMATION pFirstDir
)
{
	NTSTATUS status;
	IO_STATUS_BLOCK ioStatusBlock = { 0 };
	//获取第一个文件信息
	status = ZwQueryDirectoryFile(
		hFile,				//文件句柄
		NULL, NULL, NULL,	//为NULL
		&ioStatusBlock,		//返回信息
		pFirstDir,			//第一个文件信息
		firstLength,		//文件信息长度
		FileBothDirectoryInformation,//查询模式
		TRUE,				//是否返回一条其实信息
		NULL,				//文件句柄指向的文件，一般为NULL
		FALSE);				//是否从目录的第一项开始扫描
	if (!NT_SUCCESS(status))
	{
		return FALSE;
	}
	//接着获取文件列表
	status = ZwQueryDirectoryFile(hFile, NULL, NULL, NULL, &ioStatusBlock, pDirList, length, FileBothDirectoryInformation, FALSE, NULL, FALSE);
	return NT_SUCCESS(status);
}

/*
函数用来遍历下一个文件
参数1：获取到的文件列表信息
参数2：传出一个文件信息
参数3：列表中的偏移
*/
BOOLEAN MyZwFindNext(
	_In_ PFILE_BOTH_DIR_INFORMATION pDirList,
	_Out_ PFILE_BOTH_DIR_INFORMATION pDirInfo,
	_In_opt_  LONG* offset
)
{
	//如果有下一项，则移动指针指向下一项
	PFILE_BOTH_DIR_INFORMATION pDir = (PFILE_BOTH_DIR_INFORMATION)((PCHAR)pDirList + *offset);
	LONG fileInfoLength = 0;
	if (pDir->FileName[0]!='\0')
	{
		fileInfoLength = sizeof(FILE_BOTH_DIR_INFORMATION);
		memcpy(pDirInfo, pDir, fileInfoLength + pDir->FileNameLength);
		*offset += pDir->NextEntryOffset;
		if (pDir->NextEntryOffset==0)
		{
			//没有下一项了
			*offset += fileInfoLength + pDir->FileNameLength;
		}
		return TRUE;
	}
	return FALSE;
}

//打开文件
//参数1：带符号的文件路径
//参数2：文件是否为文件夹标记
NTSTATUS MyZwCreateFile(PHANDLE hFile,PUNICODE_STRING pFilePath, BOOLEAN bIsDir)
{
	//定义需要的参数
	NTSTATUS status;
	IO_STATUS_BLOCK ioStatusBlock = { 0 };
	ULONG ShareAccess = FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE;
	ULONG CreateOpt =FILE_RANDOM_ACCESS | FILE_SYNCHRONOUS_IO_NONALERT;
	CreateOpt |= bIsDir ? FILE_DIRECTORY_FILE : FILE_NON_DIRECTORY_FILE;
	//定义对象属性结构
	OBJECT_ATTRIBUTES objAttribute = { 0 };
	InitializeObjectAttributes(&objAttribute, pFilePath, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, NULL, NULL);
	//依据文件类型定义打开操作的附加标志
	//打开文件
	status = ZwCreateFile(hFile, GENERIC_ALL, &objAttribute, &ioStatusBlock, NULL, FILE_ATTRIBUTE_NORMAL, ShareAccess, FILE_OPEN_IF, CreateOpt, NULL, 0);
	return status;
}

//遍历目录下的所有文件
//参数为路径，必须传入带符号的路径格式
// \\??\\...
NTSTATUS EnumFile(PUNICODE_STRING pDirPath) 
{
	//打开文件
	HANDLE hFile = NULL;
	NTSTATUS status;
	status = MyZwCreateFile(&hFile, pDirPath, TRUE);
	if (!NT_SUCCESS(status))
	{
		return  status;
	}
	//为文件名预留空间
	LONG fileInfoLength = sizeof(FILE_BOTH_DIR_INFORMATION) + 270 * sizeof(WCHAR);
	LONG length = fileInfoLength * 0x256;	//假设最多有256个文件
	PFILE_BOTH_DIR_INFORMATION pFileList = NULL;
	PFILE_BOTH_DIR_INFORMATION pFileTemp = NULL;
	pFileList = (PFILE_BOTH_DIR_INFORMATION)ExAllocatePoolWithTag(NonPagedPool, length, 'Tag1');
	pFileTemp = (PFILE_BOTH_DIR_INFORMATION)ExAllocatePoolWithTag(NonPagedPool, fileInfoLength, 'Tag2');
	if (MyZwFindFirstFile(hFile, length, pFileList, fileInfoLength, pFileTemp))
	{
		LONG offset = 0;
		do
		{
			//进行判断
			WCHAR fileName[0x256] = { 0 };
			RtlCopyMemory(fileName, pFileTemp->FileName, pFileTemp->FileNameLength);
			//排除特殊目录
			if (!wcscmp(fileName, L"..") || !wcscmp(fileName, L"."))
			{
				continue;
			}
			//输出信息
			if (pFileTemp->FileAttributes&FILE_ATTRIBUTE_DIRECTORY)
			{
				KdPrint(("[目录]:%ls\n", fileName));
			}
			else
			{
				KdPrint(("[文件]:%ls\n", fileName));
			}
			memset(pFileTemp, 0, fileInfoLength);
		} while (MyZwFindNext(pFileList, pFileTemp, &offset));
	}
	//释放资源
	if (pFileList != NULL)
	{
		ZwClose(pFileList);
	}
	if (pFileTemp != NULL)
	{
		ZwClose(pFileTemp);
	}
	return status;
}

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pPath)
{
	pPath;
	pDriver->DriverUnload = OnDriverUnload;
	NTSTATUS status = STATUS_SUCCESS;
	//使用C盘进行测试
	UNICODE_STRING dirPath = RTL_CONSTANT_STRING(L"\\??\\C:\\");
	status = EnumFile(&dirPath);
	return status;
}
hskull
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
VRV.rar_文件 过滤_文件过滤驱动
09-24
5. **性能影响**：虽然文件过滤驱动提供了强大的保护，但它们也可能对系统性能产生一定影响，因为每个文件操作都需要经过额外的检查。 学习文件过滤驱动编程，你需要了解Windows驱动开发的基础知识，包括驱动模型...
【驱动开发】004 文件操作
dller的博客
11-08 764
note：本文代码参考了《Windows内核安全与驱动开发》这本书 一、OBJECT_ATTRIBUTES          对象属性结构。在ntdef.h文件中有该结构的定义： typedef struct _OBJECT_ATTRIBUTES { ULONG Length; HANDLE RootDirectory; PUNICODE_STRING ObjectN
InitializeObjectAttributes宏
HXC_HUANG的博客
03-07 2207
InitializeObjectAttributes宏初始化一个OBJECT_ATTRIBUTES 结构体, 当一个例程打开对象时由此结构体指定目标对象的属性 参数 InitializedAttributes [out] 指定需初始化的OBJECT_ATTRIBUTES结构体。 ObjectName [in] 指向Unicode字符串的指针，它包含将要打开句柄的对象名称
内核模式下的文件操作
crkres9527
09-27 422
A、文件的创建 B、文件的打开 C、获取和修改文件属性 D、写文件和读文件   一、文件的创建 InitializeObjectAttributes 初始化  POBJECT_ATTRIBUTES 结构 ZwCreateFile 二、文件的打开    ZwCreateFile,ZwOpenFile 三、获取和修改文件属性     ZwQueryInformationFile,...
使用OBJECT_ATTRIBUTES时导致的蓝屏(DRIVER_VERIFIER_DETECTED_VIOLATION (c4) )
danxuezx的专栏
09-21 8330
DRIVER_VERIFIER_DETECTED_VIOLATION (c4)
SSDT Hook_内核_x86_ssdthook_驱动_
10-03
这通常需要管理员权限，并通过DriverEntry等内核驱动接口完成。 6. 恢复SSDT：当不再需要Hook时，将备份的原始服务函数指针恢复到SSDT中，解除Hook。 在32位系统中，由于寻址空间限制，处理SSDT Hook时需要特别...
Linux内核模块和驱动的编写.rar_linux 妯″潡_linux内核_内核_内核模块_驱动内核删除
最新发布
09-14
通过学习和实践Linux内核模块和驱动的编写，开发者不仅可以增强对操作系统底层工作的理解，也能更好地定制和优化系统，满足特定场景的需求。同时，这也为硬件设备的适配和管理提供了灵活的解决方案。
windows内核驱动读写文件
10-11
windows内核驱动条件下文件的创建、读、写等功能实现源码。适用于驱动调试和运行观察的日志打印输出，比Windbg和reaceview更方便。
在用户模式下操作核心驱动程序.zip_windows 驱动_windows驱动_驱动
09-14
总之，在用户模式下操作核心驱动涉及到对Windows系统架构的深入理解，包括用户模式与内核模式的区别、驱动之间的交互方式以及相关的API和工具。虽然这种方法在某些场景下是必要的，但必须谨慎处理，以确保系统的稳定...
InitializeObjectAttributes.
12-03
得到到处函数指针InitializeObjectAttributes. ntdll
InitializeObjectAttributes 【MSDN翻译】
死胖子的博客
02-03 6001
InitializeObjectAttributes 初始化一个 OBJECT_ATTRIBUTES 结构用于指定一个需要打开的对象的属性。用于调用者在实际打开此句柄的例程中传入此结构体的指针。 除了在系统进程上下文运行中的驱动例程外执行此函数时都必须在参数Attributes 中指定OBJ_KERNEL_HANDLE 属性。此参数限定了句柄仅能被在内核模式下运行的进程打开。
菜鸟之驱动开发13
Care iOS技术团队
08-28 2867
在本节，我们将学习在内核模式下操作文件，包括：创建，打开，读取，修改，文件属性读取与修改。 相关的API有：ZwCreateFile, ZwOpenFile, ZwReadFile, ZwWriteFile, ZwQueryInformationFile,ZwSetInform
防止内存页被修改（重映射）
u014738665的博客
11-09 1957
参考资料： 1、PUBG 2018.3.9更新的代码页防止更改 2、通过修改VAD属性破除锁页机制 3、R3环申请内存时页面保护与_MMVAD_FLAGS.Protection位的对应关系 4、64位CreateProcess逆向:（四）创建进程的过程 5、深入浅析Windows内核——VAD篇 6、Self-Remapping-Code 虚拟机：VM15 系统：Win7 32位 编译器：VS2019 工具：CE6.5 代码如下： #include <stdio.h&
FILE_OBJECT结构体
chao272724792的专栏
04-20 1967
FILE_OBJECT的定义:  typedef struct _FILE_OBJECT {    CSHORT Type;    CSHORT Size;    PDEVICE_OBJECT DeviceObject;//设备对象    PVPB Vpb;    PVOID FsContext;    PVOID FsContext2;    PSECTION_O
内核模式下的文件操作 （Windows 驱动开发技术详解）
qq_41071646的博客
01-09 1734
 这篇文章 是根据张帆老师 一书 《Windows 驱动开发技术详解》 写出的 买这本书 很久了  一直 都感觉看视频好一些   偶然 翻了这本书  发现真的是神书 然后 先说文件的创建 文件创建 也就是   NTSTATUS ZwCreateFile(   _Out_    PHANDLE            FileHandle,   _In_     ACCESS_MASK    ...
python object 函数,Python学习笔记——open（）函数和file object函数的详细说明,详解,文件,对象...
weixin_36087577的博客
03-25 474
open(file, mode = ‘r’, buffering = -1, encoding = None, errors = None, newline = None, closefd = True, opener = None)file: 文件路径(相对或者绝对路径)。(必须)mode: 文件打开模式 (默认’rt’模式)buffering: 设置缓冲策略encoding: 一般...
通过修改FILE_OBJECT文件路径来绕过杀毒软件查杀的Post-Exploitation技术
systemino的博客
08-01 890
Windows操作系统在确定进程映像FILE_OBJECT位置方面存在不一致性，这影响了非EDR(端点检测和响应)端点安全解决方案(如Microsoft Defender Realtime Protection)检测恶意进程中加载的正确二进制文件的能力。这种不一致性导致McAfee开发了一种新的Post-Exploitation绕过技术，我们称之为“进程重新映像（Process Reimaging...
axios post object object_通过修改FILE_OBJECT文件路径来绕过杀毒软件查杀的PostExploitation技术...
weixin_39878745的博客
11-27 139
Windows操作系统在确定进程映像FILE_OBJECT位置方面存在不一致性，这影响了非EDR(端点检测和响应)端点安全解决方案(如Microsoft Defender Realtime Protection)检测恶意进程中加载的正确二进制文件的能力。这种不一致性导致McAfee开发了一种新的Post-Exploitation绕过技术，我们称之为“进程重新映像(Process Reim...
Android Linux内核与驱动详解
Android的驱动程序分为两大部分：一部分是通用的Linux内核驱动，这部分与标准Linux内核兼容，可以处理各种硬件设备；另一部分是Android专用驱动，这些驱动是为了满足Android系统的特殊需求而设计的，例如，与Android...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值