HOOK 文件保护，隐藏 禁止访问

最新推荐文章于 2019-03-13 17:58:40 发布
最新推荐文章于 2019-03-13 17:58:40 发布
阅读量4.1k 收藏 2
点赞数
分类专栏： C、C++
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhangqc1985/article/details/46332655
版权

三个主要的函数：NtQueryDirectoryFile、NtCreateFile、NtOpenFile， 其它函数定义未用，保留。

 

源码.h头文件PathProtect.h：

#pragma once
#include "APIHook.h"
#include "FileInfoDef.h"

//typedef用来声明自定义数据类型
typedef NTSTATUS (WINAPI *NtQueryDirectoryFile_CALLBACK) (
      IN  HANDLE FileHandle,
      IN  HANDLE Event OPTIONAL,
      IN  PIO_APC_ROUTINE ApcRoutine OPTIONAL,
      IN  PVOID ApcContext OPTIONAL,
      OUT PIO_STATUS_BLOCK IoStatusBlock,
      OUT PVOID FileInformation,
      IN  ULONG Length,
      IN  FILE_INFORMATION_CLASS FileInformationClass,
      IN  BOOLEAN ReturnSingleEntry,
      IN  PUNICODE_STRING FileName OPTIONAL,
      IN  BOOLEAN RestartScan
      );

typedef NTSTATUS (WINAPI * NtQueryInfomationFile_CALLBACK) (
      IN HANDLE FileHandle,
      OUT PIO_STATUS_BLOCK IoStatusBlock,
      OUT PVOID FileInformation,
      IN ULONG Length,
      IN FILE_INFORMATION_CLASS FileInformationClass
      );

typedef NTSTATUS (WINAPI * NtCreateFile_CALLBACK)(
                         PHANDLE FileHandle,
       ACCESS_MASK DesiredAccess,
       POBJECT_ATTRIBUTES ObjectAttributes, 
       PIO_STATUS_BLOCK IoStatusBlock,
       PLARGE_INTEGER AllocationSize, 
       ULONG FileAttributes, 
       ULONG ShareAccess,
       ULONG CreateDisposition,
       ULONG CreateOptions,
       PVOID EaBuffer,
       ULONG EaLength );

typedef NTSTATUS (WINAPI *NtOpenFile_CALLBACK)( 
                      PHANDLE FileHandle,
       ACCESS_MASK DesiredAccess,
       POBJECT_ATTRIBUTES ObjectAttributes, 
       PIO_STATUS_BLOCK IoStatusBlock,
       ULONG ShareAccess,
       ULONG OpenOptions );


typedef NTSTATUS (WINAPI *ZwReadFile_CALLBACK)(
       HANDLE           FileHandle,
       HANDLE           Event,
       PIO_APC_ROUTINE  ApcRoutine,
       PVOID            ApcContext,
       PIO_STATUS_BLOCK IoStatusBlock,
       PVOID            Buffer,
       ULONG            Length,
       PLARGE_INTEGER   ByteOffset,
       PULONG           Key );

typedef NTSTATUS (WINAPI *ZwWriteFile_CALLBACK)(
       HANDLE           FileHandle,
       HANDLE           Event,
       PIO_APC_ROUTINE  ApcRoutine,
       PVOID            ApcContext,
       PIO_STATUS_BLOCK IoStatusBlock,
       PVOID            Buffer,
       ULONG            Length,
       PLARGE_INTEGER   ByteOffset,
       PULONG           Key);

typedef NTSTATUS (WINAPI *ZwSetInformationFile_CALLBACK)(
                         HANDLE  FileHandle,
       PIO_STATUS_BLOCK  IoStatusBlock,   
       PVOID  FileInformation,
       ULONG  Length,
       FILE_INFORMATION_CLASS  FileInformationClass );

typedef NTSTATUS (WINAPI *ZwDeleteFile_CALLBACK)(
                            POBJECT_ATTRIBUTES ObjectAttributes );

typedef HANDLE (WINAPI *CreateFileW_CALLBACK)(
                         LPCWSTR lpFileName, 
                            DWORD dwDesiredAccess,  
                            DWORD dwShareMode,           
                            LPSECURITY_ATTRIBUTES lpSecurityAttributes,   
                            DWORD dwCreationDisposition,          
                            DWORD dwFlagsAndAttributes, 
       HANDLE hTemplateFile);

typedef HANDLE (WINAPI *CreateFileA_CALLBACK)(
                         LPCSTR lpFileName, 
                            DWORD dwDesiredAccess,  
                            DWORD dwShareMode,           
                            LPSECURITY_ATTRIBUTES lpSecurityAttributes,   
                            DWORD dwCreationDisposition,          
                            DWORD dwFlagsAndAttributes,
       HANDLE hTemplateFile);


class CPathProtect
{
public:
 CPathProtect(void);
 ~CPathProtect(void);

public:
 //启动
  void StartHook();

public:
 static CAPIHook m_HookNtQueryDirectoryFile;
 static CAPIHook m_HookNtCreateFile;
 static CAPIHook m_HookNtOpenFile;
 static CAPIHook m_HookZwReadFile;
 //static CAPIHook m_HookNtWriteFile;
 static CAPIHook m_HookCreateFileW;
 static CAPIHook m_HookCreateFileA;

private:
 static NTSTATUS WINAPI My_NtQueryDirectoryFile(
                      HANDLE FileHandle,   //是一个可以从NtOpenFlie得到的目录对象句柄
       HANDLE Event,
       PIO_APC_ROUTINE ApcRoutine,
       PVOID ApcContext,
       PIO_STATUS_BLOCK IoStatusBlock,
       PVOID FileInformation,          //是一个指针，指向函数要写入需要的数据的已分配的内存
       ULONG Length,
       FILE_INFORMATION_CLASS FileInformationClass, //决定用户在FileInformation中写入记录的类型
       BOOLEAN ReturnSingleEntry,
       PUNICODE_STRING FileName,
       BOOLEAN RestartScan);

 static NTSTATUS WINAPI  My_NtCreateFile(
                         PHANDLE FileHandle,
       ACCESS_MASK DesiredAccess,
       POBJECT_ATTRIBUTES ObjectAttributes, 
       PIO_STATUS_BLOCK IoStatusBlock,
       PLARGE_INTEGER AllocationSize, 
       ULONG FileAttributes, 
       ULONG ShareAccess,
       ULONG CreateDisposition,
       ULONG CreateOptions,
       PVOID EaBuffer,
       ULONG EaLength );

    static NTSTATUS WINAPI  My_NtOpenFile( 
                      PHANDLE FileHandle,
       ACCESS_MASK DesiredAccess,
       POBJECT_ATTRIBUTES ObjectAttributes, 
       PIO_STATUS_BLOCK IoStatusBlock,
       ULONG ShareAccess,
       ULONG OpenOptions );

    static NTSTATUS WINAPI  My_ZwReadFile(
       HANDLE           FileHandle,
       HANDLE           Event,
       PIO_APC_ROUTINE  ApcRoutine,
       PVOID            ApcContext,
       PIO_STATUS_BLOCK IoStatusBlock,
       PVOID            Buffer,
       ULONG            Length,
       PLARGE_INTEGER   ByteOffset,
       PULONG           Key );

    static NTSTATUS WINAPI  My_ZwWriteFile(
       HANDLE           FileHandle,
       HANDLE           Event,
       PIO_APC_ROUTINE  ApcRoutine,
       PVOID            ApcContext,
       PIO_STATUS_BLOCK IoStatusBlock,
       PVOID            Buffer,
       ULONG            Length,
       PLARGE_INTEGER   ByteOffset,
       PULONG           Key);

 static NTSTATUS WINAPI My_ZwSetInformationFile(
                         HANDLE  FileHandle,
       PIO_STATUS_BLOCK  IoStatusBlock,   
       PVOID  FileInformation,
       ULONG  Length,
       FILE_INFORMATION_CLASS  FileInformationClass );

 static NTSTATUS WINAPI My_ZwDeleteFile( POBJECT_ATTRIBUTES ObjectAttributes );

 static HANDLE   WINAPI My_CreateFileW(
        LPCWSTR lpFileName, 
        DWORD dwDesiredAccess,  
        DWORD dwShareMode,           
        LPSECURITY_ATTRIBUTES lpSecurityAttributes,   
        DWORD dwCreationDisposition,          
        DWORD dwFlagsAndAttributes, 
        HANDLE hTemplateFile);

 static HANDLE   WINAPI My_CreateFileA(
        LPCSTR lpFileName, 
        DWORD dwDesiredAccess,  
        DWORD dwShareMode,           
        LPSECURITY_ATTRIBUTES lpSecurityAttributes,   
        DWORD dwCreationDisposition,          
        DWORD dwFlagsAndAttributes,
        HANDLE hTemplateFile);

 static BOOL IsInControl( wchar_t * _Str, ULONG _StrLen=0 )
 {
  if( _StrLen==38 )
  {
   wchar_t *pwStr = wcsstr( _Str, L"CYReader_TempFolder" );
   //宽字符比较，暂用WCSSTR
   if( pwStr!=NULL )
   {
    return TRUE;
   }
  }
  else if( 0==_StrLen )
  {
   wchar_t *pStr = wcsstr( _Str, L"CYReader_TempFolder" );
   //宽字符比较，暂用WCSSTR
   if( pStr!=NULL )
   {
       return TRUE;
   }
  }
  return FALSE;
 }

 static BOOL IsInControl( CHAR * _Str, ULONG _StrLen=0 )
 {
  CHAR *pStr = strstr( _Str, "CYReader_TempFolder" );
  //宽字符比较，暂用WCSSTR
  if( pStr!=NULL )
  {
   if( 0==_StrLen )
   {
    return TRUE;
   }
   else if( pStr+19<=_Str+_StrLen )
   {
    return TRUE;
   }
  }
  return FALSE;
 }
};

CPP文件PathProtect.cpp"：

#include "PathProtect.h"
#include <stdio.h>


CAPIHook CPathProtect::m_HookNtQueryDirectoryFile;
CAPIHook CPathProtect::m_HookNtCreateFile;
CAPIHook CPathProtect::m_HookNtOpenFile;
CAPIHook CPathProtect::m_HookZwReadFile;
CAPIHook CPathProtect::m_HookCreateFileW;
CAPIHook CPathProtect::m_HookCreateFileA;
CPathProtect::CPathProtect(void)
{
}


CPathProtect::~CPathProtect(void)
{
}


//启动
void CPathProtect::StartHook()
{
 m_HookNtQueryDirectoryFile.StartHook("ntdll.dll", "NtQueryDirectoryFile", (PROC)CPathProtect::My_NtQueryDirectoryFile);
 m_HookNtCreateFile.StartHook("ntdll.dll", "NtCreateFile", (PROC)CPathProtect::My_NtCreateFile);
 m_HookNtOpenFile.StartHook("ntdll.dll", "NtOpenFile", (PROC)CPathProtect::My_NtOpenFile);
 //m_HookCreateFileW.StartHook("Kernel32.dll", "CreateFileW", (PROC)CPathProtect::My_CreateFileW);
 //m_HookCreateFileW.StartHook("Kernel32.dll", "CreateFileA", (PROC)CPathProtect::My_CreateFileA);
 //m_HookZwReadFile.StartHook("ntdll.dll", "ZwReadFile", (PROC)CPathProtect::My_ZwReadFile);
}

/*自定义NtQueryDirectoryFile**************************************************/
NTSTATUS WINAPI CPathProtect::My_NtQueryDirectoryFile(
                                     HANDLE FileHandle,   //是一个可以从NtOpenFlie得到的目录对象句柄
          HANDLE Event,
          PIO_APC_ROUTINE ApcRoutine,
          PVOID ApcContext,
          PIO_STATUS_BLOCK IoStatusBlock,
          PVOID FileInformation,//是一个指针，指向函数要写入需要的数据的已分配的内存
          ULONG Length,
          FILE_INFORMATION_CLASS FileInformationClass,//决定用户在FileInformation中写入记录的类型
          BOOLEAN ReturnSingleEntry,
          PUNICODE_STRING FileName,
          BOOLEAN RestartScan )
{
 NtQueryDirectoryFile_CALLBACK pRawFun = (NtQueryDirectoryFile_CALLBACK)(PROC)m_HookNtQueryDirectoryFile;
 if( pRawFun==NULL )  
    {
  return 0xFFFFFFFF;
 }

 //先调用原有函数
 NTSTATUS rret = pRawFun( FileHandle,
           Event,
        ApcRoutine,
        ApcContext,
        IoStatusBlock,
        FileInformation,
        Length,
        FileInformationClass,
        ReturnSingleEntry,
        FileName,
        RestartScan );
 if (!NT_SUCCESS(rret))
 {
  return rret;
 }

 if(FileInformationClass==FileIdBothDirectoryInformation)
    {
  //Vista或Win7 返回的而是FileIdBothDirectoryInformation
  PFILE_ID_BOTH_DIR_INFORMATION pFileInfo;
  PFILE_ID_BOTH_DIR_INFORMATION pLastFileInfo;

  pFileInfo = (PFILE_ID_BOTH_DIR_INFORMATION)FileInformation;
  pLastFileInfo = NULL;
  BOOLEAN flag=false;

  //OutputDebugStringW(L"[NtQueryFile]Start...");
  do
  {
   //WCHAR Temp[MAX_PATH] = {0};
   //memcpy( Temp, L"[NtQueryFile]", 26 );
   //memcpy( Temp+13, pFileInfo->FileName, pFileInfo->FileNameLength>200?200:pFileInfo->FileNameLength );
   //OutputDebugStringW(Temp);

   flag = !( pFileInfo->NextEntryOffset );  //NextEntryOffset是写入FileInformation中的列表的中的项的偏移地址，既是详细列表项的长度
   if( IsInControl(pFileInfo->FileName, pFileInfo->FileNameLength ) )
   {
    //如果能在文件名中找到CYReader_TempFolder
    if(flag)
    {
     if( pLastFileInfo != NULL )
     {
         pLastFileInfo->NextEntryOffset = 0;
     }
     break;
    }  
    else
    {
     //将对应链表节点移除
     int iPos = ((ULONG)pFileInfo) - (ULONG)FileInformation;
     int iLeft = (DWORD)Length - iPos - pFileInfo->NextEntryOffset;
     memcpy( (PVOID)pFileInfo, (PVOID)( (char *)pFileInfo + pFileInfo->NextEntryOffset ), (DWORD)iLeft );
     continue;
    }
   }
   pLastFileInfo = pFileInfo;
   pFileInfo = (PFILE_ID_BOTH_DIR_INFORMATION)((char *)pFileInfo + pFileInfo->NextEntryOffset);

  }while(!flag);
 }
 else if (FileInformationClass==FileBothDirectoryInformation)
 {
  //XP
  PFILE_BOTH_DIRECTORY_INFORMATION pFileInfo;
  PFILE_BOTH_DIRECTORY_INFORMATION pLastFileInfo;
  pFileInfo = (PFILE_BOTH_DIRECTORY_INFORMATION)FileInformation;
  pLastFileInfo = NULL;
  BOOLEAN flag=false;
  do
  {
   flag = !( pFileInfo->NextEntryOffset );  //NextEntryOffset是写入FileInformation中的列表的中的项的偏移地址，既是详细列表项的长度
   if( IsInControl(pFileInfo->FileName) )
   {
    //如果能在文件名中找到CYReader_TempFolder
    if(flag)
    {
     if( pLastFileInfo != NULL )
     {
         pLastFileInfo->NextEntryOffset = 0;
     }
     break;
    }
    else
    {
     //将对应链表节点移除
     int iPos = ((ULONG)pFileInfo) - (ULONG)FileInformation;
     int iLeft = (DWORD)Length - iPos - pFileInfo->NextEntryOffset;
     memcpy( (PVOID)pFileInfo, (PVOID)( (char *)pFileInfo + pFileInfo->NextEntryOffset ), (DWORD)iLeft );
     continue;
    }
   }
   pLastFileInfo = pFileInfo;
   pFileInfo = (PFILE_BOTH_DIRECTORY_INFORMATION)((char *)pFileInfo + pFileInfo->NextEntryOffset);

  }while(!flag);
 }

 return rret;
}

/*自定义NtCreateFile**************************************************/
NTSTATUS WINAPI  CPathProtect::My_NtCreateFile(
                         PHANDLE FileHandle,
       ACCESS_MASK DesiredAccess,
       POBJECT_ATTRIBUTES ObjectAttributes, 
       PIO_STATUS_BLOCK IoStatusBlock,
       PLARGE_INTEGER AllocationSize, 
       ULONG FileAttributes, 
       ULONG ShareAccess,
       ULONG CreateDisposition,
       ULONG CreateOptions,
       PVOID EaBuffer,
       ULONG EaLength )
{
 //WCHAR Temp[MAX_PATH] = {0};
 //wcscat( Temp, L"[CreateFile]" );
 //wcscat( Temp, ObjectAttributes->ObjectName->Buffer );
 //OutputDebugStringW(Temp);

 //FILE_OPEN 0x00000001
 if( CreateDisposition==0x01 && ObjectAttributes->ObjectName->Length>0 && IsInControl(ObjectAttributes->ObjectName->Buffer) )
 {
  //返回失败
  FileHandle = NULL;
  return 0;
 }

 NtCreateFile_CALLBACK pRawFun = (NtCreateFile_CALLBACK)(PROC)m_HookNtCreateFile;
 if( pRawFun==NULL )  
    {
  return 0xFFFFFFFF;
 }

 //先调用原有函数
 NTSTATUS rret = pRawFun( FileHandle,
           DesiredAccess,
        ObjectAttributes,
        IoStatusBlock,
        AllocationSize,
        FileAttributes, 
        ShareAccess,
        CreateDisposition,
        CreateOptions,
        EaBuffer,
        EaLength );
 if (!NT_SUCCESS(rret))
 {
  return rret;
 }
 return rret;
}

/*自定义NtOpenFile**************************************************/
NTSTATUS WINAPI CPathProtect::My_NtOpenFile(
                                  PHANDLE FileHandle,
          ACCESS_MASK DesiredAccess,
          POBJECT_ATTRIBUTES ObjectAttributes, 
          PIO_STATUS_BLOCK IoStatusBlock,
          ULONG ShareAccess,
          ULONG OpenOptions )
{
 //WCHAR Temp[MAX_PATH] = {0};
 //wcscat( Temp, L"[OpenFile]" );
 //wcscat( Temp, ObjectAttributes->ObjectName->Buffer );
 //OutputDebugStringW(Temp);

 if( ObjectAttributes->ObjectName->Length>0 && IsInControl(ObjectAttributes->ObjectName->Buffer) )
 {
  //返回失败
  FileHandle = NULL;
  return 0;
 }

 NtOpenFile_CALLBACK pRawFun = (NtOpenFile_CALLBACK)(PROC)m_HookNtOpenFile;
 if( pRawFun==NULL )  
    {
  return 0xFFFFFFFF;
 }

 //先调用原有函数
 NTSTATUS rret = pRawFun( FileHandle,
           DesiredAccess,
        ObjectAttributes,
        IoStatusBlock,
        ShareAccess,
        OpenOptions );
 if (!NT_SUCCESS(rret))
 {
  return rret;
 }

 return rret;
}

/*自定义NtOpenFile**************************************************/
NTSTATUS WINAPI CPathProtect::My_ZwReadFile(
       HANDLE           FileHandle,
       HANDLE           Event,
       PIO_APC_ROUTINE  ApcRoutine,
       PVOID            ApcContext,
       PIO_STATUS_BLOCK IoStatusBlock,
       PVOID            Buffer,
       ULONG            Length,
       PLARGE_INTEGER   ByteOffset,
       PULONG           Key )
{
 OutputDebugStringW( L"[ReadFile]" );

    HINSTANCE ntdll_dll = GetModuleHandle( L"ntdll.dll" );
 if( ntdll_dll!=NULL )  
    {
        NtQueryInfomationFile_CALLBACK dwFunAddress = NULL;
  dwFunAddress = (NtQueryInfomationFile_CALLBACK)GetProcAddress(ntdll_dll, "NtQueryInformationFile"); 
  if( NULL!=dwFunAddress )
  {
   IO_STATUS_BLOCK    isb = { 0 };
   FILE_ID_BOTH_DIR_INFORMATION fni = { 0 };
   if( 0==dwFunAddress( FileHandle, &isb, &fni, sizeof(fni), FileIdBothDirectoryInformation ) )
   {
    WCHAR Temp[MAX_PATH] = {0};
             wcscat( Temp, L"[ReadFile]" );
    wcscat( Temp, fni.FileName );
    OutputDebugStringW(Temp);

    if(IsInControl(fni.FileName) )
    {
     //返回失败
     OutputDebugStringW(L"ReadFile Err");
     FileHandle = NULL;
     return 0xFFFFFFFF;
    }
   }
  }
 }

 ZwReadFile_CALLBACK pRawFun = (ZwReadFile_CALLBACK)(PROC)m_HookZwReadFile;
 if( pRawFun==NULL )  
    {
  return 0xFFFFFFFF;
 }

 //先调用原有函数
 NTSTATUS rret = pRawFun( FileHandle,
           Event,
        ApcRoutine,
        ApcContext,
        IoStatusBlock,
        Buffer,
        Length,
        ByteOffset,
        Key );

 if (!NT_SUCCESS(rret))
 {
  return rret;
 }

 return rret;
}

NTSTATUS WINAPI CPathProtect::My_ZwWriteFile(
      HANDLE           FileHandle,
      HANDLE           Event,
      PIO_APC_ROUTINE  ApcRoutine,
      PVOID            ApcContext,
      PIO_STATUS_BLOCK IoStatusBlock,
      PVOID            Buffer,
      ULONG            Length,
      PLARGE_INTEGER   ByteOffset,
      PULONG           Key)
{
 return 0;
}

NTSTATUS WINAPI CPathProtect::My_ZwSetInformationFile(
                     HANDLE  FileHandle,
      PIO_STATUS_BLOCK  IoStatusBlock,   
      PVOID  FileInformation,
      ULONG  Length,
      FILE_INFORMATION_CLASS  FileInformationClass )
{
 return 0;
}

NTSTATUS WINAPI CPathProtect::My_ZwDeleteFile( POBJECT_ATTRIBUTES ObjectAttributes )
{
 return 0;
}

HANDLE   WINAPI CPathProtect::My_CreateFileW(
      LPCWSTR lpFileName, 
      DWORD dwDesiredAccess,  
      DWORD dwShareMode,           
      LPSECURITY_ATTRIBUTES lpSecurityAttributes,   
      DWORD dwCreationDisposition,          
      DWORD dwFlagsAndAttributes, 
      HANDLE hTemplateFile)
{
 if( NULL!=lpFileName )
 {
  WCHAR Temp[MAX_PATH] = {0};
  wcscat( Temp, L"[CreateFileW]" );
  wcscat( Temp, lpFileName );
  OutputDebugStringW(Temp);
 }
 if( NULL!=lpFileName && IsInControl( (wchar_t *)lpFileName ) )
 {
  OutputDebugStringW( L"My_CreateFileW NULL" );
    return NULL;
 }

 CreateFileW_CALLBACK pRawFun = (CreateFileW_CALLBACK)(PROC)m_HookCreateFileW;
 if( pRawFun==NULL )  
    {
  return NULL;
 }

 //先调用原有函数
 return pRawFun( lpFileName,
     dwDesiredAccess,
     dwShareMode,
     lpSecurityAttributes,
     dwCreationDisposition,
     dwFlagsAndAttributes,
     hTemplateFile );
}

HANDLE   WINAPI CPathProtect::My_CreateFileA(
      LPCSTR lpFileName, 
      DWORD dwDesiredAccess,  
      DWORD dwShareMode,           
      LPSECURITY_ATTRIBUTES lpSecurityAttributes,   
      DWORD dwCreationDisposition,          
      DWORD dwFlagsAndAttributes,
      HANDLE hTemplateFile)
{
 if( NULL!=lpFileName )
 {
  CHAR Temp[MAX_PATH] = {0};
  strcat( Temp, "[CreateFileA]" );
  strcat( Temp, lpFileName );
  OutputDebugStringA( Temp );
 }

 if( NULL!=lpFileName && IsInControl( (CHAR *)lpFileName ) )
 {
  OutputDebugStringA( "My_CreateFileA NULL" );
    return NULL;
 }

 CreateFileA_CALLBACK pRawFun = (CreateFileA_CALLBACK)(PROC)m_HookCreateFileA;
 if( pRawFun==NULL )  
    {
  return NULL;
 }

 //先调用原有函数
 return pRawFun( lpFileName,
     dwDesiredAccess,
     dwShareMode,
     lpSecurityAttributes,
     dwCreationDisposition,
     dwFlagsAndAttributes,
     hTemplateFile );
}

 

 

结构定义FileInfoDef.h：

//从ntddk中拿出来的一些结构体定义，在ZwQueryDirectoryFile()中要用到

#define NT_SUCCESS(Status) ((NTSTATUS)(Status)>=0)
typedef LONG NTSTATUS;

namespace nsPathProtectStruct
{
// //参数类型
typedef struct _IO_STATUS_BLOCK
{
 NTSTATUS  Status;
 ULONG    Information;
} IO_STATUS_BLOCK, *PIO_STATUS_BLOCK;
//字符串类型
typedef struct _UNICODE_STRING
{
 USHORT    Length;          //buffer的字节长度，不包括终止符NULL；
 USHORT    MaximumLength;   //buffer的的总的字节大小
 PWSTR     Buffer;          //指向宽字符串的指针
} UNICODE_STRING, *PUNICODE_STRING;
//枚举类型，主要利用FileBothDirectoryInformation
typedef enum _FILE_INFORMATION_CLASS{
  FileDirectoryInformation = 1,
  FileFullDirectoryInformation = 2,
  FileBothDirectoryInformation = 3,
  FileBasicInformation = 4,
  FileStandardInformation = 5,
  FileInternalInformation = 6,
  FileEaInformation = 7,
  FileAccessInformation = 8,
  FileNameInformation = 9,
  FileRenameInformation = 10,
  FileLinkInformation = 11,
  FileNamesInformation = 12,
  FileDispositionInformation = 13,
  FilePositionInformation = 14,
  FileFullEaInformation = 15,
  FileModeInformation = 16,
  FileAlignmentInformation = 17,
  FileAllInformation = 18,
  FileAllocationInformation = 19,
  FileEndOfFileInformation = 20,
  FileAlternateNameInformation = 21,
  FileStreamInformation = 22,
  FilePipeInformation = 23,
  FilePipeLocalInformation = 24,
  FilePipeRemoteInformation = 25,
  FileMailslotQueryInformation = 26,
  FileMailslotSetInformation = 27,
  FileCompressionInformation = 28,
  FileObjectIdInformation = 29,
  FileCompletionInformation = 30,
  FileMoveClusterInformation = 31,
  FileQuotaInformation = 32,
  FileReparsePointInformation = 33,
  FileNetworkOpenInformation = 34,
  FileAttributeTagInformation = 35,
  FileTrackingInformation = 36,
  FileIdBothDirectoryInformation = 37,
  FileIdFullDirectoryInformation = 38,
  FileValidDataLengthInformation = 39,
  FileShortNameInformation = 40,
  FileIoCompletionNotificationInformation = 41,
  FileIoStatusBlockRangeInformation = 42,
  FileIoPriorityHintInformation = 43,
  FileSfioReserveInformation = 44,
  FileSfioVolumeInformation = 45,
  FileHardLinkInformation = 46,
  FileProcessIdsUsingFileInformation = 47,
  FileNormalizedNameInformation = 48,
  FileNetworkPhysicalNameInformation = 49,
  FileMaximumInformation = 50
} FILE_INFORMATION_CLASS,*PFILE_INFORMATION_CLASS;

 

typedef VOID (NTAPI *PIO_APC_ROUTINE)(
           IN PVOID ApcContext,
           IN PIO_STATUS_BLOCK IoStatusBlock,
           IN ULONG Reserved);

typedef struct _FILE_BOTH_DIRECTORY_INFORMATION {
 ULONG NextEntryOffset;
 ULONG Unknown;
 LARGE_INTEGER CreationTime;
 LARGE_INTEGER LastAccessTime;
 LARGE_INTEGER LastWriteTime;
 LARGE_INTEGER ChangeTime;
 LARGE_INTEGER EndOfFile;
 LARGE_INTEGER AllocationSize;
 ULONG FileAttributes;
 ULONG FileNameLength;
 ULONG EaInformationLength;
 UCHAR AlternateNameLength;
 WCHAR AlternateName[12];
 WCHAR FileName[1];
} FILE_BOTH_DIRECTORY_INFORMATION,*PFILE_BOTH_DIRECTORY_INFORMATION;

typedef struct _FILE_NAME_INFORMATION {
 ULONG FileNameLength;
 WCHAR FileName[1];
} FILE_NAME_INFORMATION, *PFILE_NAME_INFORMATION;


typedef struct _FILE_ID_BOTH_DIR_INFORMATION {
 ULONG         NextEntryOffset;
 ULONG         FileIndex;
 LARGE_INTEGER CreationTime;
 LARGE_INTEGER LastAccessTime;
 LARGE_INTEGER LastWriteTime;
 LARGE_INTEGER ChangeTime;
 LARGE_INTEGER EndOfFile;
 LARGE_INTEGER AllocationSize;
 ULONG         FileAttributes;
 ULONG         FileNameLength;
 ULONG         EaSize;
 CCHAR         ShortNameLength;
 WCHAR         ShortName[12];
 LARGE_INTEGER FileId;
 WCHAR         FileName[1];
} FILE_ID_BOTH_DIR_INFORMATION, *PFILE_ID_BOTH_DIR_INFORMATION;


typedef struct _OBJECT_ATTRIBUTES {
  ULONG           Length;
  HANDLE          RootDirectory;
  PUNICODE_STRING ObjectName;
  ULONG           Attributes;
  PVOID           SecurityDescriptor;
  PVOID           SecurityQualityOfService;
}  OBJECT_ATTRIBUTES, *POBJECT_ATTRIBUTES;

}

using namespace nsPathProtectStruct;

 

 

 

 

zhangqc1985
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
文件保护HOOK
yonghengzhimi的专栏
09-15 358
////////////////////////////////////////////////// // HookTermProLib.cpp文件 #include <windows.h> #include "APIHook.h" extern CAPIHook g_TerminateProcess; BOOL WINAPI myDeleteFileA(LPCSTR lpFileName) { int i=1; char num='0'; char FNFromINI[1024]...
基于IAT hook的文件隐藏功能
毕业作品网站
09-22 293
提升本进程权限——> 获取目标进程的 PID——> 获得要注入进程的句柄——> 在远程进程中开辟出一段内存——> 将包含恶意代码的 dll 的名字写入上一步开辟出的内存中——> 在被注入进程中创建新线程加载该 dll——> 卸载注入的 dll。（1）功能：将自己编写的包含有攻击代码的 dll 文件注入到目标进程（本实验选择注入到“cmd.exe”）思路：获得在远程线程中被注入的 Dll 的句柄 —> 卸载 Dll。⑤ 将包含恶意代码的 dll 的名字写入上一步开辟出的内存中。③ 获得要注入进程的句柄。
hook ZwQueryDirectoryFile实现文件隐藏
如鹿渴慕泉水的专栏
05-10 1082
学习了网上《编写驱动拦截NT的API实现隐藏文件目录》这篇文章 参考这篇文章的代码 自己试着写了下 现发出来我调试成功的代码 给需要的朋友们 代码: #include "ntddk.h" typedef BOOLEAN BOOL; typedef unsigned long DWORD; typedef DWORD * PDWORD; typedef unsigned long ULONG;
采用个hook技术对writefile函数进行拦截（2）
weixin_33739646的博客
03-10 395
http://www.cnblogs.com/zhxfl/archive/2011/11/03/2233846.html 这个是笔者之前写过的WriteFile HOOK代码 必须补充对这几个函数的HOOK，才能对WriteFile的所有操作做“比较彻底的拦截”，笔者知道应用层的拦截很容易出现遗漏的，只有编写驱动做文件过滤才会有比较好的效果，不过在实...
HOOK API 实现文件隐藏 源代码
05-08
本人结合HOOK API和远程线程技术实现的一个简单的文件隐藏程序，在应用层实现文件隐藏。
C++编写HookJIT保护.NET源码
chenkai5182的博客
06-20 411
转载于:https://my.oschina.net/u/158055/blog/694697
基于 IAT hook 的文件隐藏功能 完整代码+报告
01-12
通过 IAT Hook 的方法篡改它们的导入表，使这两个程序查看不到文件系统中指定名称的文件。 三 实验过程 1、主程序 （1）功能：将自己编写的包含有攻击代码的 dll 文件注入到目标进程（本实验选择注入到“cmd.exe”...
VB API Hook禁止删除文件
最新发布
07-09
在本例中，"VB API Hook禁止删除文件"的应用场景可能是开发安全软件或者数据保护系统，通过Hook DeleteFile API来保护特定文件不被意外或恶意删除。但是，为了达到这个目的，通常还需要考虑其他安全措施，比如权限...
Hook_文件隐藏
08-08
在IT行业中，Hook_文件隐藏是一种技术，通常用于系统监控、调试或安全目的。这个话题主要涉及Windows操作系统，特别是涉及到内核级别的编程和系统调用。在这个场景中，`ZwQueryDirectoryFile`是一个关键的系统调用，...
用API HOOK实现禁止复制文件的功能
05-12
用API HOOK实现禁止复制文件
Nt 函数NtQueryValueFile, NtReadFile, NtWriteFile.
11-26
NtQueryValueFile, NtReadFile, NtWriteFile.
vc++调用hook API钩子截获CreateFile和CloseHandle来加密WORD文件+实现文件防拷贝_chorus和hook区别
12-26
利用API Hook截获CreateFile和CloseHandle达到加解密DOC文件和防拷贝的目的 visual c++调用hook API钩子截获CreateFile和CloseHandle来加密WORD文件+实现文件防拷贝
文件隐藏技术（二）
anhkgg的专栏
05-21 2267
SSDT HOOK实现文件保护 nokyo.blogbus.com 　　很久没写点什么了，最近在忙着做一些零碎的程序，过一段儿时间一定放新东西。 　　现在手头上的其中一件事情就是帮同学做一个文件保护的毕业设计，考虑再三还是使用SSDT HOOK，因为这个最简单，而且比较稳定，也容易理解。 　　提到文件保护，无非就是文件隐藏、文件打开、读写、删除保护等。 　　一、文件隐藏 　　文件隐
HOOK API 之修改IAT实现进程隐藏
tian028的博客
03-13 1026
1 ．技术与实现 每个调用的 API 函数地址都保存在 IAT 表中。 API 函数调用时，每个输入节（ IMPORT SECTION ）所指向的 IAT 结构如下图所示。 程序中每个调用API 函数的CALL指令所使用的地址都是相应函数登记在IAT表的地址。所以为了截获API 函数，我们将IAT表中的地址换成用户自己的API PROXY函数地址，这样每个API调用都是先调用用户自己的A...
文件夹防删除
山寨3D的专栏
01-30 1685
library CopyHook; uses ComServ, CopyMain in ’CopyMain.pas’; exports DllGetClassObject, DllCanUnloadNow, DllRegisterServer, DllUnregisterServer; {$R *.TLB} {$R *.RES} begin end. //////////// CopyMain.p
win7及以上系统C++实现Hook explorer文件级监控复制、剪切和删除操作
BruceAYG的博客
08-06 6703
最近项目组需要实现一个对windows用户文件操作进行监控的功能，（也就是使用explorer资源管理器的操作），于是乎我就想到了使用Hook的方法进行拦截，查找一番资料后发现XP调用的是最简单的CopyFileEx, MoveFileWithProgressW, ReplaceFileW之类的API，所以XP是最好解决的，但是到了Vista及以后的系统中，微软采用了一种新的方法——com组件里的...
WinDBG从Ring3到Ring0跟踪CreateFileW的执行流程
sqzxwq的博客
09-03 2447
本次跟踪的系统版本： 调试机(宿主机)：WIN7 64位旗舰版 目标机(虚拟机)：WIN7 32位旗舰版 1、在虚拟机里打开一个记事本，然后Ctrl+Break中断操作系统 2、在WinDBG中输入!process 0 0 notepad.exe查看记事本进程信息 3、在WinDBG中输入.process /i /p 进程内核对象地址，在本例中则应该输入.pr
ZwReadFile读TXT文件
十年磨一剑，霜刃未曾试!
10-25 4929
开发过程中的小记录 void ReadFile_Port() { HANDLE hFile=NULL; IO_STATUS_BLOCK ioStatus; NTSTATUS ntStatus; OBJECT_ATTRIBUTES object_attributes; UNICODE_STRING uFileName=RTL_CONSTANT_STRING(L"\\??\\C:\\po
R3 HOOK NtDeleteFile 防止删除文件
weixin_34148340的博客
11-30 574
2019独角兽企业重金招聘Python工程师标准>>> ...
apihook文件保护
04-28
因此文件保护是非常必要的，以免受到API hook攻击的影响。 一种常见的apihook文件保护方法是使用反病毒软件进行检测和清除，这种方法对于已知的apihook攻击有很好的防御效果。同时，也可以使用加密技术对相关文件...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值