基于Minifilter的文件过滤驱动以及与应用层通讯
前一段时间在做一个文件过滤系统, 为了配合公司的产品使用,希望对指定目录禁止访问。一开始使用的是sfilter的框架,很多事情需要自己做,创建过滤驱动的控制设备,创建符号链接,设置IRP例程,设置FAST I/O例程,用这个框架做了一半,与应用层通讯比较麻烦,就又去学习了Minifilter框架,这个框架就非常简单了,就是自由度没有sfilter那么大,不过跟老大沟通之后,发现本次需求对边界问题要求比较模糊,就决定使用Minifilter了。
使用Minifilter开发真的方便太多了,我用的是vs2015+WDK10,用VS2015生成项目之后,就会发现所有的例程编译器都帮你绑定好了,你只需要在目的位置添加一些代码就可以搞定,关于与应用层的通讯更是简单,不需要应用层发IRP了,直接建立一个端口通讯,应用层和驱动层保持端口名一致即可。两天就全部搞定了。
这次的拦截操作我在 IRP_MJ_CREATE 请求之前做的。看下微软对这个IRP请求的解释。
I/O管理器会在一个新的文件或目录被创建,或者已存在的文件、设备、目录、卷,被打开的时候发生这个请求。
The I/O Manager sends the IRP_MJ_CREATE request when a new file or directory is being created, or when an existing file, device, directory, or volume is being opened.
也就是说,不管是新建还是打开文件或目录,都会被我的过滤器捕捉到,可以说对操作的捕捉是很完善了。之前我在IRP_MJ_DIRECTORY_CONTROL这个IRP请求发生的时候做的拦截,后来发现使用cmd不能进入目录,但是可以在禁止访问目录的父目录打开目标目录中的文件,比如禁止了FileDriver目录后,直接在父目录使用FileDriver/123.txt 就会打开123.txt,但是现在不会出现这种情况了
这里分享一下相关代码,我是应用层发送路径给驱动层,然后驱动层用链表保存下来,每次I/O操作之前,都去遍历链表里的路径,只要匹配成功就返回没有权限访问,否则IRP继续下发。
————————————————
版权声明:本文为CSDN博主「poison___」的原创文章,遵循CC 4.0 BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/qq_33504040/article/details/78458958
使用Minifilter开发真的方便太多了,我用的是vs2015+WDK10,用VS2015生成项目之后,就会发现所有的例程编译器都帮你绑定好了,你只需要在目的位置添加一些代码就可以搞定,关于与应用层的通讯更是简单,不需要应用层发IRP了,直接建立一个端口通讯,应用层和驱动层保持端口名一致即可。两天就全部搞定了。
这次的拦截操作我在 IRP_MJ_CREATE 请求之前做的。看下微软对这个IRP请求的解释。
I/O管理器会在一个新的文件或目录被创建,或者已存在的文件、设备、目录、卷,被打开的时候发生这个请求。
The I/O Manager sends the IRP_MJ_CREATE request when a new file or directory is being created, or when an existing file, device, directory, or volume is being opened.
也就是说,不管是新建还是打开文件或目录,都会被我的过滤器捕捉到,可以说对操作的捕捉是很完善了。之前我在IRP_MJ_DIRECTORY_CONTROL这个IRP请求发生的时候做的拦截,后来发现使用cmd不能进入目录,但是可以在禁止访问目录的父目录打开目标目录中的文件,比如禁止了FileDriver目录后,直接在父目录使用FileDriver/123.txt 就会打开123.txt,但是现在不会出现这种情况了
这里分享一下相关代码,我是应用层发送路径给驱动层,然后驱动层用链表保存下来,每次I/O操作之前,都去遍历链表里的路径,只要匹配成功就返回没有权限访问,否则IRP继续下发。
————————————————
版权声明:本文为CSDN博主「poison___」的原创文章,遵循CC 4.0 BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/qq_33504040/article/details/78458958