ZwFsControlFile

最新推荐文章于 2024-03-04 10:08:03 发布
原创 最新推荐文章于 2024-03-04 10:08:03 发布 · 652 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#windows

本文探讨了NTFS文件系统中的重解析点（ReparsePoints），解释了其工作原理，以及如何通过特定的ReparseTag（如0xa000000c）和系统调用（如ZwFsControlFile）来实现文件系统的高级功能。

NTFS重解析点（Reparse Points）
ReparseTag=0xa000000c
ZwFsControlFile

打印出ntdll.dll中所有函数名字和地址
dididisailor的博客
11-26 3593
0x01 打印出ntdll.dll中所有函数名字和地址 0x02 在任何进程中都可以找到ntdll.dll和kernel32.dll这个动态链接库的基地址，另外每一个动态链接库基地址实际上都存放在一个双向链表的节点上，只要找到这个双向链表，就可以找到所需要的动态链接库基地址，然后就可以调用乱七八糟的函数，将shellcode放在一个精妙的地方。 0x03 代码如下： // GetKern...
<读书笔记>Windows内核安全——第六章 磁盘过滤
一泓清水
05-17 1711
本章目标：完成一个磁盘卷设备的上层类过滤驱动，该过滤驱动的功能是实现对卷的还原，即开启该驱动的功能之后，对还原卷的写操作将只适用于当前，重启电脑后所写入的数据都将清零，类似于还原卡之类的功能。 1、磁盘卷设备 OK，根据章节的主题。首先要知道什么是磁盘卷设备，根据《windows internals》一书中的讲解，Windows的存储结构自上而下分成以下各个部分，如图所示： （擦，一个图
NtFsControlFile
danxuezx的专栏
02-25 2126
NtFsControlFileNTSYSAPI NTSTATUSNTAPINtFsControlFile( IN HANDLE FileHandle, IN HANDLE Event OPTIONAL, IN PIO_APC_ROUTINE ApcRoutine OPTIONAL,
我的论文串讲「一」
昊大侠的博客
05-28 1104
文章目录[Done]2022-arXiv-It’s DONE Direct ONE-shot learning without training optimizationAbstractIntroductionRelated workMethodologyImplementation and DatasetResults and Discussion[Phase]2021-SPIE-Deep neural networks to improve the dynamic range of Zernike ph
windows驱动创建文件符号链接
weixin_43787608的博客
11-24 1145
0x00 最近需要实现一个功能，在驱动中创建文件的符号链接。搜了一圈，只能找到 mklink 命令， mklink 命令显然不能在内核调用。 因为大部分的系统调用最终都会调用到内核层的实现，所以整体思路就是搞清楚 mklink 的实现，找到对应的内核接口。 0x01 简单搜索了下系统目录，发现并没有 mklink 文件，因此怀疑 mklink 是 cmd 的内置命令。验证这个想法很简单，直接把 c...
【底层开发】内核Pipe
天马行空
11-12 2042
转载底层开发的资料，使用pipe做驱动和应用层通信，因为pipe这东西，在内核没有具体的导出函数可用，于是逆向了下ring3那一系列pipe相关的函数的实现。 #pragma pack(push,1) typedef struct _WAIT_PIPE_PARAM { __int64 liTimeOutvalue; ULONG ulPipeNameL
计算机组装配置（Win10蓝屏错误代码大全详解）
热门推荐
CodeAllen嵌入式
03-21 3万+
经常使用Windows系统的应该少不了蓝屏的时候，其实系统是有一些提示信息的，记录这个编号可以查询到大致是什么原因导致的，可以快速定位问题。 消息比较多，可以直接Ctrl + F搜索需要的信息即可。 一个死机(BSOD)的蓝屏，技术上称为一个STOP错误，若在Windows遭受了严重的错误，被迫“停”的问题。 在任何Windows 操作系统中都会出现BSOD错误，包括Windows 10，Wind...
KMDF驱动中ZwWriteFile写入数据到\\??\\C:返回0xC0000022，如何处理
06-02
可以使用 `ZwFsControlFile` 函数来查询文件系统驱动程序的状态，以便进行错误排除。 如果以上步骤都没有解决问题，可以考虑使用其它的文件写入方式，例如使用 `ZwWriteFileGather` 函数或者使用内存映射文件等方式...
windbg实用命令详解：类型查看与符号搜索
ZwFsControlFile`）以及设备管理（如 `Nt!ZwOpenSemaphore` 和 `Nt!ZwQueryOpenSubKeys`），这些操作对理解硬件设备和文件系统的内部工作至关重要。 6. **高级操作**: 文档还提到了如 `ZwWaitForMultipleObjects`...
解读 SysNativeCompressFile
心想事成
03-13 845
解读 SysNativeCompressFile     //----- (100EE3EA)-------------------------------------------------------- int __thiscallWindows::Rtl::SystemImplementation::DirectFileSystemProvider::SysNativeCompres
Windows XP 开机预读取过程
lichangkun2012的专栏
06-01 1779
开机预读这个功能是Windows Xp的之后加入的目的是为了加快开机速度改善用户体验，微软不光对技术，对产品方面也是非常用心的。为什么预读就能改加快开机速度呢？其实一个开机过程中所做的操作就是将需要的数据读入内存中并初始化环境，没有太大量的CPU运算属于IO密集性的过程。其中硬盘（机械盘）操作是最浪费时间的（有人说过访问硬盘的时间相对于访问内存的时间可以认为是无限大，单看磁盘的寻道，数据的读取都是
移动磁盘文件，用NtFsControlFile还是用DeviceIoControl
danxuezx的专栏
02-25 2434
移动磁盘文件，用NtFsControlFile还是用DeviceIoControlNT4以上的系统中，NtFsControlFile以其方便的特性成为winmm的API之一，DeviceIoControl则是更加原始的API，提供重要的驱动程序支持。显然，如果只是搬运文件的话，NtFsControlFile是优于DeviceIoControl的，也更加安全。但是，这个函数至今并不是标准
【网络安全】Windows内核利用小技巧
最新发布
kali2333的博客
03-04 1285
主要是梳理最近windows上cve多数人比较常用的几个手法，肯定有所遗漏但涵盖主流常见手法用以学习。
Nt内核函数原型and中文
dengjiatao9832的博客
09-21 663
NtLoadDriver 服务控制管理器加载设备驱动. NtUnloadDriver 服务控制管理器支持卸载指定的驱动程序. NtRegisterNewDevice 加载新驱动文件. NtQueryIntervalProfile 返回数据. NtSetIntervalProfile 指定采样间隔. NtStartProfile 开始取样. NtStopProfile 停止...
VC++信息安全编程（１１）安全删除NTFS磁盘数据文件
尹成的技术博客
12-15 4754
很多时候，为了保护商业秘密，一些文件仅仅许可出现一次，就必须删除。但是Ｗｉｎｄｏｗｓ的删除是不完善的，可以通过回收站找回，即使Ｗｉｎｄｏｗｓ的彻底删除，也不是彻底删除。也可以通过数据恢复软件找回，我们如何实现彻底删除，用二进制数据填充磁盘，来彻底清除相关数据呢我们来亲身实践３６０自带的功能。详细类源码如下，请见源码分析，安全删除ＮＴＦＳ#include "stdafx.h" #include "
直接读取扇区来拷贝文件的例子
momosp的专栏
05-26 5162
<br />使用函数<br />DeviceIoControl(hFile, FSCTL_GET_RETRIEVAL_POINTERS, &InBuf,  <br />  sizeof(InBuf), OutBuf, OutSize, &Bytes, NULL))<br />就可以查询文件的簇链<br /><br />下面是个例如直接读取扇区来拷贝文件的例子<br />用法：FileCopy("C://boot.ini", "D://boot.ini");<br />C/C++ code ULONGLO
机器狗穿透还原的磁盘级文件读写完整驱动代码
求索
01-14 2097
机器狗穿透还原的磁盘级文件读写完整驱动代码
隐藏api的磁盘数据移动程序
todototry的专栏
05-31 1737
#ifndef BITMAP_H#define BITMAP_H#define _WIN32_WINNT 0x600#include "windows.h"#include "winioctl.h"#include #include using namespace std;class BitMap{public:    void getMapList(const VOLUME_BITMAP_BUF
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值