Hook ZwSetInformationFile, 根据目标路径拦截MoveFile移动文件-优快云博客

Hook ZwSetInformationFile, 根据目标路径拦截MoveFile移动文件
    MoveFile的形式为：MoveFile( LPCTSTR lpExistingFileName, LPCTSTR lpNewFileName)，现需要根据
lpNewFileName的路径来判断是否可以移动，在这我们Hook ZwSetInformationFile实现的，跟踪MoveFile可知，
它会调用ZwSetInformationFile实现文件移动功能，此时FileInformationClass为0x0A，且FileInformation的
结构_FILE_RENAME_INFORMATION是未公开的，逆向可得其结构：
typedef struct _FILE_RENAME_INFORMATION {
    BOOLEAN ReplaceIfExists;
    HANDLE  RootDirectory;
    ULONG   FileNameLength;
    WCHAR   FileName[1];
} FILE_RENAME_INFORMATION, *PFILE_RENAME_INFORMATION;
   Hook ZwSetInformationFile，当FileInformationClass等于0x0A时，从FILE_RENAME_INFORMATION结构中取出
FileName(其长度为FileNameLength)，这就是宽字符的lpNewFileName。然后作判断。

ZwSetInformationFile形式：
NTSTATUS
ZwSetInformationFile(
IN HANDLE FileHandle,
OUT PIO_STATUS_BLOCK IoStatusBlock,
IN PVOID FileInformation,
IN ULONG Length,
IN FILE_INFORMATION_CLASS FileInformationClass
);