Hook ZwSetInformationFile, 根据目标路径拦截MoveFile移动文件

最新推荐文章于 2023-06-13 10:07:56 发布

原创最新推荐文章于 2023-06-13 10:07:56 发布 · 1.4k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#hook #file #struct #class

Programming 专栏收录该内容

17 篇文章

订阅专栏

Hook ZwSetInformationFile, 根据目标路径拦截MoveFile移动文件
    MoveFile的形式为：MoveFile( LPCTSTR lpExistingFileName, LPCTSTR lpNewFileName)，现需要根据
lpNewFileName的路径来判断是否可以移动，在这我们Hook ZwSetInformationFile实现的，跟踪MoveFile可知，
它会调用ZwSetInformationFile实现文件移动功能，此时FileInformationClass为0x0A，且FileInformation的
结构_FILE_RENAME_INFORMATION是未公开的，逆向可得其结构：
typedef struct _FILE_RENAME_INFORMATION {
    BOOLEAN ReplaceIfExists;
    HANDLE  RootDirectory;
    ULONG   FileNameLength;
    WCHAR   FileName[1];
} FILE_RENAME_INFORMATION, *PFILE_RENAME_INFORMATION;
   Hook ZwSetInformationFile，当FileInformationClass等于0x0A时，从FILE_RENAME_INFORMATION结构中取出
FileName(其长度为FileNameLength)，这就是宽字符的lpNewFileName。然后作判断。

ZwSetInformationFile形式：
NTSTATUS
ZwSetInformationFile(
IN HANDLE FileHandle,
OUT PIO_STATUS_BLOCK IoStatusBlock,
IN PVOID FileInformation,
IN ULONG Length,
IN FILE_INFORMATION_CLASS FileInformationClass
);