文件过滤驱动之文件隐藏

最新推荐文章于 2020-11-10 15:53:44 发布

原创最新推荐文章于 2020-11-10 15:53:44 发布 · 1.5k 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#驱动 #minifilter #文件过滤 #文件隐藏

Windows内核专栏收录该内容

5 篇文章

订阅专栏

本文介绍在Windows 10环境下，通过minispy迷你间谍驱动程序实现文件隐藏的方法，并演示如何利用白名单机制获取指定目录下的所有文件。包括测试环境设置、调用HideFile.exe进行文件隐藏、使用WinAPI遍历目录以及白名单Pid的添加与删除等功能。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

先看结果：

测试环境：win10 1803 64位系统
创建测试目录 C:\test 创建不同类型的文件
在这里插入图片描述
管理员权限启动cmd
sc start 启动 minifilter 驱动
调用HideFile.exe 传入指令，操作类型目录文件类型（文件类型可以传 * 则隐藏目录下所有文件）

右键刷新 test 目录

管理员权限调用WinAPI FindFirstFile FindNextFile 遍历 C:\test 目录下所有文件
在这里插入图片描述

将获取路径下所有文件.exe 的 Pid 加入白名单后，即可获取到目录下的文件

过滤目录，过滤类型，白名单Pid 均可多次添加和删除

功能实现：

Windows驱动程序样本—minispy
修改模板只保留 IRP_MJ_DIRECTORY_CONTROL 的操作后回调
在这里插入图片描述
ProcessId 与白名单的Pid进行比较，相等则不进行隐藏文件操作。

ULONG ProcessId = FltGetRequestorProcessId(Data);

取出文件信息与过滤路径文件类型做比较

// 获取文件路径
status = FltGetFileNameInformation(Data,
        FLT_FILE_NAME_OPENED | FLT_FILE_NAME_QUERY_ALWAYS_ALLOW_CACHE_LOOKUP,
        &nameInfo);
FltParseFileNameInformation(nameInfo);// 解析FLT_FILE_NAME_INFORMATION结构的内容
status = FileMonGetFullPathName(nameInfo, fullPathLongName);

// 获取文件名
currentFileInfo = (PFILE_BOTH_DIR_INFORMATION)Data->Iopb->Parameters.DirectoryControl.QueryDirectory.DirectoryBuffer；
currentFileInfo->FileName, currentFileInfo->FileNameLength