MINIFILTER实现文件重定向之从分析到达成
发布时间：2022-05-18 09:40:07 所属栏目：安全 来源：互联网
导读：为了解决例如系统关键目录或者业务敏感目录被放入恶意的可执行程序或者网页文件等，一些安全软件会使用文件过滤驱动的技术结合一定的检测规则来达到保护系统和业务安全的一些目的。 微软的WDK实例中存在通过使用REPARSE重定向来完成跨盘的重定向，以及通过Mi
|
为了解决例如系统关键目录或者业务敏感目录被放入恶意的可执行程序或者网页文件等，一些安全软件会使用文件过滤驱动的技术结合一定的检测规则来达到保护系统和业务安全的一些目的。 微软的WDK实例中存在通过使用REPARSE重定向来完成跨盘的重定向，以及通过Minifilter使用IoCreateFileSpecifyDeviceObjectHint来完成的非跨盘重定向。 所以，我们的目标是先通过Windows部分内核代码来看看为何Reparse能够完成文件重定向的功能，再通过实现一个能够简易配置监视路径和重定向后路径的驱动程序和应用控制程序。 通过源码查看文件创建源码的关键部分 虽然是Windows Server 2008 x64系统，但是为了避免过多的逆向分析,直接以WRK为目标(由于无法过多引用，所以尽量以文字描述)，看看是否可以得到关于Reparse重定向的结论。 创建文件的入口为IoCreateFile时，其主要工作由IopCreateFile的ObOpenObjectByName来完成，其为一个对象管理的内核函数。 通过源码查看文件创建源码的关键部分 ObOpenObjectByName函数中主要完成的2个工作是调用ObpLookupObjectName函数即对应我们真正的文件内核对象，并通过ObpCreateHandle完成内核对象到指定句柄表的插入。 （编辑：江门站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐