开启辅助访问 切换到宽版

精易论坛

 找回密码
 注册

QQ登录

只需一步，快速开始

用微信号发送消息登录论坛

新人指南 邀请好友注册 - 我关注人的新帖 教你赚取精币 - 每日签到


求职/招聘- 论坛接单- 开发者大厅

论坛版规 总版规 - 建议/投诉 - 应聘版主 - 精华帖总集 积分说明 - 禁言标准 - 有奖举报

精易论坛»论坛 › 技术专区 › 更多子版块 › 汇编学习资料区 › CreateFile Bypass Filter
返回列表 发新帖
查看: 1594|回复: 1
收起左侧

[图文教程] CreateFile Bypass Filter

[复制链接]
殇桀
结帖率：53% (9/17)
发表于 2013-3-30 10:39:32 | 显示全部楼层 |阅读模式   广东省中山市
代码目的是用IoCreateFileSpecifyDeviceObjectHint打开文件，绕过fsfilter

其中判断只打开非系统卷（通过注册表识别）
同时，当卷未加载时，使用一个技巧(IoVerifyVolume)来间接调用IopMountVolume，让卷的设备在FS上能找到（VPB有底层设备）

是以前为了解决卡巴2010的一个脑残BUG写的，最后没使用，不过注册表识别系统卷和强制挂载卷的方法还是比较有意思的。
  1. <li>

  3. </li><li>

  5. </li><li>

  7. </li><li>

  9. </li><li>PVOID pIoCreateFileSpecifyDeviceObjectHint = 0 ;

  11. </li><li>extern POBJECT_TYPE *IoDeviceObjectType;

  13. </li><li>ULONG SystemVolumeIndex = 0xffffffff;

  15. </li><li>NTSTATUS MyIoCreateFile(

  17. </li><li>                                                                             
  18.             OUT PHANDLE FileHandle,

  20. </li><li>                                                                             
  21.             IN ACCESS_MASK DesiredAccess,

  23. </li><li>                                                                             
  24.             IN POBJECT_ATTRIBUTES ObjectAttributes,

  26. </li><li>                                                                             
  27.             OUT PIO_STATUS_BLOCK IoStatusBlock,

  29. </li><li>                                                                             
  30.             IN PLARGE_INTEGER AllocationSize OPTIONAL,

  32. </li><li>                                                                             
  33.             IN ULONG FileAttributes,

  35. </li><li>                                                                             
  36.             IN ULONG ShareAccess,

  38. </li><li>                                                                             
  39.             IN ULONG Disposition,

  41. </li><li>                                                                             
  42.             IN ULONG CreateOptions,

  44. </li><li>                                                                             
  45.             IN PVOID EaBuffer OPTIONAL,

  47. </li><li>                                                                             
  48.             IN ULONG EaLength,

  50. </li><li>                                                                             
  51.             IN CREATE_FILE_TYPE CreateFileType,

  53. </li><li>                                                                             
  54.             IN PVOID ExtraCreateParameters OPTIONAL,

  56. </li><li>                                                                             
  57.             IN ULONG Options

  59. </li><li>                                                                             
  60.             )

  62. </li><li>{

  64. </li><li>        NTSTATUS stat ;

  66. </li><li>        LPWSTR pPathVolume;

  68. </li><li>        ULONG volumeindex ;

  70. </li><li>        WCHAR VolumePath[13] = L"\\GLOBAL??\\A:";

  72. </li><li>        HANDLE LinkHandle ;

  74. </li><li>        OBJECT_ATTRIBUTES oba ;

  76. </li><li>        PDEVICE_OBJECT DeviceObject ;

  78. </li><li>

  80. </li><li>        if (pIoCreateFileSpecifyDeviceObjectHint == NULL || UserInit)

  82. </li><li>        {

  84. </li><li>                goto NormalCreateFile;

  86. </li><li>        }

  88. </li><li>        

  90. </li><li>        pPathVolume = ObjectAttributes->ObjectName->Buffer + 4;

  92. </li><li>        

  94. </li><li>        if (*pPathVolume >= L'A' && *pPathVolume <= L'Z')

  96. </li><li>        {

  98. </li><li>                volumeindex = *pPathVolume - L'A';

  100. </li><li>        }

  102. </li><li>        else if(*pPathVolume >= L'a' && *pPathVolume <=
  103. L'z')

  105. </li><li>        {

  107. </li><li>                volumeindex = *pPathVolume - L'a';

  109. </li><li>        }

  111. </li><li>        else

  113. </li><li>        {

  115. </li><li>                goto NormalCreateFile;

  117. </li><li>        }

  119. </li><li>

  121. </li><li>        if (pPathVolume[1] != L':' || pPathVolume[2] != L'\\')

  123. </li><li>        {

  125. </li><li>                goto NormalCreateFile;

  127. </li><li>        }

  129. </li><li>

  131. </li><li>        if (volumeindex == SystemVolumeIndex )

  133. </li><li>        {

  135. </li><li>                goto NormalCreateFile;

  137. </li><li>        }

  139. </li><li>

  141. </li><li>        if (VolumeBaseDevObjCache[volumeindex] == 0 )

  143. </li><li>        {

  145. </li><li>                UNICODE_STRING uniname ;

  147. </li><li>                HANDLE KeyHandle ;

  149. </li><li>                UNICODE_STRING DevUniName;

  151. </li><li>                PVOID pKeyInfo ;

  153. </li><li>                ULONG btr ;

  155. </li><li>                LPWSTR pDeviceName ;

  157. </li><li>                PKEY_VALUE_PARTIAL_INFORMATION KeyValueInfo ;

  159. </li><li>                PFILE_OBJECT FileObject ;

  161. </li><li>

  163. </li><li>                VolumePath[10] = VolumePath[10] + volumeindex ;

  165. </li><li>

  167. </li><li>

  169. </li><li>                RtlInitUnicodeString(&uniname ,
  170. L"\\Registry\\Machine\\SYSTEM\\Setup");

  172. </li><li>                InitializeObjectAttributes(&oba , &uniname ,
  173. OBJ_CASE_INSENSITIVE , 0 , 0);

  175. </li><li>                stat = ZwOpenKey(&KeyHandle , KEY_ALL_ACCESS ,
  176. &oba);

  178. </li><li>               

  180. </li><li>                if (!NT_SUCCESS(stat))

  182. </li><li>                {

  184. </li><li>                        goto NormalCreateFile;

  186. </li><li>                }

  188. </li><li>                pKeyInfo = ExAllocatePool(NonPagedPool ,
  189. sizeof(KEY_VALUE_PARTIAL_INFORMATION)+ MAX_PATH * sizeof(WCHAR));

  191. </li><li>               

  193. </li><li>                if (!pKeyInfo)

  195. </li><li>                {

  197. </li><li>                        ZwClose(KeyHandle);

  199. </li><li>                        goto NormalCreateFile;

  201. </li><li>                }

  203. </li><li>                RtlInitUnicodeString(&uniname , L"SystemPartition");

  205. </li><li>                stat = ZwQueryValueKey(KeyHandle ,

  207. </li><li>                                                                &uniname
  208. ,

  210. </li><li>                                                               
  211. KeyValuePartialInformation ,

  213. </li><li>                                                               
  214. pKeyInfo  ,

  216. </li><li>                                                               
  217. sizeof(KEY_VALUE_PARTIAL_INFORMATION) + MAX_PATH * sizeof(WCHAR) ,

  219. </li><li>                                                                &btr
  220. );

  222. </li><li>                ZwClose(KeyHandle);

  224. </li><li>

  226. </li><li>                if (!NT_SUCCESS(stat))

  228. </li><li>                {

  230. </li><li>                        ExFreePool(pKeyInfo);

  232. </li><li>                        goto NormalCreateFile;

  234. </li><li>                }

  236. </li><li>               

  238. </li><li>                RtlInitUnicodeString(&uniname, VolumePath);

  240. </li><li>                InitializeObjectAttributes(&oba  , &uniname ,
  241. OBJ_CASE_INSENSITIVE , 0 , 0  );

  243. </li><li>                        

  245. </li><li>                        

  247. </li><li>                stat = ZwOpenSymbolicLinkObject(&LinkHandle ,
  248. SYMBOLIC_LINK_QUERY , &oba );

  250. </li><li>

  252. </li><li>                if (!NT_SUCCESS(stat))

  254. </li><li>                {

  256. </li><li>                        ExFreePool(pKeyInfo);

  258. </li><li>                        goto NormalCreateFile;

  260. </li><li>

  262. </li><li>                }

  264. </li><li>                pDeviceName = ExAllocatePool(NonPagedPool ,
  265. MAX_PATH*sizeof(WCHAR));

  267. </li><li>

  269. </li><li>                if (!pDeviceName)

  271. </li><li>                {

  273. </li><li>                        ExFreePool(pKeyInfo);

  275. </li><li>                        ZwClose(LinkHandle);

  277. </li><li>                        goto NormalCreateFile;

  279. </li><li>                }

  281. </li><li>

  283. </li><li>                RtlInitUnicodeString(&DevUniName , pDeviceName);

  285. </li><li>

  287. </li><li>                DevUniName.MaximumLength = MAX_PATH * sizeof(WCHAR);

  289. </li><li>

  291. </li><li>                stat = ZwQuerySymbolicLinkObject(LinkHandle ,
  292. &DevUniName , NULL);

  294. </li><li>        

  296. </li><li>                ZwClose(LinkHandle);

  298. </li><li>               

  300. </li><li>                if (!NT_SUCCESS(stat))

  302. </li><li>                {

  304. </li><li>                        ExFreePool(pKeyInfo);

  306. </li><li>                        ExFreePool(pDeviceName);

  308. </li><li>                }

  310. </li><li>

  312. </li><li>                KeyValueInfo = (PKEY_VALUE_PARTIAL_INFORMATION)pKeyInfo ;


  315. </li><li>                if (_wcsnicmp(pDeviceName , &KeyValueInfo->Data ,
  316. DevUniName.Length / sizeof(WCHAR)) == 0)

  318. </li><li>                {

  320. </li><li>                        SystemVolumeIndex = volumeindex ;

  322. </li><li>                        ExFreePool(pKeyInfo);

  324. </li><li>                        ExFreePool(pDeviceName);

  326. </li><li>                        goto NormalCreateFile;

  328. </li><li>                }

  330. </li><li>

  332. </li><li>                ExFreePool(pKeyInfo);

  334. </li><li>

  336. </li><li>

  338. </li><li>                stat = IoGetDeviceObjectPointer(&DevUniName ,

  340. </li><li>                        FILE_READ_ATTRIBUTES ,

  342. </li><li>                        &FileObject ,

  344. </li><li>                        &DeviceObject );

  346. </li><li>

  348. </li><li>                ExFreePool(pDeviceName);

  350. </li><li>

  352. </li><li>                if (!NT_SUCCESS(stat))

  354. </li><li>                {

  356. </li><li>                        goto NormalCreateFile ;

  358. </li><li>                }

  360. </li><li>

  362. </li><li>                DeviceObject =
  363. IoGetBaseFileSystemDeviceObject(FileObject);

  365. </li><li>        

  367. </li><li>        

  369. </li><li>                if (DeviceObject == FileObject->DeviceObject)

  371. </li><li>                {

  373. </li><li>                        //DbgPrint("device object not mounted! %08x\n" ,
  374. DeviceObject);

  376. </li><li>                        stat = IoVerifyVolume(DeviceObject , FALSE);

  378. </li><li>                        if (!NT_SUCCESS(stat))

  380. </li><li>                        {

  382. </li><li>                                //DbgPrint("try mounte volume failed
  383. %08x\n", stat);

  385. </li><li>                                ObDereferenceObject(FileObject);

  387. </li><li>                                goto NormalCreateFile ;

  389. </li><li>                        }

  391. </li><li>                        //DbgPrint("mount volume OK\n");

  393. </li><li>                        if (DeviceObject->Vpb &&
  394. DeviceObject->Vpb->DeviceObject)

  396. </li><li>                        {

  398. </li><li>                                DeviceObject =
  399. DeviceObject->Vpb->DeviceObject ;

  401. </li><li>                        }

  403. </li><li>                }

  405. </li><li>

  407. </li><li>                ObDereferenceObject(FileObject);

  409. </li><li>

  411. </li><li>        

  413. </li><li>                if (!DeviceObject)

  415. </li><li>                {

  417. </li><li>                        goto NormalCreateFile;

  419. </li><li>                }

  421. </li><li>

  423. </li><li>                VolumeBaseDevObjCache[volumeindex] = DeviceObject ;        


  426. </li><li>

  428. </li><li>        }

  430. </li><li>        else

  432. </li><li>        {

  434. </li><li>                DeviceObject = VolumeBaseDevObjCache[volumeindex];

  436. </li><li>        }

  438. </li><li>

  440. </li><li>        goto BypassCreateFile;

  442. </li><li>NormalCreateFile:

  444. </li><li>                        return IoCreateFile(FileHandle , DesiredAccess ,


  447. </li><li>                                ObjectAttributes , IoStatusBlock ,
  448. AllocationSize ,

  450. </li><li>                                FileAttributes , ShareAccess , Disposition ,
  451. CreateOptions , EaBuffer ,

  453. </li><li>                                EaLength , CreateFileType ,
  454. ExtraCreateParameters , Options);

  456. </li><li>

  458. </li><li>BypassCreateFile:

  460. </li><li>        

  462. </li><li>        __asm

  464. </li><li>        {

  466. </li><li>                        push DeviceObject

  468. </li><li>                        push Options

  470. </li><li>                        push ExtraCreateParameters

  472. </li><li>                        push CreateFileType

  474. </li><li>                        push EaLength

  476. </li><li>                        push EaBuffer

  478. </li><li>                        push CreateOptions

  480. </li><li>                        push Disposition

  482. </li><li>                        push ShareAccess

  484. </li><li>                        push FileAttributes

  486. </li><li>                        push AllocationSize

  488. </li><li>                        push IoStatusBlock

  490. </li><li>                        push ObjectAttributes

  492. </li><li>                        push DesiredAccess

  494. </li><li>                        push FileHandle

  496. </li><li>                        call pIoCreateFileSpecifyDeviceObjectHint

  498. </li><li>                        mov stat ,eax

  500. </li><li>                        

  502. </li><li>        }

  504. </li><li>        

  506. </li><li>        return stat ;

  508. </li><li>

  510. </li><li>}</li>
复制代码
回复

使用道具 举报

何小東
结帖率：100% (5/5)
发表于 2013-3-30 10:45:52 | 显示全部楼层   广东省惠州市
是什么的？？
回复 支持 反对

使用道具 举报

返回列表 发新帖
  高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则 致发广告者

发布主题 收藏帖子 返回列表

sitemap| 易语言源码| 易语言教程| 易语言论坛| 易语言模块| 手机版| 广告投放| 精易论坛
拒绝任何人以任何形式在本论坛发表与中华人民共和国法律相抵触的言论，本站内容均为会员发表，并不代表精易立场!
论坛帖子内容仅用于技术交流学习和研究的目的，严禁用于非法目的，否则造成一切后果自负！如帖子内容侵害到你的权益，请联系我们！
防范网络诈骗，远离网络犯罪 违法和不良信息举报电话0663-3422125，QQ： 793400750，邮箱：wp@125.la
Powered by Discuz! X3.4 揭阳市揭东区精易科技有限公司 ( 粤ICP备12094385号-1) 粤公网安备 44522102000125　增值电信业务经营许可证 粤B2-20192173

快速回复 返回顶部 返回列表