谁知道程序写出一个文件，在调用用“WriteFile”前。。。

ojajo · 发表于 2021-5-4 06:58:03

谁知道程序写出一个文件到硬盘，在调用“WriteFile()”前，除了通过调用“CreateFileA()”创建一个空文件，还有什么类似的API能创建空文件的？

sunsir · 发表于 2021-5-4 08:21:56

写到文件（）

ojajo · 发表于 2021-5-4 08:24:34

sunsir 发表于 2021-5-4 08:21
写到文件（）

经反汇编查看易语言的“写到文件”命令是用“CreateFileA()”、WriteFile()这两个API封装的呢

ojajo · 发表于 2021-5-4 08:29:53

有这疑问的原因主要是：有一个程序，我想通过HOOK,阻它向硬盘写入图片文件，在rin3层用apihook了“CreateFileA()”、WriteFile()这两函数，发现，只拦截到了WriteFile()，把此函数阻止掉后，这程序还是会在硬盘在产生一个0KB的空文件*.PNG文件。所以在想，除了hook“CreateFileA()”、WriteFile()，还得再hook一个其它的函数才行，现在就是部知道该hook哪一个函数了。。。

ojajo · 发表于 2021-5-4 08:31:18

ojajo 发表于 2021-5-4 08:29
有这疑问的原因主要是：有一个程序，我想通过HOOK,阻它向硬盘写入图片文件，在rin3层用apihook了“CreateFi ...

CreateFileW、CreateFile2也HOOK过了，还是不行

同学麻烦让让 · 发表于 2021-5-4 10:14:47

试试HOOK openfile

不要再艾特我了 · 发表于 2021-5-4 11:11:43

ojajo 发表于 2021-5-4 08:29
有这疑问的原因主要是：有一个程序，我想通过HOOK,阻它向硬盘写入图片文件，在rin3层用apihook了“CreateFi ...

为啥不直接删除掉了都hook了给他ret 空然后删除这个文件

11665583 · 发表于 2021-5-4 20:10:32

3环的就一个createfile吧,低层应该是到 ZwCreateFile ,0环就是NtCreateFile.
如果ZwCreateFile断不下来,那估计就是自己拷贝了一个ZwCreateFile来创建文件的,你只能去找他代码了.

ojajo · 发表于 2021-5-4 21:13:44

htpidk 发表于 2021-5-4 10:14
试试HOOK openfile

带"openfile"字眼的函数全Hook了遍，还是没逮中这程序的调用，依然在往硬盘写空文件

ojajo · 发表于 2021-5-4 21:15:30

不要再艾特我了发表于 2021-5-4 11:11
为啥不直接删除掉了都hook了给他ret 空然后删除这个文件

现只hook了WriteFile，只能阻止它往硬盘写数据，当不能阻止它在硬盘上建立空文件。。。

		自动登录	找回密码
密码			注册

[易语言] 谁知道程序写出一个文件，在调用用“WriteFile”前。。。