对于开启了TypeInfo.SupportsObjectCallbacks属性的驱动来说自然就支持文件路径转换，当系统中有文件被加载则自动执行LySharkFileObjectpreCall回调事件，过滤掉无效路径后即可直接输出，完整代码如下所示；
// 署名权// right to sign one's name on a piece of work// PowerBy: LyShark// Email: me@lyshark.com#include "lyshark.h"PVOID obHandle;DRIVER_INITIALIZE DriverEntry;// 文件回调OB_PREOP_CALLBACK_STATUS LySharkFileObjectpreCall(PVOID RegistrationContext, POB_PRE_OPERATION_INFORMATION OperationInformation){ UNICODE_STRING DosName; PFILE_OBJECT fileo = OperationInformation->Object; HANDLE CurrentProcessId = PsGetCurrentProcessId(); UNREFERENCED_PARAMETER(RegistrationContext); if (OperationInformation->ObjectType != *IoFileObjectType) {return OB_PREOP_SUCCESS; } // 过滤无效指针 if (fileo->FileName.Buffer == NULL ||!MmIsAddressValid(fileo->FileName.Buffer) ||fileo->DeviceObject == NULL ||!MmIsAddressValid(fileo->DeviceObject)) {return OB_PREOP_SUCCESS; } // 过滤无效路径 if (!_wcsicmp(fileo->FileName.Buffer, L"\\Endpoint") ||!_wcsicmp(fileo->FileName.Buffer, L"?") ||!_wcsicmp(fileo->FileName.Buffer, L"\\.\\.") ||!_wcsicmp(fileo->FileName.Buffer, L"\\")) {return OB_PREOP_SUCCESS; } // 将对象转为DOS路径 RtlVolumeDeviceToDosName(fileo->DeviceObject, &DosName); DbgPrint("[LyShark] 进程PID = %ld | 文件路径 = %wZ%wZ \n", (ULONG64)CurrentProcessId, &DosName, &fileo->FileName); return OB_PREOP_SUCCESS;}VOID EnableObType(POBJECT_TYPE ObjectType){ PMY_OBJECT_TYPE myobtype = (PMY_OBJECT_TYPE)ObjectType; myobtype->TypeInfo.SupportsObjectCallbacks = 1;}VOID UnDriver(PDRIVER_OBJECT driver){ UNREFERENCED_PARAMETER(driver); ObUnRegisterCallbacks(obHandle);}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){ NTSTATUS status = STATUS_SUCCESS; PLDR_DATA ldr; DbgPrint("hello lyshark.com \n"); OB_CALLBACK_REGISTRATION obRegFileCallBack; OB_OPERATION_REGISTRATION opRegFileCallBack; // enable IoFileObjectType EnableObType(*IoFileObjectType); // bypass MmVerifyCallbackFunction ldr = (PLDR_DATA)Driver->DriverSection; ldr->Flags |= 0x20; // 初始化回调 memset(&obRegFileCallBack, 0, sizeof(obRegFileCallBack)); obRegFileCallBack.Version = ObGetFilterVersion(); obRegFileCallBack.OperationRegistrationCount = 1; obRegFileCallBack.RegistrationContext = NULL; RtlInitUnicodeString(&obRegFileCallBack.Altitude, L"321000"); obRegFileCallBack.OperationRegistration = &opRegFileCallBack; memset(&opRegFileCallBack, 0, sizeof(opRegFileCallBack)); opRegFileCallBack.ObjectType = IoFileObjectType; opRegFileCallBack.Operations = OB_OPERATION_HANDLE_CREATE | OB_OPERATION_HANDLE_DUPLICATE; opRegFileCallBack.PreOperation = (POB_PRE_OPERATION_CALLBACK)&LySharkFileObjectpreCall; status = ObRegisterCallbacks(&obRegFileCallBack, &obHandle); if (!NT_SUCCESS(status)) {DbgPrint("注册回调错误 \n");status = STATUS_UNSUCCESSFUL; } UNREFERENCED_PARAMETER(RegistryPath); Driver->DriverUnload = &UnDriver; return status;}运行这个驱动程序，当系统中有新文件被加载时则自动输出该文件所属进程PID以及该文件的详细路径 。

文章插图
至于如何阻止打开一个文件其实与《驱动开发：内核注册并监控对象回调》文章中使用的方法是一致的，首先判断OperationInformation->Operation是不是OB_OPERATION_HANDLE_CREATE或OB_OPERATION_HANDLE_DUPLICATE如果是，则直接设置Parameters->CreateHandleInformation.DesiredAccess为0直接拒绝加载 。
// 文件回调OB_PREOP_CALLBACK_STATUS LySharkFileObjectpreCall(PVOID RegistrationContext, POB_PRE_OPERATION_INFORMATION OperationInformation){ UNICODE_STRING DosName; PFILE_OBJECT fileo = OperationInformation->Object; HANDLE CurrentProcessId = PsGetCurrentProcessId(); UNREFERENCED_PARAMETER(RegistrationContext); if (OperationInformation->ObjectType != *IoFileObjectType) {return OB_PREOP_SUCCESS; } // 过滤无效指针 if (fileo->FileName.Buffer == NULL ||!MmIsAddressValid(fileo->FileName.Buffer) ||fileo->DeviceObject == NULL ||!MmIsAddressValid(fileo->DeviceObject)) {return OB_PREOP_SUCCESS; } // 过滤无效路径 if (!_wcsicmp(fileo->FileName.Buffer, L"\\Endpoint") ||!_wcsicmp(fileo->FileName.Buffer, L"?") ||!_wcsicmp(fileo->FileName.Buffer, L"\\.\\.") ||!_wcsicmp(fileo->FileName.Buffer, L"\\")) {return OB_PREOP_SUCCESS; } // 阻止打开lyshark_com.txt文本 if (wcsstr(_wcslwr(fileo->FileName.Buffer), L"lyshark_com.txt")) {if (OperationInformation->Operation == OB_OPERATION_HANDLE_CREATE){OperationInformation->Parameters->CreateHandleInformation.DesiredAccess = 0;}if (OperationInformation->Operation == OB_OPERATION_HANDLE_DUPLICATE){OperationInformation->Parameters->DuplicateHandleInformation.DesiredAccess = 0;}DbgPrint("[LyShark] 已拦截 lyshark_com 文件打开 \n"); } return OB_PREOP_SUCCESS;}

• 上一页
• 1
• 2
• 3
• 下一页

经验总结扩展阅读

• 

  2022年农历腊月初七开学典礼吉日 2022年12月29日适合开学典礼吗
• 

  2023年1月9日安装门户好吗 2023年1月9日是安装门户的黄道吉日吗
• 

  炒花蛤怎么做
• 

  一月份适合去哪里旅游 旅游景点告诉你
• 

  财运线杂乱的手相好不好
• 

  温州|行拘＋退学处理！温州高校深夜通报两起男生骚扰女性事件处理进展
• 

  鲈鱼蒸多久就可以熟了 鲈鱼蒸多长时间可以熟
• 

  抑郁症患者 抑郁症：若想走向康复与强大，你必须学会与自己的灵魂对话
• 

  白墙上的胶带留下印怎么去除
• 

  擦眼镜怎么擦才正确
• 

  宝宝咳嗽吃什么好得快
• 

  moss时尚圈过年了！来“蹦迪”的明星们用了什么？
• 

  罗兰会算命吗_啥八字的女人易被抛弃
• 

  菠萝蜜的功效及禁忌
• 

  出汗对痘印有改善吗对人体有哪些好处
• 

  福泉市的特色景点有哪些?
• 

  vivoT1和荣耀50哪个好_vivoT1和荣耀50参数对比
• 

  许三观卖血记|活着是生命的力量，活得好是人生的态度
• 

  水培铜钱草分盆分株的方法
• 

  什么东西好吃健康不胖

• 19 基于.NetCore开发博客项目 StarBlog - Markdown渲染方案探索
• 四十七 SpringCloud微服务实战——搭建企业级开发框架：【移动开发】整合uni-app搭建移动端快速开发框架-添加Axios并实现登录功能
• 【一】ERNIE：飞桨开源开发套件，入门学习，看看行业顶尖持续学习语义理解框架，如何取得世界多个实战的SOTA效果？
• 驱动开发：内核监控Register注册表回调
• 【pytest官方文档】解读-开发可pip安装的第三方插件
• 如何开发简单的游戏（自学开发一个游戏app)
• 个人如何开发手机游戏（如何自己开发一款手机游戏)
• 驱动开发：内核运用LoadImage屏蔽驱动
• 分享几个关于Camera的坑
• 二 京东云开发者| Redis数据结构-List、Hash、Set及Sorted Set的结构实现