采用个hook技术对writefile函数进行拦截（2）-阿里云开发者社区

采用个hook技术对writefile函数进行拦截（2）

2018-03-10 1638

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： http://www.cnblogs.com/zhxfl/archive/2011/11/03/2233846.html 这个是笔者之前写过的WriteFile HOOK代码必须补充对这几个函数的HOOK，才能对WriteFile的所有操作做“比较彻底的拦截”，笔者知道应用层的拦截很容易出现遗漏的，只有编写驱动做文件过滤才会有比较好的效果，不过在实现那个之前，想再应用层做好这些实验，看一下效果。

http://www.cnblogs.com/zhxfl/archive/2011/11/03/2233846.html 这个是笔者之前写过的WriteFile HOOK代码

必须补充对这几个函数的HOOK，才能对WriteFile的所有操作做“比较彻底的拦截”，笔者知道应用层的拦截很容易出现遗漏的，只有编写驱动做文件过滤才会有比较好的效果，不过在实现那个之前，想再应用层做好这些实验，看一下效果。

具体的api函数参数可以在http://msdn.microsoft.com/en-us/library/aa365749%28VS.85%29.aspx里面翻出来

BOOL WriteFileEx(
HANDLE hFile,
LPCVOID lpBuffer,
DWORD nNumberOfBytesToWrite,
LPOVERLAPPED lpOverlapped,
LPOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine
);

BOOL WINAPI WriteFileGather(
  __in        HANDLE hFile,
  __in        FILE_SEGMENT_ELEMENT aSegmentArray[],
  __in        DWORD nNumberOfBytesToWrite,
  __reserved  LPDWORD lpReserved,
  __inout     LPOVERLAPPED lpOverlapped
);

View Code

进行了比较全面的拦截，不过会造成系统不稳定，特别是LoadLibararyExA和LoadLibararyExW函数的拦截。另外令人纠结的是fopen打开的文件写操作没有拦截成功，自然freopen这些重定向的也不能成功啦，所有应用层DLL注入的方法实现文件write的过滤是
非常不合理的想法，很难做全面的拦截，而且影响系统的正常运行。
全面的文件过滤在这个实验里面，不得不承认api hook技术无法承担这个重任，看来只有驱动层能够实现真正意义上的完整文件过滤