hook pte_简单HOOK SSDT实现文件防删除

被玩烂了的SSDT,索性就让它更烂吧,没啥技术含量,只是想增进下和驱动的感情,慢慢跟上那帮人的步伐。关于SSDT的描述,推荐看下堕落天才的文章:http://bbs.pediy.com/showthread.php?t=40832。

OD跟踪DeleteFile API的执行流程,会大致看到这样的调用:

DeleteFileA -> DeleteFileW -> ntdll.ZwSetInformationFile

ntdll.ZwSetInformationFile后就转到调用内核里的ZwSetInformationFile了,只要HOOK内核里的ZwSetInformationFile,然后比较一下文件名,与要保护的文件名相同时返回拒绝访问就行了。ZwSetInformationFile在SSDT里的服务号可以在函数地址+1的地方取出:

lkd> u nt!ZwSetInformationFile

nt!ZwSetInformationFile:

805013d4 b8e0000000      mov     eax,0E0h

805013d9 8d542404        lea     edx,[esp+4]

805013dd 9c              pushfd

805013de 6a08            push    8

下面是个驱动代码(cpp),加载后C:\StarsunYzL.txt文件将无法正常删除:

你可能感兴趣的:(hook,pte)