分享反上传以及扫描文件 HOOK ZwCreateFile源码

枫之阁

分享反上传以及扫描文件 HOOK ZwCreateFile源码

1. NTSTATUS __stdcall NewZwCreateFile(
   
2.         OUT PHANDLE             FileHandle,
   
3.         IN ACCESS_MASK          DesiredAccess,
   
4.         IN POBJECT_ATTRIBUTES   ObjectAttributes,
   
5.         OUT PVOID    IoStatusBlock,
   
6.         IN PLARGE_INTEGER       AllocationSize OPTIONAL,
   
7.         IN ULONG                FileAttributes,
   
8.         IN ULONG                ShareAccess,
   
9.         IN ULONG                CreateDisposition,
   
10.         IN ULONG                CreateOptions,
    
11.         IN PVOID                EaBuffer OPTIONAL,
    
12.         IN ULONG                EaLength)
    
13. {
    
14.         NTSTATUS status;
    
15.         ZwCreateFile_1 OldZwCreateFile;
    
16.         WCHAR lpwzDllName[260] = {0};
    
17.         WCHAR lpAttackDll[5][260] = {L"1",L"2",L"3",L"4"};//要保护的东西名称     当然你可以自己想办法过滤不是游戏和系统的东西全部给我禁止访问
    
18. 
    
19.         __try{
    
20.                 if (IsBadReadPtr(ObjectAttributes,sizeof(OBJECT_ATTRIBUTES)) == 0)
    
21.                 {
    
22.                         if (ValidateUnicodeString(ObjectAttributes->ObjectName))
    
23.                         {
    
24.                                 //效验unicode的有效性
    
25.                                 if (ObjectAttributes->ObjectName->Buffer != NULL &&
    
26.                                         ObjectAttributes->ObjectName->Length > 6)
    
27.                                 {
    
28.                                         memcpy(lpwzDllName,ObjectAttributes->ObjectName->Buffer,ObjectAttributes->ObjectName->Length);
    
29.                                         if (wcsstr(lpwzDllName,lpAttackDll[0]) != 0 ||
    
30.                                                 wcsstr(lpwzDllName,lpAttackDll[1]) != 0 ||
    
31.                                                 wcsstr(lpwzDllName,lpAttackDll[2]) != 0 ||
    
32.                                                 wcsstr(lpwzDllName,lpAttackDll[3]) != 0)
    
33.                                         {
    
34.                                                 //拒绝访问
    
35.                                                 return STATUS_ACCESS_DENIED;
    
36.                                         }
    
37.                                 }
    
38.                         }
    
39.                 }
    
40.         }__except(1){
    
41. 
    
42.         }
    
43.         OldZwCreateFile = (ZwCreateFile_1)ZwCreateFileHookZone;
    
44.         status = OldZwCreateFile(FileHandle,
    
45.                 DesiredAccess,
    
46.                 ObjectAttributes,
    
47.                 IoStatusBlock,
    
48.                 AllocationSize,
    
49.                 FileAttributes,
    
50.                 ShareAccess,
    
51.                 CreateDisposition,
    
52.                 CreateOptions,
    
53.                 EaBuffer,
    
54.                 EaLength);
    
55. 
    
56.         return status;

复制代码