Stopper hook ZwCreateFileRésolu

Question

Bonjour à tous,

Je vous expose mon problème :

J'ai créer un driver pour hooker la fonction ZwCreateFile, cela marche presque bien, je fais le traitement que je veux lors de l'ouverture d'un fichier. Le problème, c'est que j'aimerais que le fichier ne s'ouvre pas ensuite.

J'aimerais qu'à la fin de la fonction hookZwCreateFile, il ne se passe plus rien, car en ce moment, lorsque je hook ZwCreateFile, mon driver effectue le traitement sur l'ouverture du fichier et ensuite ouvre le fichier. Moi, j'aimerais qu'il n'ouvre pas le fichier.

J'ai essayé en passant des retours bidon, mais cela m'indique que le handle est invalide.

Merci d'avance pour vos réponses.

cs_yex · Accepted Answer

Si ton but est de filtrer des fichiers, un hook sur ZwCreateFile n'est pas forcement la methode la plus judicieuse. On peut définir sous windows des driver de filtres voir le document "Filter Driver Development Guide". Je me suis toujours dit qu'il fallait que j'en fasse un un jour et je n'ai toujours pas eu le temps de m'y mettre :(

racpp · Answer

Salut,
Généralement les fonctions de hook des fonctions du kernel interceptent l'appel, traitent les paramètres et finissent par appeler la fonction originale pour ne pas perturber le fonctionnement du système. Si dans certains cas on souhaite bloquer l'accès à la fonction originale, il suffit de ne pas appeler cette dernière dans la fonction de hook et retourner une valeur d'erreur immédiatement.

chevalboiteux · Answer

Bonne idée !! mais j'y avais déjà pensé et j'ai essayé. Mais même en retournant une valeur d'erreur, il continue à essayer d'ouvrir le fichier et c'est là qu'il me dit que le handle est incorrect.

LA valeur de retour est de type NTSTATUS, si tu connais la valeur de retour qu'il faut donner, merci de me l'indiquer.

racpp · Answer

Je n'ai pas bien compris ce que tu veux faire exactement. Normalement, c'est l'application en User-Mode qui décidera de l'action à entreprendre en cas d'échec de CreateFile(). Cette dernière appelle NTCreateFile() qui à son tour appelle zwCreateFile(). Si ta fonction zwCreateFile() retourne une valeur d'erreur, celle-ci sera reconduite vers l'application appelante (User-Mode) qui attend une valeur de retour et affichera un message d'erreur ou agira autrement. Mais dans tous les cas le fichier ne sera pas ouvert (ou créé). Il y'a beaucoup de valeurs de retour NTSTATUS que tu peux utiliser. Exemples:
STATUS_OBJECT_NAME_NOT_FOUND
STATUS_OBJECT_NAME_INVALID
STATUS_OBJECT_PATH_NOT_FOUND
STATUS_OBJECT_PATH_INVALID
Tu peux même retourner STATUS_SUCCESS et mettre le handle du fichier à INVALID_HANDLE_VALUE qui correspond à -1 ou 0xFFFFFFFF:
*pHandle=(HANDLE)-1;
return STATUS_SUCCESS;

chevalboiteux · Answer

Je susi d'accord avec toi sur le raisonnement, mais le problème c'est que par exemple, si je double-clique sur un fichier.txt, le notepad de Windows s'ouvre et me renvoie le message d'erreur "Le handle est invalide".

Donc je ne vois pas comment faire pour que l'application par defaut ne s'ouvre pas.

chevalboiteux · Answer

Sinon, je vais essayer avec les codes d'erreurs que tu m'as donné.

chevalboiteux · Answer

@ yes : Connais-tu de bons tutoriels pour faire des Filter Driver ?

Stopper hook ZwCreateFile

7 réponses

Votre réponse