初探文件系统过滤驱动

2013年第10期 初探文件系统微过滤驱动 文/图 李旭昇 文件系统微过滤驱动（File System Mini-Filter，简称MiniFilter）是微软为了简化文件过滤驱动开发过程而设计的新一代文件过滤框架。MiniFilter通过向过滤管理器（Filter Manager，简称FltMgr）注册想要过滤的I/O操作来间接地附加到文件系统设备栈上。FltMgr是一个传统的文件过滤驱动，运行在内核模式，向第三方MiniFilter提供文件过滤驱动的常用功能。如图1所示是一个简化的I/O设备栈，其中有一个FltMgr和三个MiniFilter。

图1 简化的I/O设备栈 针对每一种I/O操作，MiniFilter只需注册预处理回调（pre-operation callback）和后处理回调（post-operation callback）即可。FltMgr会恰当的处理IRP并在I/O操作的前、后调用上述两个回调。 与传统过滤驱动相比，MiniFilter优势明显。首先，MiniFilter代码十分简洁，开发迅速。除去一些必要的注册工作，我们只需提供两个回调就可以完成对一种I/O操作的过滤（甚至可以只提供一个，将另一个设为NULL）。对于我们不感兴趣的I/O操作，FltMgr将完成基本的处理并继续传递。其次，MiniFilter是微软文档化的方法，具有良好的稳定性与跨平台性，一份代码不需修改便可以在不同系统上工作。另外，FltMgr还提供了许多通用的函数，帮助我们获得文件名等有用的信息。 下面我们动手编写一个MiniFilter。DriverEntry中通过FltRegisterFilter注册MiniFilter，再通过FltStartFiltering开始过滤。

extern "C" NTSTATUS DriverEntry( _In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath ) { DriverObject->DriverUnload=Unload;

黑客防线 www.hacker

.

com.cn

转载请注明出处2013年第10期 DbgPrint("Load!\n"); NTSTATUS status; //注册MiniFilter status=FltRegisterFilter(DriverObject,&FilterRegistration,&FilterHandle); if(!NT_SUCCESS(status)) { DbgPrint("Fail to Register.\n"); DbgPrint("%d\n",status==STATUS_OBJECT_NAME_NOT_FOUND); return STATUS_SUCCESS; } //开始过滤 status=FltStartFiltering(FilterHandle); if(!NT_SUCCESS(status)) { //启动失败，取消注册，返回 FltUnregisterFilter(FilterHandle); DbgPrint("Fail to Start.\n"); return STATUS_SUCCESS; }

DbgPrint("MiniFilter Started!!!\n"); return STATUS_SUCCESS; }

FltRegisterFilter的原型为： NTSTATUS FltRegisterFilter( _In_ PDRIVER_OBJECT Driver, _In_ const FLT_REGISTRATION *Registration, _Out_ PFLT_FILTER *RetFilter ); 第一个参数为驱动对象，即DriverEntry中传入的参数；第二个参数指向FLT_REGISTRATION结构，我们稍后详细介绍；第三个参数是返回的MiniFilter句柄，需要保存在全局变量中，因为函数FltStartFiltering和FltUnregisterFilter都要用到它。注册成功后，调用FltStartFiltering开始过滤，如果启动失败，就调用FltUnregisterFilter取消注册。 FLT_REGISTRATION结构定义如下：

typedef struct _FLT_REGISTRATION { USHORT Size; USHORT Version; FLT_REGISTRATION_FLAGS Flags; const FLT_CONTEXT_REGISTRATION *ContextRegistration; const FLT_OPERATION_REGISTRATION *OperationRegistration;

黑客防线 www.hacker

.

com.cn

转载请注明出处2013年第10期 PFLT_FILTER_UNLOAD_CALLBACK FilterUnloadCallback; PFLT_INSTANCE_SETUP_CALLBACK InstanceSetupCallback; PFLT_INSTANCE_QUERY_TEARDOWN_CALLBACK InstanceQueryTeardownCallback; PFLT_INSTANCE_TEARDOWN_CALLBACK InstanceTeardownStartCallback; PFLT_INSTANCE_TEARDOWN_CALLBACK InstanceTeardownCompleteCallback; PFLT_GENERATE_FILE_NAME GenerateFileNameCallback; PFLT_NORMALIZE_NAME_COMPONENT NormalizeNameComponentCallback; PFLT_NORMALIZE_CONTEXT_CLEANUP NormalizeContextCleanupCallback; } FLT_REGISTRATION, *PFLT_REGISTRATION;

Size为结构的大小，按部就班的设为sizeof(FLT_REGISTRATION)即可；Version为版本，必须设为FLT_REGISTRATION_VERSION；FilterUnloadCallback在MiniFilter卸载时被调用，不提供该函数将导致MiniFilter不能卸载，会带来许多不便。我们将其设为FileFilterUnload，代码很简单，只需用FltUnregisterFilter取消MiniFilter的注册即可。这里需要注意，在DriverUnload例程中，我们不能再次调用FltUnregisterFilter，这是因为FltMgr已经调用过FilterUnloadCallback，MiniFilter已经被取消注册，再次取消注册将导致蓝屏。 OperationRegistration为一组FLT_OPERATION_REGISTRATION结构，其结束标志为IRP_MJ_OPERATION_END。FLT_OPERATION_REGISTRATION结构的定义如下：

typedef struct _FLT_OPERATION_REGISTRATION { UCHAR MajorFunction; FLT_OPERATION_REGISTRATION_FLAGS Flags; PFLT_PRE_OPERATION_CALLBACK PreOperation; PFLT_POST_OPERATION_CALLBACK PostOperation; PVOID Reserved1; } FLT_OPERATION_REGISTRATION, *PFLT_OPERATION_REGISTRATION;

其中MajorFunction指定了我们感兴趣的I/O操作，PreOperation和PostOperation为相应的预处理回调和后处理回调。Flags设为0即可。我们只对IRP_MJ_CREATE感兴趣，并预处理回调FileFilterPreCreate和后处理回调FileFilterPostCreate。 const FLT_OPERATION_REGISTRATION Callbacks[] = { {IRP_MJ_CREATE, 0, (PFLT_PRE_OPERATION_CALLBACK)FileFilterPreCreate, (PFLT_POST_OPERATION_CALLBACK)FileFilterPostCreate}, {IRP_MJ_OPERATION_END} }; 读者可以自行修改Callbacks来添加对其他I/O操作的过滤。我们的后处理回调FileFilterPostCreate只是返回了FLT_POSTOP_FINISHED_PROCESSING，没有额外的操作。预处理回调FileFilterPreCreate的逻辑也不复杂，首先判断当前操作的文件的后缀名是否为virus，

黑客防线 www.hacker

.

com.cn

转载请注明出处