阅读:1226回复:0
rootkit 中 RelatedFileObject的问题
rootkit中有一段没有用到的代码:
void _stdcall GetFileFullPath( PFILE_OBJECT pfo, WCHAR **ppsw, PULONG pdwSize ) { PFILE_OBJECT pfoRelated = pfo->RelatedFileObject; if( pfoRelated != NULL ) { GetFileFullPath( pfoRelated, ppsw, pdwSize ); *(*ppsw)++ = 0x5c; } if( (*pdwSize) >= pfo->FileName.Length ) { RtlCopyMemory( *ppsw, pfo->FileName.Buffer, pfo->FileName.Length ); *ppsw += (pfo->FileName.Length/2); (*pdwSize) -= pfo->FileName.Length; } **ppsw = 0; } 它只从RelatedFileObject中构造路径, 没用到FileObject->FileName. 不知道这样完整不完整, 会不会缺少X:\这样的磁盘名? |
|
|