【分享】minifilter透明加解密源码

wanted999 驱动牛犊注册日期2006-03-28 最后登录2012-08-13 粉丝0 关注0 积分519分威望429点贡献值0点好评度48点原创分0分专家分0分加关注写私信	120楼^# 发布于：2010-02-23 08:39 谢谢分享
	回复(0) 喜欢(0)

l.daniel 驱动牛犊注册日期2009-12-30 最后登录2010-04-19 粉丝0 关注0 积分5分威望51点贡献值0点好评度0点原创分0分专家分0分加关注写私信	121楼^# 发布于：2010-02-18 23:21 thx a lot!!!
	回复(0) 喜欢(0)

taiji78 驱动牛犊注册日期2009-12-08 最后登录2012-08-16 粉丝0 关注0 积分32分威望261点贡献值0点好评度0点原创分0分专家分0分加关注写私信	122楼^# 发布于：2010-02-10 18:01 我的EMAIL:taiji78@126.com 非常希望得到大侠的指点，谢谢！
	回复(0) 喜欢(0)

taiji78

驱动牛犊

注册日期2009-12-08
最后登录2012-08-16
粉丝0
关注0
积分32分
威望261点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

123楼^#

发布于：2010-02-10 17:48

Re:回 6楼(taiji78) 的帖子

引用第10楼shenhui于2010-02-04 12:22发表的回 6楼(taiji78) 的帖子 :
上层有些不是我做的，所以也不好给大家。

请问shenhui大侠，我在DriverEntry中加入了
PROCESS_INFO processinfo;
........................
Psi_AddProcessInfo("WINWORD.EXE",TRUE);
processinfo.bMonitor=TRUE;
memcpy(processinfo.szProcessName,""WINWORD.EXE",16);
Psi_SetProcessMonitor(&processinfo,FALSE);

然后监控WORD时，WINDBG 设断点，发现不能中断在IRP_MJ_WRITE的PRE/POST函数上。
在IRP_MJ_CREATE中断时，竟是只能截获对目录进行打开。

请shenhui大侠给个测试方案吧，多谢！

不用公开应用层的源代码，就在驱动层做，设置上监控WORD，应该怎么做呢？

回复喜欢

wayitech 驱动牛犊注册日期2006-08-25 最后登录2018-01-24 粉丝1 关注1 积分33分威望273点贡献值0点好评度2点原创分0分专家分0分加关注写私信	124楼^# 发布于：2010-02-09 09:36 谢谢，看看
	回复(0) 喜欢(0)

shenhui

驱动小牛

注册日期2006-05-11
最后登录2023-02-10
粉丝14
关注11
积分142分
威望1314点
贡献值1点
好评度146点
原创分0分
专家分1分

加关注写私信

125楼^#

发布于：2010-02-04 12:22

回 6楼(taiji78) 的帖子

上层有些不是我做的，所以也不好给大家。

作一名真实，诚实，优秀的科技工作者！

回复喜欢

nth2say 驱动牛犊注册日期2009-10-09 最后登录2014-03-17 粉丝1 关注0 积分28分威望281点贡献值0点好评度0点原创分0分专家分0分加关注写私信	126楼^# 发布于：2010-01-29 23:37 呵呵经常在osr上看到shenhui兄提问题。。很勤奋呢。
	回复(0) 喜欢(0)

goodone

驱动牛犊

注册日期2007-01-30
最后登录2014-04-30
粉丝3
关注0
积分372分
威望174点
贡献值0点
好评度35点
原创分0分
专家分0分

加关注写私信

127楼^#

发布于：2010-01-28 14:06

好贴就要顶起来

支持！

栀子花驿站 www.zhizihua.com

回复喜欢

vigour001 驱动牛犊注册日期2009-06-02 最后登录2010-01-28 粉丝0 关注0 积分1分威望11点贡献值0点好评度0点原创分0分专家分0分加关注写私信	128楼^# 发布于：2010-01-28 10:12 非常感谢
	回复(0) 喜欢(0)

taiji78 驱动牛犊注册日期2009-12-08 最后登录2012-08-16 粉丝0 关注0 积分32分威望261点贡献值0点好评度0点原创分0分专家分0分加关注写私信	129楼^# 发布于：2010-01-27 22:06 怎么测试呀？测试用的程序也发上来吧，非常感谢楼主！！
	回复(0) 喜欢(0)

nobounded 驱动小牛注册日期2003-08-14 最后登录2011-07-07 粉丝0 关注0 积分360分威望258点贡献值0点好评度32点原创分0分专家分0分加关注写私信	130楼^# 发布于：2010-01-27 17:45 论坛中的好人啊，期待有人搞清楚怎么才能不与Norton等杀毒软件冲突。
	回复(0) 喜欢(0)

zhsh200 驱动牛犊注册日期2005-01-27 最后登录2013-07-18 粉丝0 关注0 积分25分威望212点贡献值1点好评度54点原创分0分专家分0分加关注写私信	131楼^# 发布于：2010-01-26 10:15 用于学习还是非常不错的资料，但是这种用强刷缓存的方法，会带来系统一定的不稳定性。
	回复(0) 喜欢(0)

kuaixue1023 驱动牛犊注册日期2009-11-10 最后登录2016-01-09 粉丝0 关注0 积分21分威望201点贡献值0点好评度0点原创分0分专家分0分加关注写私信	132楼^# 发布于：2010-01-25 20:44 谢谢shenhui兄，看到以前你在OSR的一篇讨论，小弟有些细节想具体问一下，能够邮件联系吗，本人邮箱546439028@qq.com
	回复(0) 喜欢(0)

shenhui

驱动小牛

注册日期2006-05-11
最后登录2023-02-10
粉丝14
关注11
积分142分
威望1314点
贡献值1点
好评度146点
原创分0分
专家分1分

加关注写私信

133楼^#

发布于：2010-01-25 17:27

多谢兄弟！

作一名真实，诚实，优秀的科技工作者！

回复喜欢

dtod 驱动牛犊注册日期2006-07-20 最后登录2013-09-09 粉丝0 关注0 积分418分威望355点贡献值0点好评度54点原创分0分专家分0分加关注写私信	134楼^# 发布于：2010-01-25 16:40 DriverEntry中 Register engine with FltMgr 注册失败的时候应该调用下ExDeleteNPagedLookasideList( &Pre2PostContextList ); 在我这FltRegisterFilter就失败返回c0000034 ？？如果不加ExDeleteNPagedLookasideList( &Pre2PostContextList ); 清除LookasideList 就蓝了
	回复(0) 喜欢(0)

您需要登录后才可以回帖，登录或者注册