|
阅读：1475回复：4
识别文件打开是执行还是别的操作
在FILEMON 的 IRP_MJ_CREATE调度处整样判断可执行文件打开操作是否是被执行还是别的操作呢?
是通过相关的FileObject里的标志位还是别的东西! 我找到FILE_EXECUTE这个标志但不知对应的标识放在哪的? 有知道的请多多指点! |
|
最新喜欢： tmx21
|
|
沙发#
发布于：2005-05-31 17:14
整没人回答呢!
是分不够! 还是太低级了 哟! 通过别的方法也可以!但我想在文件驱动里也能实现的! |
|
|
|
板凳#
发布于：2005-05-31 19:17
看currentIrpStack->Parameters.Create.SecurityContext->DesiredAccess，对应于ZwCreateFile中的DesireAccess,
|
|
|
地板#
发布于：2005-06-01 15:10
谢谢zhaock 的回复,我去试一试
我还有一个老掉牙的问题: 我整样得到远程访问本地硬盘文件的远端的IP地址呢? 可以根据令牌判断是来自远方的访问了! |
|
|
|
地下室#
发布于：2005-06-02 19:16
通过Token就可以得到SID,接着就可以得到用户名
|
|
|
