电子文档交易市场
安卓APP | ios版本
电子文档交易市场
安卓APP | ios版本

麦洛克菲内核驱动开发第七课

39页
  • 卖家[上传人]:kms****20
  • 文档编号:56896823
  • 上传时间:2018-10-16
  • 文档格式:PPT
  • 文档大小:1.50MB
  • / 39 举报 版权申诉 马上下载
  • 文本预览
  • 下载提示
  • 常见问题
    • 1、麦洛克菲内核开发第七课 注册表callback 和重定向,麦洛克菲 ,程君,麦洛克菲,Callback提纲,Callback 相关函数 Callback 原理 Callback 实现功能,注册表重定向提纲,注册表的构成 注册表调用,Callback 相关函数,NTSTATUS CmRegisterCallback( IN PEX_CALLBACK_FUNCTION Function, IN PVOID Context, OUT PLARGE_INTEGER Cookie / 时间 ); NTSTATUS CmRegisterCallbackEx( IN PEX_CALLBACK_FUNCTION Function, IN PCUNICODE_STRING Altitude, IN PVOID Driver, IN PVOID Context, OUT PLARGE_INTEGER Cookie, PVOID Reserved ); Vista 以后使用,支持高度NTSTATUS CmUnRegisterCallback( IN LARGE_INTEGER Cookie );,Callb

      2、ack 相关函数,CmSetCallbackObjectContext( IN OUT PVOID Object, IN PLARGE_INTEGER Cookie, IN PVOID NewContext, OUT OPTIONAL PVOID *OldContext );主要用来在一个对象上设置相关的数据结构NTSTATUS CmCallbackGetKeyObjectID( IN PLARGE_INTEGER Cookie, IN PVOID Object, OUT OPTIONAL PULONG_PTR ObjectID, OUT OPTIONAL PCUNICODE_STRING *ObjectName); 主要用来在vista以后得到key 的名字PVOID CmGetBoundTransaction( in PLARGE_INTEGER Cookie, in PVOID Object ); VOID CmGetCallbackVersion( OUT OPTIONAL PULONG Major, OUT OPTIONAL PULONG Minor );,Callback

      3、相关函数,EX_CALLBACK_FUNCTION RegistryCallback; NTSTATUS RegistryCallback( _in PVOID CallbackContext, _in_opt PVOID Argument1, / / REG_NOTIFY_CLASS _in_opt PVOID Argument2 / KEY_INFORMATION ) switch( (REG_NOTIFY_CLASS) Argument1)case RegNtPreDeleteKey :return HOOK_PreNtDeleteKey(PREG_DELETE_KEY_INFORMATION) Argument2);case RegNtPreSetValueKey:return HOOK_PreNtSetValueKey(PREG_SET_VALUE_KEY_INFORMATION) Argument2);case RegNtPreDeleteValueKey:return HOOK_PreNtDeleteValueKey(PREG_DELETE_VALUE_KEY_INFOR

      4、MATION) Argument2);case RegNtPreRenameKey:return HOOK_PreNtRenameKey(PREG_RENAME_KEY_INFORMATION) Argument2);case RegNtPreCreateKeyEx:return HOOK_PreNtCreateKeyEx(PREG_CREATE_KEY_INFORMATION) Argument2);case RegNtPreCreateKeyEx: / pre 操作return HOOK_PreNtCreateKeyEx(PREG_CREATE_KEY_INFORMATION) Argument2);case RegNtPostCreateKeyEx : / post 操作return HOOK_PostNtCreateKeyEx(PRGG_POST_OPERATION_INFORMATION ) Argument2);,Callback 相关函数,Pre 操作 REG_XXX_KEY_INFORMATION 根据调用的各个不同REG_NOTIFY_CLASS 来决定 POST 操

      5、作 typedef struct _REG_POST_OPERATION_INFORMATION PVOID Object; / pre 操作后产生的对象 NTSTATUS Status; / pre 完成后将要返回给系统的状态PVOID PreInformation; / pre 的类信息 NTSTATUS ReturnStatus; / 如果要作修改,将要返回的状态 PVOID CallContext; / PVOID ObjectContext; / 可以pre 设置带到post里面来 PVOID Reserved; REG_POST_OPERATION_INFORMATION,*PREG_POST_OPERATION_INFORMATION;,整体框架,NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath) NTSTATUS ntStatus;ntStatus = CmRegisterCallback(MyRegistryCallback, NULL, ,NTST

      6、ATUS RegistryCallback( _in PVOID CallbackContext, _in_opt PVOID Argument1, / / REG_NOTIFY_CLASS _in_opt PVOID Argument2 / KEY_INFORMATION ) switch( (REG_NOTIFY_CLASS) Argument1) case RegNtPreDeleteKey : return HOOK_PreNtDeleteKey(PREG_DELETE_KEY_INFORMATION) Argument2);case RegNtPreRenameKey: return HOOK_PreNtRenameKey(PREG_RENAME_KEY_INFORMATION) Argument2);case RegNtPreCreateKeyEx: / pre 操作return HOOK_PreNtCreateKeyEx(PREG_CREATE_KEY_INFORMATION) Argument2);case RegNtPostCreateKeyEx : / post 操

      7、作 return HOOK_PostNtCreateKeyEx(PRGG_POST_OPERATION_INFORMATION ) ,NTSTATUS HOOK_PreNtDeleteKey(PREG_DELETE_KEY_INFORMATION Data) NTSTATUS status = 0;PUNICODE_STRING keyName;UNICODE_STRING uTarget;return STATUS_SUCCESS; ,Callback 实现的功能,Monitor 主要用在系统工具上,procmon,regmon Block 防御上,保护上等等 Modify Sandbox,虚拟化等等,Callback 实现的功能,MonitorRegistryCallback routine returns STATUS_SUCCESS BlockRegistryCallback routine NT_SUCCESS(status) equals FALSE, 这时候直接返回状态status 给系统调用,如果注册了post 操作的话,post 操作将不会执行,Callback 实现

      8、的功能,Modify 1. 修改REG_xxx_KEY_INFORMATION 结构里面的然后 Callback 函数返回STATUS_SUCCESS 2. 修改REG_POST_OPERATION_INFORMATION 结构里的ReturnStatus,然后Callback 函数返回STATUS_CALLBACK_BYPASS,Callback 设计核心思想,Window 操作系统的设计核心消息分发:应用层分层:从应用到内核回调:也相当于分层,其实回调应该是设计的一种接口形式,Callback 设计核心分层思想,Callback 设计核心思想,ntOpenKey() if(isCallback()return regcalllist-preOpen();if(isCallback()return regcalllist-postOpen(); ,1.在注册的时候把要注册的函数放到全局链表里2.在调用的时候,先判断是否注册,如果注册,调用函数,Callback 原理,NTSTATUSCmRegisterCallback(_in PEX_CALLBACK_FUNCTION Functi

      9、on, _in_opt PVOID Context,_out PLARGE_INTEGER Cookie)PEX_CALLBACK_ROUTINE_BLOCK RoutineBlock;ULONG i;PCM_CALLBACK_CONTEXT_BLOCK CmCallbackContext;PAGED_CODE();CmCallbackContext = (PCM_CALLBACK_CONTEXT_BLOCK)ExAllocatePoolWithTag (PagedPool, sizeof (CM_CALLBACK_CONTEXT_BLOCK), bcMC);if( CmCallbackContext = NULL ) return STATUS_INSUFFICIENT_RESOURCES;RoutineBlock = ExAllocateCallBack (Function,CmCallbackContext);if( RoutineBlock = NULL ) ExFreePool(CmCallbackContext);return STATUS_INSUFFICIENT_RESOURCES; / init the contextKeQuerySystemTime(,Callback 原理,

      《麦洛克菲内核驱动开发第七课》由会员kms****20分享,可在线阅读,更多相关《麦洛克菲内核驱动开发第七课》请在金锄头文库上搜索。

      点击阅读更多内容
    最新标签
    发车时刻表 长途客运 入党志愿书填写模板精品 庆祝建党101周年多体裁诗歌朗诵素材汇编10篇唯一微庆祝 智能家居系统本科论文 心得感悟 雁楠中学 20230513224122 2022 公安主题党日 部编版四年级第三单元综合性学习课件 机关事务中心2022年全面依法治区工作总结及来年工作安排 入党积极分子自我推荐 世界水日ppt 关于构建更高水平的全民健身公共服务体系的意见 空气单元分析 哈里德课件 2022年乡村振兴驻村工作计划 空气教材分析 五年级下册科学教材分析 退役军人事务局季度工作总结 集装箱房合同 2021年财务报表 2022年继续教育公需课 2022年公需课 2022年日历每月一张 名词性从句在写作中的应用 局域网技术与局域网组建 施工网格 薪资体系 运维实施方案 硫酸安全技术 柔韧训练 既有居住建筑节能改造技术规程 建筑工地疫情防控 大型工程技术风险 磷酸二氢钾 2022年小学三年级语文下册教学总结例文 少儿美术-小花 2022年环保倡议书模板六篇 2022年监理辞职报告精选 2022年畅想未来记叙文精品 企业信息化建设与管理课程实验指导书范本 草房子读后感-第1篇 小数乘整数教学PPT课件人教版五年级数学上册 2022年教师个人工作计划范本-工作计划 国学小名士经典诵读电视大赛观后感诵读经典传承美德 医疗质量管理制度 2 2022年小学体育教师学期工作总结 2022年家长会心得体会集合15篇
    关于金锄头网 - 版权申诉 - 免责声明 - 诚邀英才 - 联系我们
    手机版 | 川公网安备 51140202000112号 | 经营许可证(蜀ICP备13022795号)
    ©2008-2016 by Sichuan Goldhoe Inc. All Rights Reserved.