过滤驱动来实现文件访问控制.pdfVIP

2010年第 1期 福 建 电 脑 163 过滤驱动来实现文件访问控制 陈 晓．栾国森 (_~uAA学 电气信息学院 湖北 宜昌 443002) 【摘 要】：文件 系统的安全一直是windows安全的重点，本文介绍了WindowsNT系列操作系统下的文件系统结构及 过滤驱动原理 ，并提 出了利用系统过滤的方式实现文件 系统安全 的方案。 【关键词】：过滤驱动，文件 系统，访 问控制 1、引言 备栈 中。设备栈是一组设备对象。这些设备是相互关联 的。任何 随着计算机的大规模使用及互联 网的 日益普及 ．计算机系 来 自应用的请求 ，最终被 WindowsI／O管理器翻译成 irp的，总 统的安全 问题越来越受到关注。而文件作为计算机数据的载体 ． 是发送给设备栈 的顶端那个设备 。 系统 的核心机制 ．一 向是研究和攻击 的热 门。入侵者可 以通过各 层c始irp irv irp i坪 种方式来获取计算机中的文件数据 ．比如登录 ．偷盗等等 但是 … - ～ ) -- -- ) … l~,Top Dev2… Dc l … 最广泛的方式则是通过网络攻击 ，利用远程控制或者后门程序 。 (—— … 一 一 … ·一 (一—— 原始irp(逡回) irp irp irp 为 了保护文件的安全 ．可 以进行访 问控制 ．比如利用 Win— dows的NTFS文件系统 。但是 NTFS自身也有一些缺陷．比如只 图 2 能安全机能只对 NTFS有效 ．系统管理员密码容易破解等等 图2向右的箭头表示 IRP请求的发送过程 ．向左则是返回。 为了提高文件系统 的安全性 ． 目前研究 比较多的是实现文 可见 irp是从设备栈的顶端开始的．逐步向下发送。DevVolunle 件访问控制。要完全实现对文件访问的控制 ，只有两种方法。第 表示我们实际要过滤 的Volume设备 ．DevToD表示这个设备栈 一 种是通过 WindOWS提供 的API函数来实现 ．这种方法 比较容 的顶端 我们只要在这个设备栈的顶端再绑定一个设备 ．那发送 易．但是存在着致命 的缺 陷。第二种方法则是利用系统驱动的机 给 Voluine的请求 ．自然会先发给我们的设备来处理。 制 ．这种非常可靠 ．不过要求程序员必须对 Windo、VS的系统机 2_3缓存管理器 制 ．运行流程 ．各个子系统 ，模块等有 比较深 的了解 缓存管理器是一组内核模式 的函数和系统线程 ．他们与 内 2文件系统驱动程序结构 存管理器协 同工作 ．为所有 的WindoWS文件系统驱动程序 (本地 文件系统驱动程序 (FSD)管理文件系统格式 虽然 FSD运 FSD和网络 FSD)提供了数据缓存的能力 行在 内核模式下．但它们在许多方面与标准和内核