Windows2000下文件监视器的实现.PDFVIP

第 22 卷第 10 期 计算机应用 VoI.22, No.10 2002 年 10 月 Computer AppIications Oct. ,2002 文章编号：1001 - 908（1 2002）10 - 0122 - 02 Windows 2000 下文件监视器的实现 杨 荣 （中国科技大学研究生院 电子学部，北京 100039） 摘 要：介绍了 Windows 2000 的系统服务的概念，提出利用勾挂系统服务来实现对文件操作的实 时监视，并给出了实现代码。 关键词：系统服务；勾子；文件监视器 中图分类号：TP316.7 文献标识码：A 引言 原因是这些 API 一般只在系统内部被调用。它们使用 int 2e 1 指令来切换到内核模式并执行所请求的系统服务。 在实际工作中，有时候需要编写一个文件监视器对系统 的文件操作进行实时监视，最典型的应用就是反病毒软件。 在 Windows 98 下可以通过 hook API 技术来实现，也就是将自 己的监控代码挂接在系统文件操作 API 的入口处。由于在 Windows 98 下所有进程共享系统 dII 的二进制映像，所以软件 可对所有进程下的文件操作进行监控。但在 Windows 2000 下，上述方法则不再有效。原因是各进程中的系统 dII 映象并 不共享，一个进程对 API 的修改对另一个进程毫无影响。因 此在 下文件监视器的实现需要新的方法。一种 Windows 2000 图 1 方法是编写一个文件系统设备驱动程序。该驱动程序属于过 Win32API 函数（主要是在 kerneI32. dII 和 advAPI32. dII 中 滤型的驱动程序，可以看到文件系统所有的 IRP 包和快速 IO 的函数）使用这些 wrapper 来调用系统服务，Win32API 函数自 请求。驱动程序在内部建立一个 表，当遇到打开文件、 HASH 己主要是对参数进行有效性检查，并把它们转换为 形 创建文件或关闭文件的调用时，就更新该表，以便在内部文件 unicode 式。之后 根据需要调用