Windows文件监控技术实现与限制分析.pdfVIP

上一节课讲了使用ObRegisterCallbacks实现保护进程，其实稍微PATCH下内核，

这个函数还能实现文件操作监视。但可惜只能在WIN7X64上用。因为在WIN7X64上

PATCH对象结构的成员(ObjectType‑TypeInfo.SupportsObjectCallbacks)是合法的，在

WIN8X64以及系统上会触发PATCHGUARD。

要文件，首先要文件对象支持对象回调：

_

//参数传入Io文件对象类型空值

启用对象类型(P对象类型

对象

____

类型)

{

我的对象类型

我的对象类型

=(我的对象类型)对象类

型;

我的对象类型‑类型信息.支持对象回调

=1;}

剩下的部分与上一节课的代码基本一致，不同之处在于参数处设置的对象类为

IoFileObjectType：

//

初始化回调函数

memset(obReg,

0,

sizeof(obReg));

obReg.Versi