【windows内核驱动开发】文件系统微过滤驱动Minifilter——获取进程信息

【我的】文件系统微过滤驱动Minifilter——获取进程信息
作者：zcr214 时间：2016/4/22

 

在编写文件系统微过滤驱动minifilter的时候，除了绑定指定的磁盘分卷，对于指定的文件很可能还会有指定的应用程序，例如txt文件可以有很多编辑器可以使用，如wordpad，notepad，sublime，vim，notepad+等，doc文档可以使用office word或WPS，图片文件就更多了。虽然仅靠过滤进程名来筛选出指定程序的方式不太安全，黑客可以通过伪装进程名的方式绕过，但是获取进程信息（进程ID,进程名等）对于minifilter驱动所需的基本功能的开发有着重要的作用。

1.    设置加载进程通知PsSetCreateProcessNotifyRoutine()

可以使用PsSetCreateProcessNotifyRoutine()来设置一个通知回调函数。每当操作系统创建或者关闭一个进程的时候，回调都会被调用。

NTSTATUS
PsSetCreateProcessNotifyRoutine(
   _In_PCREATE_PROCESS_NOTIFY_ROUTINE
NotifyRoutine,
   _In_BOOLEAN Remove 
);
返回状态值，表示设置通知回调是否成功，参数中包含一个设置的通知回调函数的指针和是否移除的标记，移除标记设为false表示设置通知回调，true表示卸载通知回调，当驱动启动时在DriverEntry中需要设置通知回调，驱动停止时当然也要在FilterUnload中卸载这个通知回调。
通知回调函数的原型为：
VOID
(*PCREATE_PROCESS_NOTIFY_ROUTINE)(
    _In_HANDLE ParentId,
    _In_HANDLE ProcessId,
    _In_BOOLEAN Create   
);
显而易见的，可以在通知回调函数中获取到这个进程的ID和父进程ID，以及创建或关闭的标记。

2.    设置加载映像通知PsSetLoadImageNotifyRoutine()

可以使用PsSetLoadImageNotifyRoutine()设置一个通知回调函数，每当操作系统新加载一个映像文件的时候，设置的回调函数就会被调用。

PsSetLoadImageNotifyRoutine()函数原型如下：

NTSTATUS
PsSetLoadImageNotifyRoutine(
    _In_PLOAD_IMAGE_NOTIFY_ROUTINE
NotifyRoutine
);

返回一个状态值，表示设置通知回调函数是否成功，参数只有一个，即通知回调函数的指针。在驱动启动时在DriverEntry设置通知回调，驱动停止时也需要在FilterUnload中卸载通知回调，使用另一个相对应的函数PsRemoveLoadImageNotifyRoutine()，函数原型和Set函数类似。

加载映像的通知回调函数的原型如下：

VOID
(*PLOAD_IMAGE_NOTIFY_ROUTINE)(
    _In_PUNICODE_STRING FullImageName,
    _In_HANDLE ProcessId,//
pid into which image is being mapped
    _In_PIMAGE_INFO ImageInfo
);

显而易见的，可以在通知回调函数中得到完整的映像名称，进程ID，和其他的映像相关信息。

3.    实际使用一下

（1）   DriverEntry中，启动过滤之前，设置通知回调。

   //启动获取进程,映像信息的回调
   PsSetCreateProcessNotifyRoutine(ProcessNotify,FALSE);
   PsSetLoadImageNotifyRoutine(LoadImageNotify);
   // Start filtering i/o

（2）   FilterUnload中，停止过滤之前，取消通知回调。

   //
驱动关闭，移除进程和映像信息获取的回调
   PsSetCreateProcessNotifyRoutine(ProcessNotify,TRUE);
   PsRemoveLoadImageNotifyRoutine(LoadImageNotify);
// Unregister from FLT mgr

（3）   编写进程通知回调函数，打印进程信息。

VOID
ProcessNotify(
INHANDLE 
ParentId,
INHANDLE 
ProcessId,
INBOOLEAN 
Create)
{
   DbgPrint("FilterProcessNotify,pid:
%d, tid: %d, create: %d\n",ParentId,ProcessId,Create);
}

（4）   编写映像通知回调函数，保存进程ID和映像名称信息（这里事先已经定义了一个全局的ProcessList数组用于保存映像名）。

VOID
LoadImageNotify(
__in_optPUNICODE_STRINGFullImageName,
__inHANDLEProcessId,
__inPIMAGE_INFOImageInfo)
{
   UNREFERENCED_PARAMETER(ImageInfo);
      __try{
         ProcessList[(int)ProcessId]=FullImageName;
         DbgPrint("image name :%wZ
pid is:%d",ProcessList[(int)ProcessId],ProcessId);
      }
      __except(EXCEPTION_EXECUTE_HANDLER){
         DbgPrint("pid:%d,cannot insert
to ProcessList",ProcessId);
     
}
}

当然上述的保存方法相对简单，在具体应用中应该视具体的需求而定，也可自定义一个表，将所有进程信息都保存起来，需要检查的时候再利用进程ID将具体信息取出来。