Модернизация драйвера фильтра ФС

[Роман]

история:
Привет, я начал последние дни интенсивно изучать драйвера и масса
вопросов  без ответов.
например,
я откомпилировал C:\NTDDK\src\storage\filters\diskperf
и добавил его через C:\NTDDK\src\storage\filters\addfilter

перегрузил XP, результат синий экран и нечитаемый текст.
и так с другим драйвером что я пробовал.

работает только filemonitor от http://www.sysinternals.com

но я хотел бы понять почему стандартные примеры из ddk вешают машину.

а так же я хочу понять можно ли отфильтровывать файлы и папки так
чтобы их в системе не видно было...

вопрос:
можно ли модернизировать sys драйвер от http://www.sysinternals.com
filemon таким образом чтобы он фильтровал файловую систему для всей Винды. Т.е. чтобы я мог скрывать нужные мне папки и их не было видно не из Explorer не из FAR и излюбой другой проги тоже.
загрузить исходники можно с http://test4.la4.net/filemon.zip (370кб)

на самом http://www.sysinternals.com я их уже не нашел... токо откомпилированное.

Может кто то уже сталкивался с проблемой как прятать(отфильтровывать) папки и файлы?

заранее благодарен,
Роман.

[Артем]

Я очень мало общался с драйверами фс, поэтому могу дать рекомендации только общего плана (если в чем-то ошибусь :oops: , просьба поправить).

 Итак, для того, что бы скрыть папки/файлы надо:

--узнать какие драйвера в системе отвечают за работу с файлами.
--в ДДК посмотреть их исходники, и в них найти IRP-запросы, которые тебе надо фильтровать (это могут быть не только запросы типа IPR_MJ_..., но и любые другие).
--понять как построен стек этих драйверов;
--написать свой драйвер-фильтр и поставить его на вершину стека.

Вроде так

P.S. Конечно же из драйвера можно лазить в реестр и творить тама чего-нибудь не хорошее 8)

[SlavaI]

узнать какие драйвера в системе отвечают за работу с файлами

Драйверы файловых систем- ntfs.sys, fastfat.sys, cdfs.sys

в ДДК посмотреть их исходники, и в них найти IRP-запросы, которые тебе надо фильтровать (это могут быть не только запросы типа IPR_MJ_..., но и любые другие).

в DDK исходников файловых систем нет, они в IFSDK. Там есть fastfat и cdfs. А также примеры фильтров файловой системы. Выбранный пример фильтра diskperf неудачен- это не фильтр файловой системы.

понять как построен стек этих драйверов

Стек очень простой, собственно у файловой системы его нет, указатель на драйвер файловой системы хранится в VPB.

[SlavaI]

Может кто то уже сталкивался с проблемой как прятать(отфильтровывать) папки и файлы?

Надо фильтровать запросы к файловой системе(IRP_MJ_FILE_SYSTEM_CONTROL, IRP_MJ_DIRECTORY_CONTROL,IRP_MJ_CREATE, IRP_MJ_QUERY_INFORMATION и еще какие-то) и иногда изменять возвращаемые данные- убирать инфу о скрытых папках.

[Роман]

Спасибо за советы!
еще олин вопрос,
где взять IFSDK??? на сайте микросовта оно стоит 1000 у.е. ((
есть ли возможность получить пиратский CD или скачать из сети???

[Гром]

Кгхм кгхм, кто ж тебе скажет то
Пиратские диски - это смотря в каком городе, а скачать - это nnm.ru такой фигней занимается

[Роман]

ладно обойдемся без IFSDK... вернемся к коду http://test4.la4.net/filemon.zip.
это и есть полноценный фильтр файловой системы...
код исходников более 170 кб, поэтому тут его разместить не могу...
вы писали:"
Надо фильтровать запросы к файловой системе(IRP_MJ_FILE_SYSTEM_CONTROL, IRP_MJ_DIRECTORY_CONTROL,IRP_MJ_CREATE, IRP_MJ_QUERY_INFORMATION и еще какие-то) и иногда изменять возвращаемые данные- убирать инфу о скрытых папках."
там есть перехват этих вещей, при этом происходит запись в лог файл и все...
как это изменить так чтобы отфильтровывать эти обращения если вызывается моя папка я понять не могу... потому что не видел не одного примера подобных фильтров...
подскажите как это сдеалть! если произошел вызов IRP_MJ_DIRECTORY_CONTROL, так чтобы он дальше моего драйвера не ушел если идет вызов к моей папке...
в идеале было бы не плохо чтобы ЭКСПЕРТ взглянул на приложеный код
http://test4.la4.net/filemon.zip и дал совет по конкретно этому коду...
спасибо  

[Гром]

Хорошо посмотрим что у тебя там....

[Juggernaut]

На совке(в Москве) продавался диск с названием "Все для разработчика MicroSoft" на нем были DDK SDK и все такое. Вероятно это то что нужно.
IFSDK???
По моему был...

[SlavaI]

ладно обойдемся без IFSDK

Не обойдешься.
Продается диск в Москве с IFSDK для XP. На диске негритянка с ноутбуком- по моему такая обложка у него.

[Роман]

Думаю придется обойтись без IFSDK, потому что я не из Москвы разве что найдется добрая душа и перешлет мне его наложенным платежом или поездом я готов заплатить  тройную  стоимость диска + пересылка!

а вообще раз www.sysinternals.com обходятся без  IFSDK то я думаю и мы можем я имею ввиду всех кто учавствует в данной теме обещаю всем потом пива почтой:) ящик

[Гром]

За пиво буду пробовать   шучу...

Я тут пытаюсь счас настроить если получится тестовый полигон, и буду смотреть - просто очень много времени уходит в организацию пока, на кажый тест готовишь сначала площадку.
Да и Славик от помощи не отказывался еще никогда.

[dumb]

очень много времени уходит в организацию пока, на кажый тест готовишь сначала площадку.

очень хорошо работает VmWare с диском в режиме Undoable  

[Yess]

to dumb: Макс, привет:)

[Гром]

очень хорошо работает VmWare с диском в режиме Undoable

Это ты о чем, я ж тестовый полигон имел ввиду рубрику онлайн тестов. Пишу php MySQL.

to dumb: Макс, привет:)

Вы что - знакомы???

[SlavaI]

Вот что- Если у тебя есть время, то тебе необходимо почитать книгу
Rajeev Nagar "Windows NT File Systerm Internals. The Developers Guide".
Книжка написана для WinNT 3.5/4.0, но с тех времен ничего не изменилось.
Книженцию в формате pdf я могу выслать на mail, размер 12 Мб, или по отдельности по главам- размер от 100Кб  до 1600Кб.
Надо бы Grom'у выслать, Grom напиши мне куда слать, я по главам вышлю.

[Гром]

club@shelek.com - по главам - сначала одну потом другую, потом третью - как в тот раз - главное что бы я успел забрать главу до того как ты положишь следующую - шли буду выгребать...

Жаль у тебя нет ftp...

[SlavaI]

Послал оглавление и две первые главы в одном письме- они маленькие. В сумме 2 Мб.

[r00t]

А можно мне книжку, plzzzzzzzzz.... или хотя-бы URL где взять.

maxs1999@mail.ru

[SlavaI]

А можно мне книжку, plzzzzzzzzz.... или хотя-бы URL где взять.

Скоро на сайте будет.

[r00t]

А можно мне книжку, plzzzzzzzzz.... или хотя-бы URL где взять.

Скоро на сайте будет.

Жду с нетерпением... Огромное спасибо!

[Гром]

Книга получена - дабы не убивать канал - а она большая - буду выкладывать в день по главе начиная с сегодняшнего дня.!!!

[Diletant]

Кстати, кто-нибудь знает, как расшифровывается IFSDK? А то Микрософт не признает такого продукта.

[NetRaider]

Кстати, кто-нибудь знает, как расшифровывается IFSDK? А то Микрософт не признает такого продукта

Признает - http://www.microsoft.com/whdc/ddk/IFSkit/

[.]

вот пример fs фильтра...
хотя он и не использует создания своих устройств для фильтрации, но принцип обработки нужных запросов понять можно...

http://he4dev.e1.bmstu.ru/HookSysCall/

[Гром]

., Спасибо точка.