Какое имя передавать в ZwCreateFile?

Я передаю в ZwCreateFile имя файла, скажем "\\?\C:\A.dat" но он возвращает STATUS_OBJECT_NAME_INVALID. Так как надо правильно ее называть?

 

По-моему вот так:

\\??\C:\A.dat

 

Хм. Нет.

Давайте я приведу полный код, может тут гдето ошибка?

Код (Text):

1.         UNICODE_STRING pSTR;
2.         OBJECT_ATTRIBUTES pAttr;
3.         HANDLE hFile;
4.         IO_STATUS_BLOCK pStat;
5.         RtlInitUnicodeString(&pSTR,L"\\\\??\\C:\\The.dat");
6.         InitializeObjectAttributes(&pAttr,&pSTR,OBJ_KERNEL_HANDLE,0,0);
7.         DbgPrint("%S",pSTR.Buffer);
8.         DbgPrint("-bbu-  ZwCreateFile: %X",
9.             (int)ZwCreateFile(&hFile,GENERIC_ALL,&pAttr,&pStat,0,0,0,FILE_CREATE,0,0,0)
10.         );
11.         DbgPrint("-bbu-  pStat: %i", (int)pStat.Information);
12.         ZwClose(hFile);
13.  

 

[опоздал]

 

Убери первые два бэкслэша:

L"\\??\\c:\\1.log"

 

Спасибо! Действительно, теперь работает.

 

Еще вопрос. Можно как то с его помощью обойти ошибку STATUS_SHARING_VIOLATION, т.е. открыть файл даже тогда, когда он уже открыт userмодным процессом?

 

1) http://www.wasm.ru/article.php?article=lockfileswork

2) Выяснив, какой процес держит файл и переключившись в контекст жертвы воспользоваться её хенделом.

 

Спасибо

 

ANDLL

Только возьми во внимание, что второй вариант, с аттачем к жертве, довольно наряжный. Ведь при чтении с файла указатель позиции будет изменяться. В многопоточных приложнеиях это чревато гемороем.

 

Спасибо

 

Кстати, ведь можно приаттачась к примеру просто поменять у всех хэндлов атрибуты шаринга на SHARE_READWRITE? И потом заново открыть файл?

 

Ms-Rem в своей статье так и делает. Для этого он использует драйвер.

 

а если получать хэндл из fileobject'a, который в свою очередь будет браться из стека перехваченного ирп-пакета драйвером фильтром, то это будет работать или нет?

 

Так в чем проблема просто скопировать себе хендл, даже не аттачась к чужому процессу?
1. ZwQuerySystemInformation (SystemHandleInformation) - перечисляем хендлы
2. ZwQueryObject (ObjectNameInformation) - сравниванием имена объектов
3. ZwDuplicateObject - копируем себе хендл, не забывая его потом закрыть после использования.