Перехват ZwCreateFile в ядре

Перехватываю ZwCreateFile в ядре. У это функции есть парметр ObjectAttributes, где хранится путь к файлу с которым мы работаем(кажется путь хранится здесь: ObjectAttributes->ObjectName->Buffer).
Не подскажете как можно определить вхождение в переданный путь подстроки "qwerty.dll". Мне необходимо запретить доступ к тому файлу. Если можно, с примерами пожалуйста. Всех благодарю за внимание.

 

А функции для работы со строками из CRT уже совсем не канают? wcsstr

 

Спасибо огромное ! Не думал что все будет так просто. И еще... эта функция ищет с учетом РЕГИСТРА или нет ?

 

С учётом

 

Ане подскажете как искать без учета регистра ? =\

 

wcscpy(buf, str1);
wcscpy(buf2, str2);
wcsupr(buf);
wcsupr(buf2);
wcsstr(buf, buf2);

 

довай аню, поцкажем и покажем

 

Че за АНЮ ? =\

 

WaterGhost

Если файл на NTFS - просто запрети к нему доступ. Если хочешь и админу. то тут есть одна хитрость - удаляешь в настройках политики безопасности возможность овладения чужими объектами для админа, создаешь нового пользователя (можно сделать так чтобы его не было видно призагрузке) и передаешь все права на пользование файлом ему т.е. типа cacls.exe qwerty.dll /P NewUser:F

 

Код старый, может чем поможет.
rtl_headers.h

Код (Text):

1. #include "rtl_headers.h"
2. NTSTATUS NewZwCreateFile(OUT PHANDLE  FileHandle,IN ACCESS_MASK  DesiredAccess,IN POBJECT_ATTRIBUTES  ObjectAttributes,OUT PIO_STATUS_BLOCK  IoStatusBlock,IN PLARGE_INTEGER  AllocationSize  OPTIONAL,IN ULONG  FileAttributes,IN ULONG  ShareAccess,IN ULONG  CreateDisposition,IN ULONG  CreateOptions,IN PVOID  EaBuffer  OPTIONAL,IN ULONG  EaLength)
3. {
4.     NTSTATUS                                rc;
5.     BOOLEAN         bStat;
6.     PWCHAR          wStr;
7.     rc = OldZwCreateFile(FileHandle,DesiredAccess,ObjectAttributes,IoStatusBlock,AllocationSize,FileAttributes,ShareAccess,CreateDisposition,CreateOptions,EaBuffer,EaLength);
8.     if (ObjectAttributes->ObjectName->Length > 0 && MmIsAddressValid((PVOID)ObjectAttributes->ObjectName->Buffer))
9.     {
10.         wStr = RtlParseWstr(ObjectAttributes->ObjectName->Buffer,(wchar_t)'\\');
11.         wStr = RtlUpcaseWideStr(wStr,wStrLen(wStr));
12.         if (wStr)
13.         {
14.             DbgPrint("NewZwCreateFile Hook :%ws|%d",RtlUpcaseWideStr(wStr,wStrLen(wStr)),wStrLen(wStr));
15.         }
16.     }
17.     return rc; 
18. }

 

Спасибо)