Ring3下强行删除文件的攻与防

• 作者: 牵着蜗牛去散步
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 文件删除 MOVE FileEx函数
• 年，卷（期）: 2008,（7）
• 页码范围: 72-74
• 页数: 3页
• 分类号: TP316.7

摘要

文件的强行删除技术对于安全软件来说．起着至关重要的作用。windows在处理文件上通过底层的FAT．SYS和NTFS.SYS驱动来处理，常规的流氓软件可能会在文件系统驱动上做手脚，病毒则会通过文件过滤驱动达到Ring0下的拦截作用。Ring3下实现文件强行删除主要是先通过文件改名或调用WindowsNT系统中一个用于替换系统文件的MoveFileEX函数来实现强行删除，KillBox程序就是使用的这种方法。下面我们通过编程的方式讲述如何在Ring3环境中实现文件的强行删除以及如何保护文件防止被删除。