直接调用NTFS文件驱动检测隐藏文件

• 作者: pixiebox
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 隐藏文件 设备驱动 NTFS文件 检测 调用 文件系统 直接读取 过滤驱动
• 年，卷（期）: 2008,（9）
• 页码范围: 71-75
• 页数: 5页
• 分类号: TP316.7

摘要

如果不考虑直接读取扇区分析文件系统来检测隐藏文件的话，那么直接向建立在卷设备驱动上的文件系统驱动发送IRP是在文件系统上最底层的检测方法了。lceSword（不考虑FileReg这个插件）就是直接向最底层的文件驱动发送IRP来检测隐藏文件的，这种检测方法使我们能够检测出SSDTHOOK、文件过滤驱动所隐藏的文件。在上期的文章中，