KINUX STORY


	미니필터 드라이버 에 해당하는 글 : 2 개 2007/09/11 :: 미니필터 드라이버에서 파일 풀패스명 얻기 (1) 2007/08/30 :: 드라이버 로딩 권한 설정

미니필터 드라이버에서 파일 풀패스명 얻기 :: 프로그래밍/소스/팁

미니필터 드라이버에서 I/O 연산시 파일 풀패스명을 얻는 함수를 작성하였습니다.
미니필터 드라이버에서는 파일명 및 파일 정보를 얻기 위해 필터 매니저에서 제공하는 FltGetFileNameInformation() 함수를 사용하여 얻을 수 있지만 이 함수가 실패하는 경우가 있습니다. 그것도 자주...(자세한 내용은 WDK 도움말을 참조하십시오)

NTSTATUS
MiniGetFileName(IN PFLT_CALLBACK_DATA Data,
			   IN PCFLT_RELATED_OBJECTS FltObjects,
			   OUT PUNICODE_STRING pFullPathName)
{
	PFLT_FILE_NAME_INFORMATION	pFileNameInfo = NULL;
	NTSTATUS					Status = STATUS_SUCCESS;

//파일 객체가 NULL 이거나 콜백 데이터가 NULL 인 경우 리턴
	if(FltObjects->FileObject == NULL || Data == NULL)
	{
		Status = STATUS_UNSUCCESSFUL;
		return Status;
	}

//FLT_FILE_NAME_INFORMATION 정보를 쿼리
	Status = FltGetFileNameInformation(Data,
			FLT_FILE_NAME_NORMALIZED | 
			FLT_FILE_NAME_QUERY_ALWAYS_ALLOW_CACHE_LOOKUP,
			&pFileNameInfo);

if(NT_SUCCESS(Status))
	{
		//FLT_FILE_NAME_INFORMATION 정보를 얻어 오면 OUT 인자에 풀패스 파일명 복사
		if(pFileNameInfo->Name.Length > 0)
		{
			RtlUnicodeStringCopy(pFullPathName, &pFileNameInfo->Name);
		}
	}
	else
	{
		//FLT_FILE_NAME_INFORMATION 정보를 얻어오지 못한 경우 FLT_FILE_NAME_OPENED 방식으로 다시 쿼리
		Status = FltGetFileNameInformation(Data,
				FLT_FILE_NAME_OPENED | 
				FLT_FILE_NAME_QUERY_ALWAYS_ALLOW_CACHE_LOOKUP,
				&pFileNameInfo);

if(NT_SUCCESS(Status))
		{
			//FLT_FILE_NAME_INFORMATION 정보를 얻어 오면 OUT 인자에 풀패스 파일명 복사
			if(pFileNameInfo->Name.Length > 0)
			{
				RtlUnicodeStringCopy(pFullPathName, &pFileNameInfo->Name);
			}
		}
		else
		{
			//FltGetFileNameInformation() 함수로 파일 정보를 얻어오지 못하는 경우
			//FileObject에 직접 접근하여 파일명을 얻어옴
			//FileObject 에 있는 파일명은 볼륨(디바이스) 정보가 없는 풀 패스명이므로 볼륨명을 얻어서
			//볼륨명 뒤에 FileObject의 파일명을 붙여서 풀패스명을 만듦
			ULONG Size;
			UNICODE_STRING szTempPath;
			UNICODE_STRING szDevice;
			UNICODE_STRING szFileNameDevice;

//FileObject->FileName 이 볼륨정보를 포함하고 있는지 체크
			szFileNameDevice.Length = FltObjects->FileObject->FileName.Length;
			szFileNameDevice.MaximumLength = FltObjects->FileObject->FileName.MaximumLength;
			szFileNameDevice.Buffer = ExAllocatePoolWithTag(NonPagedPool, szFileNameDevice.MaximumLength, 'iNiM');
			if(szFileNameDevice.Buffer == NULL)
			{
				return STATUS_UNSUCCESSFUL;
			}

RtlInitUnicodeString(&szDevice, L"\\Device");
			
			if(FltObjects->FileObject->FileName.Length >= szDevice.Length)
			{
				RtlUnicodeStringCchCopyN(&szFileNameDevice, &FltObjects->FileObject->FileName, 7);
			}

if(RtlEqualUnicodeString(&szDevice, &szFileNameDevice, TRUE))
			{
				RtlUnicodeStringCopy(pFullPathName, &FltObjects->FileObject->FileName);
			} 
			else 
			{
				//볼륨정보를 얻어와서 연결 시킴
				szTempPath.Length = 0;
				szTempPath.MaximumLength = FltObjects->FileObject->FileName.MaximumLength + 2;

Status = FltGetVolumeName(FltObjects->Volume, NULL, &Size);
				if(Status == STATUS_BUFFER_TOO_SMALL)
				{
					szTempPath.MaximumLength += (USHORT)Size;
					szTempPath.Buffer = ExAllocatePoolWithTag(NonPagedPool, szTempPath.MaximumLength, 'iNiM');

if(szTempPath.Buffer != NULL)
					{
						Status = FltGetVolumeName(FltObjects->Volume, &szTempPath, &Size);
						if(NT_SUCCESS(Status))
						{
							RtlUnicodeStringCat(&szTempPath, &FltObjects->FileObject->FileName);
							RtlUnicodeStringCopy(pFullPathName, &szTempPath);
						}
						ExFreePoolWithTag(szTempPath.Buffer, 'iNiM');
					}
				}
			}
			ExFreePoolWithTag(szFileNameDevice.Buffer, 'iNiM');
		}
	}

//FltGetFileNameInformation() 함수로 얻어온 FLT_FILE_NAME_INFORMATION 을 해제해 주어야 함
	if(pFileNameInfo != NULL)
	{
		FltReleaseFileNameInformation(pFileNameInfo);
	}

return Status;
}

위 함수는 Pre/Post Operation Callback 루틴에서 아래와 같이 사용하시면 됩니다.

※ 주의 : 코드는 실제 적용 코드에서 블로깅을 위해 수정된 것입니다. 사용하실때는 코드 검증및 테스트를 하시고 사용하시기 바랍니다.

미니필터 드라이버 기반 파일 모니터링 프로그램이 어느정도 완성되었습니다. 현재 테스트 중이고, 곧 업로드 하도록 하겠습니다.

[스크린샷]

FltGetFileNameInformation, 미니필터 드라이버, 파일명 얻기

트랙백 0개 | 댓글 1개 |

드라이버 로딩 권한 설정 :: 프로그래밍/소스/팁

미니필터 드라이버가 XP에서는 로딩이 잘 되는데 비스타에서 테스트 해보니 FilterLoad() 함수가 0x80070522(ERROR_PRIVILEGE_NOT_HELD) 에러를 내며 로딩이 실패(물론 관리자 권한으로 실행해도) 하네요.
WDK 도움말을 잘 읽어보니..(역시 문서를 잘 읽어야 되는데.. 쩝) FilterLoad() 함수 호출자는 SeLoadDriverPrivilege (SE_LOAD_DRIVER_PRIVILEGE) 을 가져야 한다고 적혀있습니다.

그래서 프로그램이 필터드라이버 로딩전에 SeLoadDriverPrivilege 권한을 Enable 하도록 하는 함수를 만들었습니다.

DWORD 
EnablePrivilege(LPCTSTR strPrivilege)
{
	HANDLE				hToken;     
	TOKEN_PRIVILEGES	TokenPrivileges;
	TOKEN_PRIVILEGES	OldTokenPrivileges;
	DWORD				dwSize = sizeof(TOKEN_PRIVILEGES);
	LUID				Luid;
	DWORD				Status;

//현재 프로세스의 access token 열기
	if(!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
	{
		Status = GetLastError();
		return Status;
	}

//특정 권한명의 LUID(locally unique identifier)를 얻어옴
	if(!LookupPrivilegeValue(NULL, strPrivilege, &Luid))
	{
		Status = GetLastError();
		CloseHandle(hToken);
		return Status;
	}

//액세스 토큰에 줄 권한을 설정
	ZeroMemory(&TokenPrivileges, sizeof(TOKEN_PRIVILEGES));
	TokenPrivileges.PrivilegeCount = 1;
	TokenPrivileges.Privileges[0].Luid = Luid;
	TokenPrivileges.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;

//액세스 토큰에 특정 권한을 Enable (두번째 인자가 FALSE 이면 Enable, TRUE 이면 Disable)
	if(!AdjustTokenPrivileges (hToken, FALSE, &TokenPrivileges, sizeof(TOKEN_PRIVILEGES), &OldTokenPrivileges, &dwSize))
	{
		Status = GetLastError();
		CloseHandle(hToken);
		return Status;
	}

CloseHandle (hToken);
	return ERROR_SUCCESS;
}

이 함수를 FilterLoad() 함수전에 아래와 같이 SeLoadDriverPrivilege 를 인자로 해서 호출해 주면 됩니다.

※ 주의 : 코드는 실제 적용 코드에서 블로깅을 위해 수정된 것입니다. 사용하실때는 코드 검증및 테스트를 하시고 사용하시기 바랍니다.

0x80070522, ERROR_PRIVILEGE_NOT_HELD, FilterLoad, minifilter, SeLoadDriverPrivilege, SE_LOAD_DRIVER_PRIVILEGE, vista, 미니필터 드라이버, 비스타

트랙백 0개 | 댓글 0개 |