讨论：如果有效地防止文件被copy, move, delete

Question

本帖最后由 yjgx007 于 2011-07-09 15:58:44 编辑

Answer 1

kernel过滤不知道行不
或者user mode 进行hook api
如果能加锁成功 那么解锁就简单多了
设置个标示 只有你的程序才运行上述操作

Answer 2

不好意思， 我忘了写不能Hooking API了，再次， 操作方法绝不能用API， 谢谢。回答时请给出主要思路。。

Answer 3

kernel file sytem 过滤可能是个好方法， 多谢提醒， 还有其它简单的方法吗？

Answer 4

文件过滤驱动。。或者SSDT HOOK ZwCreateFile，当然64bits下的驱动需要数字签名

Answer 5

禁止这些操作是否允许读写文件？如果允许读则无法禁止拷贝，最多是禁止某种特定的拷贝操作；如果禁止读和删除，允许写貌似没有意义。
一般做法是用文件系统过滤驱动来处理，如果禁止读写和移动、删除，只要在create时判断如果具有这些标志就拒绝打开。可以通过DeviceIoControl控制文件的锁定和解除。
简单处理可以用一个服务程序以独占方式打开该文件。通过进程间通讯或者启动和停止服务可以进行控制。