0x01 思路（原理）
驱动层文件保护的思路是通过minifilter过滤文件删除相关的IRP，并将目标文件与被保护文件相比较，命中保护规则的话返回STATUS_ACCESS_DENIED拒绝访问；也可以进一步利用回调函数获取的FLT_CALLBACK_DATA结构体解析文件删除操作对应的发起者进程，与白名单进程（允许执行删除操作的进程）相比较。
需要过滤的IRP类型：IRP_MJ_SET_INFORMATION与IRP_MJ_CREATE（或还有其他类型IRP需要过滤，尚未知）
IRP_MJ_SET_INFORMATION的产生原因一般是请求设置文件属性等等，比如ZwSetInformationFile函数可以发起此IRP.这里顺带说一句的是，许多驱动都用ZwSetInformationFile函数来实现强删文件的，比如腾讯电脑管家中的TSSysKit.sys驱动中文件穿透操作的删除文件就是调用ZwSetInformationFile函数将FileInformationClass设为FileDispositionInformation且((PFILE_DISPOSITION_INFORMATION)Irp->AssociatedIrp.SystemBuffer)->DeleteFile设为TRUE来达到删除文件的目的（如果是强删正在运行的文件，那么还需将文件对象的SectionObjectPointer->ImageSectionObject和 SectionObjectPointer->DataSectionObject 两个字段置零）。因此，对于IRP_MJ_SET_INFORMATION，应当检查FileInformationClass是否是FileRenameInformation和FileShortNameInformation标志。
IRP_MJ_CREATE的产生原因一般是请求打开文件句柄，文件对象以及其他内核对象等等，比如ZwCreateFile函数可以发起此IRP.如果ZwCreateFile函数指定了FILE_DELETE_ON_CLOSE标志，那么当最后一个文件句柄被NtClose关闭时，文件会被删除，这也就是过滤IRP_MJ_CREATE的原因。因此，对于IRP_MJ_CREATE，应当检查是否有FILE_DELETE_ON_CLOSE 标志指定。
0x01 源码及注释如下
#include <fltKernel.h>
//#include "FileDeleteProtect.h" #define DEBUG
#ifdef DEBUG
#define DBG_PRINTF(_fmt, ...) DbgPrint(_fmt, __VA_ARGS__)
#else
#define DBG_PRINTF(_fmt, ...) { NOTHING; }
#endif DRIVER_INITIALIZE DriverEntry; NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath);
NTSTATUS Unload(_In_ FLT_FILTER_UNLOAD_FLAGS Flags);
FLT_PREOP_CALLBACK_STATUS PreAntiDelete(_Inout_ PFLT_CALLBACK_DATA Data, _In_ PCFLT_RELATED_OBJECTS FltObjects, _Flt_CompletionContext_Outptr_ PVOID *CompletionContext); //过滤IRP的回调数组
CONST FLT_OPERATION_REGISTRATION Callbacks[] = {
{ IRP_MJ_CREATE, , PreAntiDelete, NULL }, // DELETE_ON_CLOSE 标志.
{ IRP_MJ_SET_INFORMATION, , PreAntiDelete, NULL }, // FileDispositionInformation(Ex).
{ IRP_MJ_OPERATION_END }
}; CONST FLT_REGISTRATION FilterRegistration = {
sizeof(FLT_REGISTRATION), // Size
FLT_REGISTRATION_VERSION, // Version
, // Flags
NULL, // ContextRegistration
Callbacks, // OperationRegistration
Unload, // FilterUnloadCallback
NULL, // InstanceSetupCallback
NULL, // InstanceQueryTeardownCallback
NULL, // InstanceTeardownStartCallback
NULL, // InstanceTeardownCompleteCallback
NULL, // GenerateFileNameCallback
NULL, // NormalizeNameComponentCallback
NULL // NormalizeContextCleanupCallback
}; PFLT_FILTER Filter;
static UNICODE_STRING Protected = RTL_CONSTANT_STRING(L"EXE"); NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) { UNREFERENCED_PARAMETER(RegistryPath); NTSTATUS Status = FltRegisterFilter(DriverObject, &FilterRegistration, &Filter);
if (!NT_SUCCESS(Status)) {
DBG_PRINTF("Failed to register filter: <0x%08x>.\n", Status);
return Status;
} Status = FltStartFiltering(Filter);
if (!NT_SUCCESS(Status)) {
DBG_PRINTF("Failed to start filter: <0x%08x>.\n", Status);
FltUnregisterFilter(Filter);
} return Status;
} NTSTATUS Unload(_In_ FLT_FILTER_UNLOAD_FLAGS Flags) {
UNREFERENCED_PARAMETER(Flags);
DBG_PRINTF("Unload called.\n");
FltUnregisterFilter(Filter); return STATUS_SUCCESS;
} /*
* PreCallback的调用时机
* IRP_MJ_CREATE——ZwCreateFile
* IRP_MJ_SET_INFORMATION——ZwSetInformation.
*/
FLT_PREOP_CALLBACK_STATUS PreAntiDelete(_Inout_ PFLT_CALLBACK_DATA Data, _In_ PCFLT_RELATED_OBJECTS FltObjects, _Flt_CompletionContext_Outptr_ PVOID *CompletionContext) {
UNREFERENCED_PARAMETER(CompletionContext);
PAGED_CODE();//PreCallback的IRQL应当<= APC_LEVEL FLT_PREOP_CALLBACK_STATUS Status = FLT_PREOP_SUCCESS_NO_CALLBACK;//不再调用postoperation callback routine, BOOLEAN IsDirectory;//目录操作跳过，不管
NTSTATUS status = FltIsDirectory(FltObjects->FileObject, FltObjects->Instance, &IsDirectory);
if (NT_SUCCESS(status)) {
if (IsDirectory == TRUE) {
return Status;
}
} if (Data->Iopb->MajorFunction == IRP_MJ_CREATE) {
if (!FlagOn(Data->Iopb->Parameters.Create.Options, FILE_DELETE_ON_CLOSE)) {
return Status;
}
} if (Data->Iopb->MajorFunction == IRP_MJ_SET_INFORMATION) {
switch (Data->Iopb->Parameters.SetFileInformation.FileInformationClass) {
case FileRenameInformation:
case FileRenameInformationEx:
case FileDispositionInformation:
case FileDispositionInformationEx:
case FileRenameInformationBypassAccessCheck:
case FileRenameInformationExBypassAccessCheck:
case FileShortNameInformation:
break;
default:
return Status;
}
} /*
ZwCreateFile和ZwSetInformation函数都是运行在PASSIVE_LEVEL的，所以当前的线程上下文
应当就是ZwCreateFile或ZwSetInformation函数的调用者进程对应的线程的上下文Context,
所以这里可以判断调用者进程是否在白名单中(如果存在白名单进程的话)
if (IoThreadToProcess(Data->Thread) == WhiteListProcess) {
return FLT_PREOP_SUCCESS_NO_CALLBACK;
}
*/ PFLT_FILE_NAME_INFORMATION FileNameInfo = NULL;
if (FltObjects->FileObject != NULL) {
status = FltGetFileNameInformation(Data, FLT_FILE_NAME_NORMALIZED | FLT_FILE_NAME_QUERY_DEFAULT, &FileNameInfo);
if (NT_SUCCESS(status)) {
FltParseFileNameInformation(FileNameInfo);
//if (RtlCompareUnicodeString(&FileNameInfo->Name, &Protected, TRUE) == 0) {
if (RtlCompareUnicodeString(&FileNameInfo->Extension, &Protected, TRUE) == ) {
DBG_PRINTF("Protecting file deletion/rename!");
Data->IoStatus.Status = STATUS_ACCESS_DENIED;
Data->IoStatus.Information = ;
Status = FLT_PREOP_COMPLETE;
}
// Clean up file name information.
FltReleaseFileNameInformation(FileNameInfo);
}
} return Status;
}