内核模式下的文件操作

以你之姓@ 2022-08-18 14:25 195阅读 0赞

**1.文件的创建**

对文件的创建或者打开都是通过内核函数ZwCreateFile实现的。和Windows API类似，这个内核函数返回一个文件句柄，文件的所有操作都是依靠这个句柄进行操作的。在文件操作完毕后，要关闭这个文件句柄。

**NTSTATUS**   
**ZwCreateFile(  
OUT PHANDLE** *FileHandle***,  
IN ACCESS\_MASK**  *DesiredAccess***,  
IN POBJECT\_ATTRIBUTES**  *ObjectAttributes***,  
OUT PIO\_STATUS\_BLOCK**  *IoStatusBlock***,  
IN PLARGE\_INTEGER**  *AllocationSize* **OPTIONAL,  
IN ULONG** *FileAttributes***,  
IN ULONG** *ShareAccess***,  
IN ULONG** *CreateDisposition***,  
IN ULONG** *CreateOptions***,  
IN PVOID** *EaBuffer* **OPTIONAL,  
IN ULONG** *EaLength*  
**);**

*FileHandle：*返回打开文件的句柄

*DesiredAccess*：一般指定为GENERIC\_READ 或者 GENERIC\_WRITE

*ObjectAttributes*:是OBJECT\_ATTRIBUTES结构的地址,该结构包含要打开的文件名。

*IoStatusBlock:*指向一个IO\_STATUS\_BLOCK结构体，该结构接收ZwCreateFile操作的结果状态。

*AllocationSize****：***是一个指针，指向一个64位整数，该数指定文件初始分配时的大小、该参数仅关系到创建或重写文件操作。如果忽略它，那么文件长度将从0开始，并随着写入而增长。

*FileAttributes***：**指定新创建文件的属性，一般为0或FILE\_ATTRIBUTE\_NORMAL

*ShareAccess：*指定文件的共享方式，0或者FILE\_SHARE\_READ

*CreateDisposition：*指定当文件存在或不存在时，该如何处理

*CreateOptions：*FILE\_SYNCHRONOUS\_IO\_NONALERT，指定控制打开操作和句柄使用的附加标志位。

*EaBuffer：*一个指针，指向可选的扩展属性区

*EaLength：*扩展属性区的长度

要创建的文件的文件名是通过第三个参数传入的。这个参数是一个**OBJECT\_ATTRIBUTES**得结构。DDK提供了对OBJECT\_ATTRIBUTES初始化的宏：

**VOID**   
**InitializeObjectAttributes(  
OUT POBJECT\_ATTRIBUTES** *InitializedAttributes***,  
IN PUNICODE\_STRING** *ObjectName***,**//文件名  
 **IN ULONG** *Attributes***,**//一般为OBJ\_CASE\_INSENSITIVE，对大小写敏感  
 **IN HANDLE** *RootDirectory***,**//一般为NULL  
 **IN PSECURITY\_DESCRIPTOR** *SecurityDescriptor* //一般为NULL  
 **);**

示例代码：

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  **VOID** TetsCreateFile() 
2.  \{ 
3.   UNICODE\_STRING string; 
4.   RtlInitUnicodeString(&string, L"\\\\??\\\\C:\\\\1.log"); 
5.  
6.   OBJECT\_ATTRIBUTES objattr; 
7.   InitializeObjectAttributes(&objattr, &string, OBJ\_CASE\_INSENSITIVE, NULL, NULL); 
8.  
9.  **HANDLE** hFile; 
10.  IO\_STATUS\_BLOCK iostatus; 
11. 
12.  NTSTATUS status = ZwCreateFile(&hFile, GENERIC\_READ | GENERIC\_WRITE, &objattr, &iostatus, 
13. 
14.  NULL, FILE\_ATTRIBUTE\_NORMAL, 0, FILE\_OPEN\_IF, FILE\_SYNCHRONOUS\_IO\_NONALERT, NULL, 0); 
15. **if** (!NT\_SUCCESS(status)) 
16.  \{ 
17.  KdPrint(("文件创建失败！\\n")); 
18.  \} 
19. **else**
20.  \{ 
21.  KdPrint(("文件创建成功！\\n")); 
22.  \} 
23. //文件操作
24. 
25. //......
26. 
27. //关闭文件句柄
28.  ZwClose(hFile); 
29. \}

除了可以用ZwCreateFile函数打开文件，DDK还为我们提供了一个ZwOpenFile函数用来打开文件，以简化文件的打开操作。

**NTSTATUS**  
 **ZwOpenFile(  
OUT PHANDLE** *FileHandle***,  
IN ACCESS\_MASK** *DesiredAccess***,** //打开权限，一般为GENERIC\_ALL  
 **IN POBJECT\_ATTRIBUTES** *ObjectAttributes***,  
OUT PIO\_STATUS\_BLOCK** *IoStatusBlock***,  
IN ULONG** *ShareAccess***,  
IN ULONG** *OpenOptions*//打开选项,一般为FILE\_SYNCHRONOUS\_IO\_NONALERT  
 **);**

**2.获取或修改文件属性**

获取和修改文件属性，包括获取文件大小，获取或修改文件指针位置，获取或修改文件名，获取或修改文件属性（只读属性，隐藏属性），获取或修改文件创建，修改日期。

**NTSTATUS**   
**ZwSetInformationFile(  
IN HANDLE** *FileHandle***,  
OUT PIO\_STATUS\_BLOCK** *IoStatusBlock***,  
IN PVOID** *FileInformation***,  
IN ULONG** *Length***,  
IN FILE\_INFORMATION\_CLASS** *FileInformationClass*  
**);**

**NTSTATUS**   
**ZwQueryInformationFile(  
IN HANDLE** *FileHandle***,  
OUT PIO\_STATUS\_BLOCK** *IoStatusBlock***,  
OUT PVOID** *FileInformation***,  
IN ULONG** *Length***,  
IN FILE\_INFORMATION\_CLASS** *FileInformationClass*  
**);**

*FileInformation:*依据*FileInformationClass*不同而不同。

*Length：FileInformation*数据的长度

*FileInformationClass：*描述修改属性的类型

（1）当*FileInformationClass* 是**FileStandardInformation** 时，输入和输出数据是[FILE\_STANDARD\_INFORMATION][FILE_STANDARD_INFORMATION]结构体，描述文件的标准信息。

typedef struct FILE\_STANDARD\_INFORMATION \{  
LARGE\_INTEGER AllocationSize; //为文件非配的大小  
 LARGE\_INTEGER EndOfFile; //距离文件结尾还有多少字节  
ULONG NumberOfLinks; //有多少要个链接文件  
BOOLEAN DeletePending; //是否准备删除  
BOOLEAN Directory; //是否为目录  
\} FILE\_STANDARD\_INFORMATION, \*PFILE\_STANDARD\_INFORMATION;

（2）当*FileInformationClass* 是**FileBasicInformation** 时，输入和输出数据是[FILE\_BASIC\_INFORMATION][FILE_STANDARD_INFORMATION]结构体，描述文件的基本信息。

typedef struct FILE\_BASIC\_INFORMATION \{  
LARGE\_INTEGER CreationTime;  
LARGE\_INTEGER LastAccessTime;  
LARGE\_INTEGER LastWriteTime;  
LARGE\_INTEGER ChangeTime;  
ULONG FileAttributes; //文件属性  
\} FILE\_BASIC\_INFORMATION, \*PFILE\_BASIC\_INFORMATION;

（3）当*FileInformationClass* 是**FileNameInformation** 时，输入和输出数据是[FILE\_NAME\_INFORMATION][FILE_STANDARD_INFORMATION]结构体，描述文件名信息。

typedef struct \_FILE\_NAME\_INFORMATION \{  
ULONG FileNameLength; //文件名长度  
WCHAR FileName\[1\]; //文件名  
\} FILE\_NAME\_INFORMATION, \*PFILE\_NAME\_INFORMATION;

（4）当*FileInformationClass* 是**FilePositionInformation** 时，输入和输出数据是[FILE\_POSITION\_INFORMATION][FILE_STANDARD_INFORMATION]结构体，描述文件指针位置信息。

typedef struct FILE\_POSITION\_INFORMATION \{  
LARGE\_INTEGER CurrentByteOffset; //代表当期文件指针为止  
\} FILE\_POSITION\_INFORMATION, \*PFILE\_POSITION\_INFORMATION;

示例代码：

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  **VOID** TetsFile() 
2.  \{ 
3.   UNICODE\_STRING string; 
4.   RtlInitUnicodeString(&string, L"\\\\??\\\\C:\\\\1.log"); 
5.  
6.   OBJECT\_ATTRIBUTES objattr; 
7.   InitializeObjectAttributes(&objattr, &string, OBJ\_CASE\_INSENSITIVE, NULL, NULL); 
8.  
9.  **HANDLE** hFile; 
10.  IO\_STATUS\_BLOCK iostatus; 
11. 
12. //打开文件
13.  NTSTATUS status = ZwCreateFile(&hFile, GENERIC\_READ, &objattr, &iostatus, NULL, 
14.  FILE\_ATTRIBUTE\_NORMAL, 0, FILE\_OPEN, FILE\_SYNCHRONOUS\_IO\_NONALERT, NULL, 0); 
15. 
16. **if** (!NT\_SUCCESS(status)) 
17.  \{ 
18.  KdPrint(("文件打开失败！\\n")); 
19.  \} 
20. **else**
21.  \{ 
22.  KdPrint(("文件打开成功！\\n")); 
23. 
24.  FILE\_BASIC\_INFORMATION fbi; 
25. 
26. //查询文件基本信息
27.  status = ZwQueryInformationFile(hFile, &iostatus, &fbi, **sizeof**(FILE\_BASIC\_INFORMATION), FileBasicInformation); 
28. 
29. **if** (NT\_SUCCESS(status)) 
30.  \{ 
31.  KdPrint(("查询文件属性成功！\\n")); 
32.  \} 
33. 
34. //设置文件只读属性 
35.  fbi.FileAttributes |= FILE\_ATTRIBUTE\_READONLY; 
36.  status = ZwSetInformationFile(hFile, &iostatus, &fbi, **sizeof**(FILE\_BASIC\_INFORMATION),FileBasicInformation); 
37. 
38. **if** (NT\_SUCCESS(status)) 
39.  \{ 
40.  KdPrint(("设置文件只读属性成功！\\n")); 
41.  \} 
42. //关闭文件句柄
43.  ZwClose(hFile); 
44.  \} 
45. \}

**3.文件的写操作**

**NTSTATUS**   
**ZwWriteFile(  
IN HANDLE** *FileHandle***,  
IN HANDLE** *Event* **OPTIONAL, //****一般设为NULL**  
**IN PIO\_APC\_ROUTINE** *ApcRoutine* **OPTIONAL, //****一般设为NULL**  
**IN PVOID** *ApcContext* **OPTIONAL, //****一般设为NULL**  
**OUT PIO\_STATUS\_BLOCK** *IoStatusBlock***, //****记录实际写的字节数**  
**IN PVOID** *Buffer***, //****从这个缓冲区中开始往文件里写**  
**IN ULONG** *Length***, //****准备写多少字节**  
**IN PLARGE\_INTEGER** *ByteOffset* **OPTIONAL, //****从文件的多少偏移开始写**  
**IN PULONG** *Key* **OPTIONAL //****一般设为NULL**  
**);**

*IoStatusBlock***：**IoStatusBlock*.*I**nformation记录实际写了多少字节。**

示例代码：

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  \#define BUFFER\_SIZE 1024
2.  \#pragma INITCODE
3.  **VOID** TetsFile() 
4.  \{ 
5.   UNICODE\_STRING string; 
6.   RtlInitUnicodeString(&string, L"\\\\??\\\\C:\\\\1.log"); 
7.  
8.   OBJECT\_ATTRIBUTES objattr; 
9.   InitializeObjectAttributes(&objattr, &string, OBJ\_CASE\_INSENSITIVE, NULL, NULL); 
10. 
11. **HANDLE** hFile; 
12.  IO\_STATUS\_BLOCK iostatus; 
13. 
14. //打开文件
15.  NTSTATUS status = ZwCreateFile(&hFile, GENERIC\_WRITE, &objattr, &iostatus, NULL, 
16.  FILE\_ATTRIBUTE\_NORMAL, FILE\_SHARE\_WRITE, FILE\_OPEN\_IF, FILE\_SYNCHRONOUS\_IO\_NONALERT, NULL, 0); 
17. 
18. //分配Buffer空间
19. **PUCHAR** pBuffer = (**PUCHAR**)ExAllocatePool(PagedPool, BUFFER\_SIZE); 
20.  RtlFillMemory(pBuffer, BUFFER\_SIZE, 'A'); 
21. //写文件
22.  status = ZwWriteFile(hFile, NULL, NULL, NULL, &iostatus, pBuffer, BUFFER\_SIZE, NULL, NULL); 
23. 
24.  LARGE\_INTEGER ByteOffset; 
25.  ByteOffset.QuadPart = 1024i64; //设置文件指针偏移
26.  RtlFillMemory(pBuffer, BUFFER\_SIZE, 'B'); 
27. 
28.  status = ZwWriteFile(hFile, NULL, NULL, NULL, &iostatus, pBuffer, BUFFER\_SIZE, &ByteOffset, NULL); 
29. //关闭文件句柄
30.  ZwClose(hFile); 
31. //释放内存
32.  ExFreePool(pBuffer); 
33. \}

**4.文件的读操作**

**NTSTATUS**   
**ZwReadFile(  
IN HANDLE** *FileHandle***,  
IN HANDLE** *Event* **OPTIONAL,  
IN PIO\_APC\_ROUTINE** *ApcRoutine* **OPTIONAL,  
IN PVOID** *ApcContext* **OPTIONAL,  
OUT PIO\_STATUS\_BLOCK** *IoStatusBlock***,  
OUT PVOID** *Buffer***,  
IN ULONG** *Length***,  
IN PLARGE\_INTEGER** *ByteOffset* **OPTIONAL,  
IN PULONG** *Key* **OPTIONAL  
);**

如果需要读取整个文件，那么得知道文件的大小，我们可以用ZwQueryInformationFile来实现。

示例代码：

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  \#pragma INITCODE
2.  **VOID** TetsFile() 
3.  \{ 
4.   UNICODE\_STRING string; 
5.   RtlInitUnicodeString(&string, L"\\\\??\\\\C:\\\\1.log"); 
6.  
7.   OBJECT\_ATTRIBUTES objattr; 
8.   InitializeObjectAttributes(&objattr, &string, OBJ\_CASE\_INSENSITIVE, NULL, NULL); 
9.  
10. **HANDLE** hFile; 
11.  IO\_STATUS\_BLOCK iostatus; 
12. 
13. //打开文件
14.  NTSTATUS status = ZwCreateFile(&hFile, GENERIC\_READ, &objattr, &iostatus, NULL, 
15.  FILE\_ATTRIBUTE\_NORMAL, FILE\_SHARE\_READ, FILE\_OPEN, FILE\_SYNCHRONOUS\_IO\_NONALERT, NULL, 0); 
16. 
17. //获得文件的大小
18.  FILE\_STANDARD\_INFORMATION fsi; 
19.  status = ZwQueryInformationFile(hFile, &iostatus, &fsi, **sizeof**(FILE\_STANDARD\_INFORMATION), FileStandardInformation); 
20. 
21. //分配Buffer空间
22. **PUCHAR** pBuffer = (**PUCHAR**)ExAllocatePool(PagedPool, (**LONG**)fsi.EndOfFile.QuadPart); 
23. 
24. //读文件
25.  status = ZwReadFile(hFile, NULL, NULL, NULL, &iostatus, pBuffer, (**LONG**)fsi.EndOfFile.QuadPart, NULL, NULL); 
26.  KdPrint(("Read %d bytes\\n", iostatus.Information)); 
27. 
28. //关闭文件句柄
29.  ZwClose(hFile); 
30. //释放内存
31.  ExFreePool(pBuffer); 
32. \}

[view plain]: http://blog.csdn.net/whatday/article/details/24839049#
[CODE]: https://code.csdn.net/assets/CODE_ico.png
[CODE_CODE]: https://code.csdn.net/snippets/322097
[ico_fork.svg]: https://code.csdn.net/assets/ico_fork.svg
[ico_fork.svg 1]: https://code.csdn.net/snippets/322097/fork
[FILE_STANDARD_INFORMATION]: http://blog.csdn.net/whatday/article/details/24839049