Для получения старых обработчиков необходимо отключить защиту ядра от записи и функцией InterlockedExchange подменить их.
DeviceControlRoutine - эта точка входа вызывается Диспетчером Ввода/вывода, она необходима, чтобы запросить драйвер инициировать некоторую операцию ввода/вывода. Соответственно, здесь, в случае получения от пользовательского приложения IOCTL_PROTECT_FILE вызываются функции скрытия (PrtAddRule) или открытия (PrtDelRule) файла.
PrtFindRule - функция, просматривающая линейный список уже созданных правил на предмет совпадения имен. Так как представление имен файлов может быть различным, сравнивать имена нужно с конца.
PrtAddRule / PrtDelRule - функции создания и удаления правил о сокрытии файлов. При создании или удалении правила, необходимо проверить его наличие, для этого вызывается функция PrtFindRule. Так как это критическая область, то в этой функции может находиться только один поток, значит необходимо использовать такое средство синхронизации, как семафор.
NewDirectoryControl - обработчик запроса IRP_MJ_DIRECTORY_CONTROL, выполняющего определенную драйвером функцию для существующего файла (в данном случае его сокрытие)
NewCreate - обработчик запроса IRP_MJ_CREATE, соответствующий запросу на обращение к некоторому файлу. При этом проверяется, есть ли правило о сокрытии данного файла в списке правил, и, если оно было найдено, то возвращается STATUS_UNSUCCESSFUL.
1
2.4 Описание функций пользовательского приложения
Часть проекта, работающая в режиме пользователя, представляет собой визуальное приложение, которое предоставляет удобный интерфейс для работы с драйвером, а также реализует все необходимые функции для работы с ним.
RequestDevice - функция получает handle драйвера и посылает ему драйверу с IOCTL кодом с помощью вызова DeviceIoControl
DriverLoad - при загрузке создается ключ реестра с параметрами директории образа драйвера и его типа, потом вызывается функция NtLoadDriver. Если драйвер уже был загружен в память, то возвращается его handle, иначе возвращается STATUS_SUCCESS
DriverUnload - при выгрузке драйвера из памяти вызывается функция NtUnloadDriver
DriverHideObject - функция заполняет структуру request типа REQUEST_BUFFER, описанную выше, и передает управление функции RequestDevice
Схематически взаимодействие драйвера и приложения отображено в разделе «структура разрабатываемого программного продукта».
Рассмотрим конкретные средства осуществления этого механизма. В функции DriverEntry выполняется регистрация рабочих процедур. Регистрация производится путем заполнения элементов массива MajorFunction. Индексом в этом массиве является коды IRP_MJ_xxx, то есть описанные числами типы пакетов IRP. Если драйвер считает необходимым обрабатывать IRP запросы какого-либо типа, то в соответствующем элементе массива MajorFuncrion он регистрирует соответствующую функцию (записывает ее адрес). Диспетчер ввода/вывода, ориентируясь на заполнение этого массива, вызывает нужные функции драйвера Dispatch Routines.
В результате вызова в пользовательском приложении функции DeviceIoControl, код IRP пакета поступившего из Диспетчера ввода/вывода будет иметь код IRP_MJ_DEVICE_CONTROL, а одним из внутренних параметров данного IRP пакета будет указанный в вызове функции DeviceIoControl код IOCTL.
Процедура DeviceControlRoutine, описанная в драйвере, предназначена для обработки запросов Диспечера ввода/вывода, которые он формирует в виде IRP пакетов.
В драйвере реализована обработка IOCTL запроса IOCTL_PROTECT_FILE, уже описанного выше.
3. Технологический раздел
3.1 Выбор языка и среды программирования
Сегодня существует большое количество как различных средств разработки, так и платформ. Наиболее используемые в настоящее время языки программирования: C++/MFC, Win32/C++, Visual Basic, Java, Delphi, C#.
Выбор языка программирования сразу же был сделан в пользу C/C++. Будучи языком высокого уровня, он все же предоставляет программисту полный контроль над машиной, позволяет легко переходить на язык более низкого уровня (ассемблер). С++ является мировым стандартом для приложений, где нужно быстродействие и малый размер кода при достаточно глобальных масштабах проекта.
Для написания драйвера использовался язык С, т.к. Windows XP не поддерживает использование C++ для компонентов ядра. Для этого имеется ряд причин:
- отсутствие библиотеки времени исполнения (runtime library), а, следовательно, и определяемых в ней глобальных операторов new и delete;
- отсутствие поддержки исключительных ситуаций C++;
- нет поддержки инициализации глобальных экземпляров классов.
Для разработки драйвера была использована специализированная среда для разработки драйверов - Driver Development Kit (DDK) для Windows XP Service Pack 1 от Microsoft Windows. В частности, утилита BUILD. Эта утилита позволяет создавать любой тип исполняемого файла, поддерживаемый NT с использованием командной строки. Для отладки драйвера использовался режим построения исполняемого файла - Checked build, который позволяет выводить трассировочную информацию с помощью функции DbgPrint(). Для ее просмотра использовалась программа Марка Руссиновича DebugView.
Для разработки пользовательского приложения использовалась среда Microsoft Visual Studio 2005, поскольку она дает мощные и гибкие средства разработки программного продукта.
Для создания максимально переносимого приложения для разработки было использовано WinAPI, что дает возможность пользовательскому приложению работать на всех компьютерах вне зависимости от того, установлен ли на нем FrameWork 2.x. Решающим фактором стало то, что WinAPI дает максимальную скорость выполнения, т.к. в любом случае все функции построены на API средствах Windows и являются лишь их «оберткой», что существенно снижает их эффективность.
При разработке обеих частей проекта была реализована модульность для обеспечения необходимой структурированности, устранения громоздкости кода, и унификации отдельных частей программы с целью обеспечения возможности пользоваться фрагментами программы при написании других приложений и для удобства дальнейшего развития проекта.
3.2 Пользовательский интерфейс
При запуске программы автоматически создается дерево файлов всех дисков NTFS на компьютере. Для загрузки драйвера в память нужно нажать на кнопку «загрузить». При успешной загрузке драйвера будет выдано соответствующее сообщение, в случае ошибки (например, если драйвер уже находится в памяти) пользователю будет выдан тип ошибки.
Рис.7. Вид главного окна
Для сокрытия файлов необходимо выбрать соответствующий файл из каталога файлов и перетащить его в правую сторону, либо нажать на верхнюю кнопку со стрелочкой влево.
Если при закрытии приложения драйвер не был выгружен из памяти, то при последующем запуске все скрытые ранее фалы будут показываться в левом окне приложения. Все скрытые файлы хранятся в реестре в ветке HKEY_LOCAL_MACHINE\SYSTEM\Rootkit и удаляются оттуда либо при поступлении команды о снятии правила с файла. Для того, чтобы снять все правила, необходимо нажать на самую нижнюю кнопку и все файлы, находящиеся слева станут видимыми для пользователя.
При сокрытии файлов необходимо помнить о том, что нельзя скрывать те файлы, которые используются в настоящий момент (!) или к ним возможно последующее обращение (!). Если система не сможет получить доступ к файлу, то для этого файла будут накапливаться необработанные сообщения, что приведет к краху системы.
Рис.8. Вид директории до сокрытия файла DjvuReader.exe
Рис.8. Вид директории после сокрытия файла DjvuReader.exe
3.3 Тестирование драйвера
Для тестирования драйвера использовалась программа Driver Verifier, входящая в состав Driver Development Kit (DDK) для Windows XP Service Pack 1 от Microsoft Windows, которая проверяет правильность следующих тестов:
1. Операции с пулами памяти;
2. Корректность уровней IRQL, на которых выполняется код драйвера;
3. Обнаружение взаимоблокировок;
4. Выполнение DMA операций;
5. Стресс-тест (нехватка ресурсов);
Рис.9. Диспетчер проверки драйверов
Все тесты прошли успешно. Память в системе распределялась правильно, ошибок с ней не возникало. На нехватку ресурсов драйвер реагировал корректно. Нетипичные запросы к драйверу не обрабатывались им.
Выводы
В ходе разработки проекта были исследованы и проанализированы подходы к решению проблемы скрытия файлов.
В результате работы над проектом создано программное средство, позволяющее скрывать файлы и папки в ОС Windows XP с помощью установки драйвера-фильтра файловой системы и обеспечивающее интерактивное взаимодействие с пользователем посредством приложения уровня пользователя. Данный программный продукт может использоваться как обычными пользователями для скрытия информации на компьютере, так и в ходе разработки системного программного обеспечения, поскольку возможно расширение функциональности созданной программы, путем добавления обработчиков соответствующих IRP - запросов в драйвер.
Фильтр-драйвер был протестирован с помощью тестовых утилит из состава пакета DDK и отвечает всем современным требованиям, накладываемым ОС Windows на характеристики драйверов.
Из недостатков реализованного проекта можно отметить невысокую степень защиты скрываемых данных - при перезагрузке системы в безопасном режиме, скрытые файлы и папки становятся снова видимыми. Эту проблему можно решить путем шифрования скрываемых данных, добавив реализацию соответствующих алгоритмов в пользовательское приложение, однако это, как было сказано в начале, выходит за рамки курсового проекта.
Список используемой литературы
1. В.П. Солдатов, Программирование драйверов Windows. Изд. 2-е, перераб. И доп. - М.: ООО «Бином-Пресс», 2004 г. - 480 с.: ил. ISBN 5-9518-0099-4
2. MSDN Library, Copyright 1987-2007 Microsoft Corporation
3. Д.Н. Колесниченко, Rootkits под Windows,теория и практика программирования шапок-невидимок, позволяющих скрывать от системы данные, процессы, сетевые соединения, изд. «Наука и Техника»,2006 г
4. Г. Хоглунг, Дж. Батлер, Руткиты - внедрение в ядро Windows, изд. «Питер», 2007 г.
5. Шрайбер С.Б., Недокументированные возможности Windows 2000, Изд. 1-е, 2002 год, «Питер»
Страницы: 1, 2, 3
