c++ - 我想创建一个微过滤器驱动程序来透明地重定向磁盘 i/o，但我在开始时遇到了麻烦

Question

我目前正在进行的一个项目需要实现一个 w/m 复制机制，该机制将用于以与 Windows XP 上的 Deep Freeze 或 Sandboxie 类似的方式重定向磁盘 i/o。如果可以的话，我还希望能够“挂载”用户修改过的文件，类似于 VirtualCloneDrive 如何模拟磁盘驱动器并在其上透明地挂载 ISO 镜像。

据我了解，此类程序使用微过滤器驱动程序来重定向 i/o 请求。标准流程将任何修改后的数据复制到辅助位置，然后读取/修改该存储以供后续访问该数据；所以我想我明白我需要在那里做什么。但是，在模拟 CD/DVD 驱动器并在其上安装镜像时，我完全迷失了。

我一直在网上(Google、MSDN、The Code Project 等)和诸如 Developing Drivers with the Windows Driver Foundation 等书籍中寻找。和 Windows NT File System Internals : A Developer's Guide ，但发现特定信息和示例(关于监控、拦截和重定向请求以及创建环回设备)被证明是困难的。我对所涉及的技术还很陌生，所以我可能无法只见树木不见森林。

我想知道是否有人遇到过类似情况并发现了任何有用的资源，或者可以为我指出正确的方向，以便我可以实现类似的功能。

编辑:我找到了this question这似乎是一个有用的资源(尽管不适用于我的特定用例)，因此我将其链接到此处以添加到任何即将到来的响应中。

一些澄清:

我正在尝试创建一个程序，该程序允许用户安装和使用应用程序而无需管理权限。该程序将通过将任何文件系统/注册表修改保存到单独的存储区域(例如，笔式驱动器或网络存储上的文件)然后允许将这些修改集成到运行主机程序的任何桌面中来运行.用 USB 笔随身携带您的桌面，将其插入，然后应用您的设置。

要重定向 I/O，我可以:

1. 修补进程的导入地址表 (IAT) 以在应用程序级别插入自定义代码。
2. 编写用户模式过滤驱动程序以动态修改请求。
3. 为了增强(实际上是)安全性，请实现内核模式驱动程序，以与 AV 软件类似的方式修补系统服务描述符表 (SSDT)。

每种方法都有优点和缺点。例如，方法三比方法一困难得多。它提供了更高的安全性，但即便如此 can be beaten (理论攻击从 96 年开始，实际攻击从 07 年开始。)

我最初考虑的是特定的安全功能(而不是类似于 WoW64 compatibility 设置的仅 i/o 重定向)；但是自从开始研究这个问题以来，我记得你不能永远保护用户免受自己的伤害，而且无论我为保护主机系统免受恶意进程或愚蠢用户的攻击付出了多少努力，它都可能被击败(或更有可能我会犯错误。)我还决定避免重新发明沙盒和防病毒轮子，而只专注于创建一些有用的功能。 “一个工具应该做好一项工作并把它做好”的理念赢得了胜利。

简而言之，我要做的就是实现类似于 VM 快照的功能，并将更改重定向到我自己的存储区域。下图有点过时了，但它可能比我现在更能传达我的意图:-)

Answer 1

WDK 在 samples/filesys/minifilter 下提供了有关微过滤器所需的所有示例，它们都有很好的文档记录，但有些部分有些困惑。但是，正如评论中提到的，这需要管理员权限才能使用，但任何形式的修补或 Hook 也是如此(请参阅 SeDebugPrivilege)