c# - Hook 哪些用户模式函数以监视/拦截文件访问？

Question

我可以 Hook Windows 7 中的哪些用户模式函数来监视/拦截文件访问？

我试过 ntdll.dll 的 NtOpenFile()、NtCreateFile()，但其中一些不是文件——它们也是管道和互斥锁。 kernel32.dll 的 CreateFile() 也是如此。是否有仅调用以访问文件/目录的函数。如果有帮助，我试图只 Hook explorer.exe 以防止访问 firefox.exe。我也在使用 EasyHook，如果你们熟悉的话。

我想我也曾在某处读到过，使用 NtOpenFile/NtCreateFile 的参数，您可以区分文件访问/管道访问。但这仍然有点模糊。有没有好用的hook函数？

编辑:请记住我确实需要拦截文件访问以防止访问某些文件。 EasyHook 是一个很好的解决方案，因为它允许我在 C# 托管代码中通过几个简单的步骤执行复杂的 Hook 。

Answer 1

没有只打开文件的“文件打开功能”。此外，仅使用 Detours 支持 Hook 。最后，您必须确保运行此程序的所有计算机都安装了 .NET 4.0，以便它们可以运行进程内 SxS。

一个更好的解决方案是更改 firefox.exe 的文件权限。这是一个不需要 Detours 许可的解决方案，并且受到支持。