windows - Windows 防病毒软件如何与文件访问过程 Hook ？

Question

主题说明了一切。普通的防病毒软件必须拦截所有文件访问，扫描文件，然后选择性地拒绝对文件的访问(甚至可能向用户显示提示)。如何才能做到这一点？

我知道一种称为 API Hook 的方法，但这是一个非常肮脏的无证 hack——因此并不可靠。这样做的“官方”方式是什么？

或者，我有兴趣拦截可执行模块(.DLL、.EXE 等)的加载，而不仅仅是任意文件读取。

Answer 1

在最近的 Windows 版本中(至少从 XP 开始)有一个概念“过滤器”，可以使用 MS 过滤器管理器查看，(命令提示符下的 fltmc.exe)

这提供了一个低级 I/O Hook ，AV 程序可以访问并自动注册以将所有 I/O 请求传递给文件系统。这是一个工具包，您可以获取驱动程序以开发您自己的过滤器。

http://www.microsoft.com/whdc/driver/filterdrv/default.mspx是获取深度信息的起点。