Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

перехват копирования [WinXP]

Страницы: < 1 2 3 >
mrAlert © (2007-12-18 14:29:00)
Здравствуйте.
пишу службу для перехвата копирования любых файлов в windows
ставил хуки на wm_copy,wm_copydata - не то.
подскажите пожайлуста, как реализовать перехват копирования

miek (2007-12-20 10:16:00) [21]
>Я вот не понимаю, что ты хочешь добиться?

он хочет проследить - что куда копируется.

>задача практически не решаема

задача практически решаема.

одно мне непонятно - почему бы просто не поставить аудит на успех на эту папку и потом смотреть логи.

Сергей М. (2007-12-20 10:14:00) [22]

> любым доступным методом винды

И каковые же, позволь полюбопытствовать, "методы винды" относятся к "доступным" ?

Что это вообще за "методы" ?
Подозреваю, что к оным причислены лишь телодвижения юзера в окнах Эксплорера ..

DVM (2007-12-20 08:45:00) [23]
Если уж чего и перехватывать, то это CreateFile и то что ниже ее.

DVM (2007-12-20 08:43:00) [24]
И без функции копирования вообще

DVM (2007-12-20 08:43:00) [25]

> mrAlert (20.12.07 07:35) [26]

Я вот не понимаю, что ты хочешь добиться? Чтобы юзер мог читать, но не мог скопировать файл? А создавать новые файлы юзер имеет право?
Если он имеет право читать и создавать - то все что надо он унесет куда угодно.

mrAlert (2007-12-20 07:35:00) [26]
дошел до следующего:
при копировании файла любым доступным методом винды, обязательно используется CopyFileExW(...) из kernel32.dll
вопрос: как её (не copyfileex из windows.dcu) перехватить????

DVM (2007-12-20 00:06:00) [27]

> поставить рядом с монитором пару мощных магнетронов

Это и против юзеров эффективно - все тайны юзеры просто будут уносить в могилу. т.к. умирать будут часто.

Dib@zol (2007-12-19 22:08:00) [28]
Надо на монитор повесить такую штукенцию как у Людей в черном: типа нажал - туц, вспышка - и нифика не помнишь... А против фотиков - поставить рядом с монитором пару мощных магнетронов от микроволновок
%))))

DVM (2007-12-19 22:05:00) [29]

> не спорю на счет дурацких, но проконтралировать вынос файлов
> надо

Отключить USB-флэшки, отключить ком от инета, убрать все внешние накопители и приводы жисков, корпус опечатать. Права админа отобрать, политики настроить.

Но даже в этом случае юзер может вынести информацию просто запомнив ее или сфотографировав монитор :)

DVM (2007-12-19 22:00:00) [30]
паранойю лечить надо.

Riply (2007-12-19 16:25:00) [31]
> [19] mrAlert (19.12.07 15:06)
В твоей постановке "не спорю на счет дурацких, но проконтралировать вынос файлов надо",
задача практически не решаема. Можно "скпировать" тысячьюразличных способов и explorer
здесь совершенно не при чем. IMHO не трать время.

Сергей М. (2007-12-19 15:29:00) [32]

> mrAlert (19.12.07 15:06) [19]

> как отследить их вызов

"их" - это кого?

mrAlert (2007-12-19 15:06:00) [33]
с пом. filmon наткнулся на следующее:
при создании файла во время копирования explorer обязательно обращается по адресу 00130196, (если через cmd copy ... то другое)
при простом создании файла (пкм-создать....) по адресу 0012019F
ну для других операций другие постоянные адреса

но как отследить их вызов???

Сергей М. (2007-12-19 14:03:00) [34]

> mrAlert (19.12.07 14:00) [17]

Твоя задача в общем случае не решаема.

mrAlert (2007-12-19 14:00:00) [35]
еще разбирался с программой filmon, что такое irp_mj_query_information, irp_mj_create ... и т.д.
они обязательно присутствуют при операциях копирования

mrAlert (2007-12-19 11:58:00) [36]
я думаю, что можно обойтись без ломания ядра. прога filmon ничего не правит, но отслеживает почти все события в системе на winapi.
что-то слышал про создание com-сервера для icopyhook, но не смог разобраться.

Slym (2007-12-19 04:10:00) [37]
http://www.yandex.ru/yandsearch?rpt=rad&text=devicelock

J_f_S (2007-12-19 02:47:00) [38]
Перехват фукнций ядра, причем как раз на примере NtOpenFile и NtCreateFile.
http://wasm.ru/article.php?article=tracknapi

slow!alfamoon!com (2007-12-18 17:25:00) [39]
Конечно, для контроля копирования файлов (кроме копирования с шар) вполне достаточно перехвата NtCreateFile,NtReadFile,NtWriteFile. Сделать это можно как в ядре (править экспорт ядра, возможно какие-то функции не экспортируемые), так и в юзермоде.
Но надо понимать, что при таком контроле даже из юзермода вполне спокойно можно скопировать файлы как минимум двумя способами

Riply (2007-12-18 15:44:00) [40]
> [11] Сергей М. © (18.12.07 15:37)
> Короче, упомянула всуе)

Нет. Не хотела на свой пост услышать возражения типа:
"При помощи драйвера это легко реализуется" :)

Страницы: < 1 2 3 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »