3.3关键技术详解

对于用户的文件操作请求，Windows 用户层中对文件的各种操作映射到微过滤驱动中就转化为类型为Create，Read，Write 和Close 等的I/O 操作，因此只要对这些操作的内容进行过滤处理，即可达到透明加解密的目的。首先在IRP_MJ_CREATE 中查询目标文件是否是监控文件类型，创建一个StreamContext 并附着在文件对象上，并在StreamContext 中设置加解密标志。在正常的文件读写编辑过程中，在IRP_MJ_READ 后操作对读取的内容进行解密处理，在IRP_MJ_WRITE 预操作中对写入的内容进行加密处理，由此对文件读取实现了加解密处理。由于Windows 系统自带的缓存机制会导致文件明文泄露，因此还需要在操作中实时清理系统缓存。

3.3.1注册与安装Minifilter驱动

3.3.1.1 注册Minifilter驱动

Minifilter驱动程序的入口点仍然是DriverEntry函数，DriverEntry函数的原型是

NTSTATUS DriverEntry ( 

__in PDRIVER_OBJECT DriverObject,

 __in PUNICODE_STRING RegistryPath

);

DriverObject在驱动加载时候由系统创建，RegisterPath是Minifilter在注册表中的键值，对于Minifilter而言，DriverEntry函数最主要的功能是实现过滤管理器的注册，即调用FltRegisterFilter函数，该函数原型为：

NTSTATUS FltRegisterFilter(

IN PDRIVER_OBJECT Driver,

IN CONST FLT_REGISTRATION *Registration,

OUT PFLT_FILTER *RetFilter

);

FltRegisterFilter 是本驱动对象的指针，Registration 是一个指向FLT_REGISTRATION 结构体的指针，它包含了Minifilter 处理I/O 操作的一系列回调例程的指针，RetFilter 是接受输出参数，即过滤器指针，这个指针被用来作为后续需要的所有回调例程的输入参数。FLT_REGISTRATION 为Filter Manager 提供了Minifilter 驱动需要的回调例程的信息，Minifilter 就是使用这些回调例程来过滤I/O 请求的。在本系统中，我们的Registration定义如下：

CONST FLT_REGISTRATION FilterRegistration = {

    sizeof( FLT_REGISTRATION ),         //  Size

    FLT_REGISTRATION_VERSION,           //  Version

    0,                                  //  Flags

    Context_Array,                  //  Context

    Dispatch_Array,                 //  Operation callbacks

    DriverExit,                         //  FilterUnload

    SetupInstance,                  //  InstanceSetup

    NULL,                               //  InstanceQueryTeardown

    NULL,                               //  InstanceTeardownStart

    NULL,                               //  InstanceTeardownComplete

    NULL,                               //  GenerateFileName

    NULL,                               //  GenerateDestinationFileName

    NULL                                //  NormalizeNameComponent

};

Context_Array用来注册上下文管理函数，Dispatch_Array是注册处理IRP请求时候的回调函数，是整个MiniFilter的核心。

Context_Array定义：

CONST FLT_CONTEXT_REGISTRATION Context_Array[] = {

{ FLT_VOLUME_CONTEXT, 0, CleanupContext, sizeof(VOLUME_CONTEXT), CONTEXT_TAG },

    { FLT_STREAM_CONTEXT, 0, CleanupContext, STREAM_CONTEXT_SIZE,    STREAM_CONTEXT_TAG },

{ FLT_CONTEXT_END }

};

CleanupContext函数是Context清理函数，用来释放上下文信息。

Dispatch_Array定义：

CONST FLT_OPERATION_REGISTRATION Dispatch_Array[] = {

{ IRP_MJ_CREATE,  FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO, 

                               PreCreate,    PostCreate },

{ IRP_MJ_CLEANUP, FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO, 

                               PreCleanup,   NULL },

{ IRP_MJ_CLOSE,   0,  PreClose,     NULL },

{ IRP_MJ_QUERY_INFORMATION, 0, PreQueryInfo, PostQueryInfo },

{ IRP_MJ_SET_INFORMATION,   0, PreSetInfo,   PostSetInfo },

{ IRP_MJ_DIRECTORY_CONTROL, 0, PreDirCtrl,   PostDirCtrl },

    { IRP_MJ_READ,              0, PreRead,      PostRead },

    { IRP_MJ_WRITE,             0, PreWrite,     PostWrite }, 

    { IRP_MJ_OPERATION_END }

};

3.3.1.2驱动安装：Inf文件注册

驱动程序设计完毕之后，安装到用户PC上的方法有函数注册与Inf文件注册这两大类方法，这里我们选择的是使用Inf文件在注册表中进行注册，这部分也说明在我们的文件透明加解密驱动在系统的设备栈中所处的位置。

;;;

;;; SYSTE

;;;

;;;

;;; Copyright (c) 2001, Microsoft Corporation

;;;

[Version]

signature   = "$Windows NT$"

Class       = "ActivityMonitor"                         ;This is determined by the work this filter driver does

ClassGuid   = {b86dff51-a31e-4bac-b3cf-e8cfe75c9fc2}    ;This value is determined by the Class

Provider    = %Msft%

DriverVer   = 06/16/2007,1.0.0.3

CatalogFile = SYSTE.cat

[DestinationDirs]

DefaultDestDir          = 12

MiniFilter.DriverFiles  = 12            ;%windir%\system32\drivers

;;

;; Default install sections

;;

[DefaultInstall]

OptionDesc          = %ServiceDescription%

CopyFiles           = MiniFilter.DriverFiles

[DefaultInstall.Services]

AddService          = %ServiceName%,,MiniFilter.Service

;;

;; Default uninstall sections

;;

[DefaultUninstall]

DelFiles   = MiniFilter.DriverFiles

[DefaultUninstall.Services]

DelService = SYSTE,0x200      ;Ensure service is stopped before deleting

;

; Services Section

;

[MiniFilter.Service]

DisplayName      = %ServiceName%

Description      = %ServiceDescription%

ServiceBinary    = %12%\%DriverName%.sys        ;%windir%\system32\drivers\

Dependencies     = "FltMgr"

ServiceType      = 2                            ;SERVICE_FILE_SYSTEM_DRIVER

;StartType        = 0                           ;SERVICE_BOOT_START

StartType        = 3                            ;SERVICE_DEMAND_START

ErrorControl     = 1                            ;SERVICE_ERROR_NORMAL

LoadOrderGroup   = "FSFilter Encryption"

AddReg           = MiniFilter.AddRegistry

;

; Registry Modifications

;

[MiniFilter.AddRegistry]

HKR,"Instances","DefaultInstance",0x00000000,%Instance1.Name%

HKR,"Instances\"%Instance1.Name%,"Altitude",0x00000000,%Instance1.Altitude%

HKR,"Instances\"%Instance1.Name%,"Flags",0x00010001,%Instance1.Flags%

;

; Copy Files

;

[MiniFilter.DriverFiles]

%DriverName%.sys

[SourceDisksFiles]

SYSTE.sys = 1,,

[SourceDisksNames]

1 = %DiskId1%,,,

;;

;; String Section

;;

[Strings]

Msft                    = "Microsoft Corporation"

ServiceDescription      = "encryption SYSTE minfilter Driver"

ServiceName             = "SYSTE"

DriverName              = "SYSTE"

DiskId1                 = "SYSTE Device Installation Disk"

;Instances specific information.

Instance1.Name          = "SYSTE Instance"

Instance1.Altitude      = "141000"

Instance1.Flags         = 0x0          ; allow automatic attachments

3.3.3.1 文件缓冲处理

    Windows操作系统为用户提供了巧妙的缓存机制，即只要一个文件被以缓冲方式打开过，则其内容的全部或者一部分就已经保存在了内存里。一般来说，一个文件无论有多少个进程在访问，都只有一份文件缓冲。一般的应用层的读写请求都是普通的读写请求(不带IRP_PAGING_IO/IRP_SYNCHRONOUS_PAGING_IO/IRP_NOCACHE),这种请求的特点是文件系统会直接调用CcCopyRead和CcCopyWrite函数完成，这两个函数会直接从缓冲中读数据，如果缓冲中没有，才会转换为分页读写请求。而如果系统中已经存在了该文件的文件缓冲，那么应用层的读写请求往往会被转化为Fast IO请求。

    对于IO操作，Irp机制是最基本、默认的处理机制。Irp机制可以用于同步的、异步的、cached或者noncached IO操作。当遇到“缺页中断”时，Memory Manager也会通过发送相应的Irp包给文件系统来处理。 而 FastIO 的设计初衷则是用来处理快速的、同步的、并且“on cached files”的IO操作。当进行 FastIO 操作时，所需处理的数据是直接在用户buffer和系统缓存中进行传输的，而不是通过文件系统和存储器驱动栈（storage driver stack）。事实上存储器驱动并不使用FastIO机制。当需要处理的数据已经存在于系统缓存，则采用FastIO机制的读写操作立刻就可以完成。否则，系统会产生一个缺页中断，这会导致系统发送相应的IRP包来完成用户所需的读写操作。通常发生这种情况（指：所需的数据不在系统缓存的情况）的时候，FastIO函数会返回FALSE，或者一直等到缺页中端响应函数把所需的数据都加载到系统缓存中。（注：如果FastIO处理函数返回FALSE，那么调用者必须自己创建相应Irp来完成所需的处理。）

缓冲文件读写

    缓冲管理器使用文件映射来缓冲文件数据，文件的缓冲初始化是通过文件系统驱动对缓冲管理器的一个调用（CcInitializeCacheMap)完成。收到这样一个请求的时候，缓冲管理器调用 VMM(Virtual Memory Manager)来创建表示文件映射的段对象，也就是整个文件数据内容。接下来，当一个进程试图访问属于这个文件的数据时，缓冲管理器动态映射这个文件到系统虚拟地址空间中为他保留的虚拟地址范围的适当地方。但由于保留给缓冲管理器的地址范围是固定的，所以缓冲管理器可能需要丢弃一些以前的文件缓冲数据。

3.3.4.3 文件防重入与查询处理

psFileStandardInfo->AllocationSize.QuadPart = pStreamCtx->FileValidLength.QuadPart + (PAGE_SIZE - (pStreamCtx->FileValidLength.QuadPart%PAGE_SIZE));

psFileStandardInfo->EndOfFile = pStreamCtx->FileValidLength ;

② IRP_MJ_SET_INFORMATION

类似于Query的处理，这里在用户发出设置文件大小的请求的时候会自动添加上文件尾加密标识的长度。不过当用户设置大小之后需要使用Ctx_UpdateNameInStreamContext函数在文件的流上下文中更新文件的相关信息以防对于别的操作产生影响。