Minifilter实现文件备份技术详解

1. 背景与需求

在分析某些内核驱动软件时，经常会遇到驱动加载后自删除的情况，导致无法获取原始驱动文件进行逆向分析。本文介绍如何利用Windows Minifilter框架实现文件备份功能，解决这一问题。

2. 技术原理

Minifilter是Windows提供的一种文件系统过滤驱动框架，允许开发者在文件系统操作的关键点上插入回调函数。通过注册适当的回调，我们可以拦截文件操作并实现备份功能。

3. 实现步骤

3.1 获取目标文件名

首先需要确定要备份的文件名格式：

FltGetFileNameInformation(nameInfo);

文件名结构通常如下：

\Device\HarddiskVolumex\xxxxx\...\xxxxx.sys

3.2 注册回调函数

注册针对IRP_MJ_WRITE的回调函数，通过dbgPrint输出调试信息来定位目标驱动文件。

3.3 实现备份逻辑

整体备份思路：

1. 判断文件名：通过nameInfo.Name决定是否需要进行备份
2. 获取文件大小：确定目标文件的大小
3. 获取文件句柄：
   • 使用FltCreateFileEx打开目标文件
   • 创建备份文件
4. 文件内容复制：分段读取原文件内容并写入备份文件

3.4 通信机制优化

初始实现使用硬编码的目标文件和备份文件路径，不够灵活。可以通过用户态-内核态通信实现动态配置：

1. 创建通信端口：

   FltCreateCommunicationPort
   

2. 设置安全描述符：

   FltBuildDefaultSecurityDescriptor
   

3. 实现连接回调：

   • fltDisConnectNotifyCallback（可忽略）
   • fltConnectNotifyCallback

4. 定义通信结构体：需要在驱动卸载时释放相关资源

3.5 用户态交互

用户态程序可以通过以下方式与驱动通信：

1. 直接连接传输数据：

   FilterConnectCommunicationPort
   

   在连接时通过回调一次性传输所有数据，无需实现MessageNotifyCallback

2. 消息机制（更符合直觉的方式）：

   FilterSendMessage
   

   通过MessageNotifyCallback处理消息

4. 关键API详解

4.1 FltGetFileNameInformation

获取文件或目录的名称信息，返回FLT_FILE_NAME_INFORMATION结构。

4.2 FltCreateFileEx

类似于ZwCreateFile，但专为文件系统过滤驱动设计，提供更安全的文件打开方式。

4.3 FltCreateCommunicationPort

创建用于用户态与内核态通信的端口，参数包括：

• 安全描述符
• 连接通知回调
• 断开连接通知回调
• 消息通知回调

4.4 FltBuildDefaultSecurityDescriptor

构建默认的安全描述符，确保通信端口有适当的访问权限。

5. 实现注意事项

1. 内存管理：所有在内核态分配的资源（如通信结构体）必须确保在驱动卸载时正确释放
2. 同步处理：多线程环境下需要考虑同步问题
3. 错误处理：所有内核API调用都需要检查返回值
4. 性能影响：文件操作回调应尽可能高效，避免影响系统性能

6. 扩展应用

此技术不仅可用于驱动备份，还可应用于：

• 文件操作监控
• 实时防病毒扫描
• 文件内容过滤
• 数据泄露防护

通过调整回调注册点和处理逻辑，可以实现各种文件系统相关的功能扩展。