C++ 遍历 MiniFilter

目的

实现一个类似 PCHunter 中的一个功能：

代码

功能参考：https://write-bug.com/article/2503.html
其余参考：https://blog.csdn.net/Simon798/article/details/103308039

// 获取 Operations 偏移
LONG GetOperationsOffset(){
	// 初始化
	RTL_OSVERSIONINFOW osInfo = { 0 };
	LONG lOperationsOffset = 0;

	// 获取系统版本信息
	RtlGetVersion(&osInfo);

	// 判断系统给版本
	if (6 == osInfo.dwMajorVersion){
		// Win7
		if (1 == osInfo.dwMinorVersion){
#ifdef _WIN64
			// 64 位
			lOperationsOffset = 0x188;
#else
			// 32 位
			lOperationsOffset = 0xCC;
#endif    
		}
		// Win8
		else if (2 == osInfo.dwMinorVersion){
#ifdef _WIN64
			// 64 位
#else
			// 32 位
#endif
		}
		// Win8.1
		else if (3 == osInfo.dwMinorVersion){
#ifdef _WIN64
			// 64 位
			lOperationsOffset = 0x198;
#else
			// 32 位
			lOperationsOffset = 0xD4;
#endif            
		}
	}
	// Win10
	else if (10 == osInfo.dwMajorVersion){
#ifdef _WIN64
		// 64 位
		lOperationsOffset = 0x1A8;
#else
		// 32 位
		lOperationsOffset = 0xE4;
#endif
	}

	return lOperationsOffset;
}

// 遍历 MiniFilter
NTSTATUS EnumMiniFilter() {
	// 定义返回值
	NTSTATUS status;

	// 获取 Minifilter 数量
	ULONG ul_fliterList_size = 0;
	FltEnumerateFilters(NULL, 0, &ul_fliterList_size);

	// 申请内存
	PFLT_FILTER* pp_fliterList = NULL;
	pp_fliterList = (PFLT_FILTER*)ExAllocatePoolWithTag(
		NonPagedPool,								// 非分页内存
		ul_fliterList_size * sizeof(PFLT_FILTER),	// 分配的字节数
		'T_1'										// 内存空间标识
	);
	if (pp_fliterList == NULL){
		DbgPrint("ExAllocatePoolWithTag error:%X", STATUS_INSUFFICIENT_RESOURCES);
		return STATUS_INSUFFICIENT_RESOURCES;
	}

	// 获取 Minifilter 中所有 Filter 的信息
	status = FltEnumerateFilters(
		pp_fliterList,				// 接受 PFLT_FILTER 数组
		ul_fliterList_size,			// 数组长度
		&ul_fliterList_size			// 接收实际数组长度
	);
	if (!NT_SUCCESS(status)){
		DbgPrint("FltEnumerateFilters error:%X", status);
		return status;
	}
	DbgPrint("ul_fliterList_size = %d", ul_fliterList_size);

	// 遍历 Minifilter
	PFLT_OPERATION_REGISTRATION p_FOR = NULL;
	for (ULONG i = 0; i < ul_fliterList_size; i++) {
		// 获取 PFLT_FILTER 中 Operations 成员地址
		p_FOR = (PFLT_OPERATION_REGISTRATION)(*(PVOID*)((UCHAR*)pp_fliterList[i] + GetOperationsOffset()));

		// 遍历回调函数
		while (p_FOR->MajorFunction != IRP_MJ_OPERATION_END) {
			// 打印
			DbgPrint("[Filter = %p]IRP = %d, PreFunc = 0x%p, PostFunc = 0x%p",
				pp_fliterList[i],
				p_FOR->MajorFunction,
				p_FOR->PreOperation,
				p_FOR->PostOperation
			);

			// 获取下一个消息回调信息
			p_FOR = (PFLT_OPERATION_REGISTRATION)((UCHAR*)p_FOR + sizeof(FLT_OPERATION_REGISTRATION));
		}

	}

	// 释放内存
	ExFreePool(pp_fliterList);

	return STATUS_SUCCESS;
}

效果图