实时监控文件复制(在线等待。。。。) ( 积分: 200 )

langzizheng · 2005-09-29

问题描述： 1：实时监控文件复制操作（不知道源文件及目标文件），获取复制的源文件名及目标文件名？ 2：如果该源文件满足某种规则时需要特殊处理。比如说：copy c:/123.txt 到 a:/123.txt时，拷贝到a盘的实际上是c:/123.txt 的一个加密文件。如何做到实时加密？ 请高手们指点谜经！！！ 我只有这么多分，不够以后补。。。。。！

langzizheng · 2005-09-29

问题描述： 1：实时监控文件复制操作（不知道源文件及目标文件），获取复制的源文件名及目标文件名？ 2：如果该源文件满足某种规则时需要特殊处理。比如说：copy c:/123.txt 到 a:/123.txt时，拷贝到a盘的实际上是c:/123.txt 的一个加密文件。如何做到实时加密？ 请高手们指点谜经！！！ 我只有这么多分，不够以后补。。。。。！

iamy · 2005-09-29

这是个很难的问题 用apihook不一定能够完全监控到文件访问 另外，从驱动级来考虑也不一定能够确定是不是拷贝的操作 个人看法

langzizheng · 2005-09-29

to:iamy 是不是只能用VXD 或者 WDM来写呀。我还没有头绪呢

铁男 · 2005-09-29

基本上,可以通过HOOK来实现,安道理上说,能拦截决大多数的文件操作 因为多数程序为了实现容易都是使用了API或者封装了API的东西来实现文件操作 不过对于那些基于硬件的文件操作只有底层的硬件编程来实现(需要拦截中断向量INT13实现)并且在NT内核的系统(就是winnt,2000,xp,2003)内不允许用户程序直接对硬件操作(为了系统安全起见)

langzizheng · 2005-09-30

还是晕呀，有没有人能指点一二？

wangergulei · 2005-09-30

所谓：不知道源文件及目标文件 是你要自己输入源文件及目标文件名呢？还是在机器上有别的程序进行该动作，而你要截获？

江南草 · 2005-09-30

ref to the example CopyHook, which shipped with delphi5 or earlier.

langzizheng · 2005-10-08

to wangergulei ：操作人员的动作，比如说你随便从c:拷贝一个文件到d: 要截获c:盘的文件名

newsmile · 2005-10-08

参考 http://www.xker.com/article/articleview/2005-5-1/article_view_1261.htm 类似帖子网上有很多，我编译后只能在98下起作用。

langzizheng · 2005-10-09

to newsmile:这个程序能起到监控作用，但他不能区分拷贝和新建立的文件，把拷贝和新建立的文件都表现为‘建立文件’，而且不能截获拷贝动作。比如说：copy c:/1.txt d:/1.txt 能否做到截获这个拷贝动作，让他不拷贝到d:/1.txt 而是拷贝到我默认的e:盘下面？

langzizheng · 2005-10-10

有没有人能指点一下呀，分数不够可以再加。

ggabcdef · 2005-10-11

我同意铁男的说法。 但是我想，可能不必关心硬件或Int13，只要知道是哪个DLL来完成文件拷贝操作的，而且对这个DLL有详细了解，那么替换这个DLL,可以记录拷贝过程和实现加密处理。

tianliangle2003 · 2005-10-24

在NT系统中一般只要hook住SHOperation就能获取当前复制，删除，重命名文件了

a-ming · 2005-11-08

在Windows下有一个未公开函数SHChangeNotifyRegister可以吧你的窗口添加到系统的系统消息监视链中，该函数在Delphi 中的定义如下： Function SHChangeNotifyRegister(hWnd,uFlags,dwEventID,uMSG,cItems:LongWord;         lpps

IDLSTRUCT):integer;stdcall;external 'Shell32.dll' index 2; 其中参数hWnd定义了监视系统操作的窗口得句柄，参数uFlags dwEventID定义监视操作参数，参数uMsg定义操作消息，参数cItems 定义附加参数，参数lpps指定一个PIDLSTRUCT结构，该结构指定监视的目录。    当函数调用成功之后，函数会返回一个监视操作句柄，同时系统就会将hWnd指定的窗口加入到操作监视链中，当有文件操作发生 时，系统会向hWnd发送uMsg指定的消息，我们只要在程序中加入该消息的处理函数就可以实现对系统操作的监视了。 如果要退出程序监视，就要调用另外一个未公开得函数SHChangeNotifyDeregister来取消程序监视。     下面是使用Delphi编写的具体程序实现范例，首先建立一个新的工程文件，然后在Form1中加入一个Button控件和一个Memo控件， 程序的代码如下： unit MAIN; interface uses  Windows, Messages, SysUtils, Classes, Graphics, Controls, Forms, Dialogs,  StdCtrls,shlobj,Activex; const  SHCNE_RENAMEITEM = $1;  SHCNE_CREATE = $2;  SHCNE_DELETE = $4;  SHCNE_MKDIR = $8;  SHCNE_RMDIR = $10;  SHCNE_MEDIAINSERTED = $20;  SHCNE_MEDIAREMOVED = $40;  SHCNE_DRIVEREMOVED = $80;  SHCNE_DRIVEADD = $100;  SHCNE_NETSHARE = $200;  SHCNE_NETUNSHARE = $400;  SHCNE_ATTRIBUTES = $800;  SHCNE_UPDATEDIR = $1000;  SHCNE_UPDATEITEM = $2000;  SHCNE_SERVERDISCONNECT = $4000;  SHCNE_UPDATEIMAGE = $8000;  SHCNE_DRIVEADDGUI = $10000;  SHCNE_RENAMEFOLDER = $20000;  SHCNE_FREESPACE = $40000;  SHCNE_ASSOCCHANGED = $8000000;  SHCNE_DISKEVENTS = $2381F;  SHCNE_GLOBALEVENTS = $C0581E0;  SHCNE_ALLEVENTS = $7FFFFFFF;  SHCNE_INTERRUPT = $80000000;  SHCNF_IDLIST = 0;               //  LPITEMIDLIST  SHCNF_PATHA = $1;               // path name  SHCNF_PRINTERA = $2;            // printer friendly name  SHCNF_DWORD = $3;               // DWORD  SHCNF_PATHW = $5;               // path name  SHCNF_PRINTERW = $6;            // printer friendly name  SHCNF_TYPE = $FF;  SHCNF_FLUSH = $1000;  SHCNF_FLUSHNOWAIT = $2000;  SHCNF_PATH = SHCNF_PATHW;  SHCNF_PRINTER = SHCNF_PRINTERW;  WM_SHNOTIFY = $401;  NOERROR = 0; type  TForm1 = class(TForm)    Memo1: TMemo;    Button1: TButton;    procedure FormClose(Sender: TObject; var Action: TCloseAction);    procedure Button1Click(Sender: TObject);    procedure FormCreate(Sender: TObject);  private    { Private declarations }    procedure WMShellReg(var Message:TMessage);message WM_SHNOTIFY;  public    { Public declarations }  end; type PSHNOTIFYSTRUCT=^SHNOTIFYSTRUCT;  SHNOTIFYSTRUCT = record    dwItem1 : PItemIDList;    dwItem2 : PItemIDList;  end; Type PSHFileInfoByte=^SHFileInfoByte;  _SHFileInfoByte = record    hIcon :Integer;    iIcon :Integer;    dwAttributes : Integer;    szDisplayName : array [0..259] of char;    szTypeName : array [0..79] of char;  end;  SHFileInfoByte=_SHFileInfoByte; Type PIDLSTRUCT = ^IDLSTRUCT;  _IDLSTRUCT = record    pidl : PItemIDList;    bWatchSubFolders : LongInt;  end;  IDLSTRUCT =_IDLSTRUCT; function SHNotify_Register(hWnd : Integer) : Bool; function SHNotify_UnRegister:Bool; function SHEventName(strPath1,strPath2:string;lParam:Integer):string; Function SHChangeNotifyDeregister(hNotify:integer):integer;stdcall;         external 'Shell32.dll' name 'SHChangeNotifyDeregister'; Function SHChangeNotifyRegister(hWnd,uFlags,dwEventID,uMSG,cItems:LongWord;         lpps

IDLSTRUCT):integer;stdcall;external 'Shell32.dll' name 'SHChangeNotifyRegister'; Function SHGetFileInfoPidl(pidl : PItemIDList;         dwFileAttributes : Integer;         psfib : PSHFILEINFOBYTE;         cbFileInfo : Integer;         uFlags : Integer):Integer;stdcall;         external 'Shell32.dll' name 'SHGetFileInfoA'; var  Form1: TForm1;  m_hSHNotify:Integer;  m_pidlDesktop : PItemIDList; implementation {$R *.dfm} function SHEventName(strPath1,strPath2:string;lParam:Integer):string; var  sEvent:String; begin  case lParam of        //根据参数设置提示消息    SHCNE_RENAMEITEM: sEvent := '重命名文件'+strPath1+'为'+strpath2;    SHCNE_CREATE: sEvent := '建立文件文件名：'+strPath1;    SHCNE_DELETE: sEvent := '删除文件文件名：'+strPath1;    SHCNE_MKDIR: sEvent := '新建目录目录名：'+strPath1;    SHCNE_RMDIR: sEvent := '删除目录目录名：'+strPath1;    SHCNE_MEDIAINSERTED: sEvent := strPath1+'中插入可移动存储介质';    SHCNE_MEDIAREMOVED: sEvent := strPath1+'中移去可移动存储介质'+strPath1+' '+strpath2;    SHCNE_DRIVEREMOVED: sEvent := '移去驱动器'+strPath1;    SHCNE_DRIVEADD: sEvent := '添加驱动器'+strPath1;    SHCNE_NETSHARE: sEvent := '改变目录'+strPath1+'的共享属性';    SHCNE_ATTRIBUTES: sEvent := '改变文件目录属性文件名'+strPath1;    SHCNE_UPDATEDIR: sEvent := '更新目录'+strPath1;    SHCNE_UPDATEITEM: sEvent := '更新文件文件名：'+strPath1;    SHCNE_SERVERDISCONNECT: sEvent := '断开与服务器的连接'+strPath1+' '+strpath2;    SHCNE_UPDATEIMAGE: sEvent := 'SHCNE_UPDATEIMAGE';    SHCNE_DRIVEADDGUI: sEvent := 'SHCNE_DRIVEADDGUI';    SHCNE_RENAMEFOLDER: sEvent := '重命名文件夹'+strPath1+'为'+strpath2;    SHCNE_FREESPACE: sEvent := '磁盘空间大小改变';    SHCNE_ASSOCCHANGED: sEvent := '改变文件关联';  else    sEvent:='未知操作'+IntToStr(lParam);  end;  Result:=sEvent; end; function SHNotify_Register(hWnd : Integer) : Bool; var  ps

IDLSTRUCT; begin  {$R-}  Result:=False;  New(ps);  If m_hSHNotify = 0 then begin    //获取桌面文件夹的Pidl    if SHGetSpecialFolderLocation(0, CSIDL_DESKTOP,m_pidlDesktop)<> NOERROR then        Form1.close;    if Boolean(m_pidlDesktop) then begin      ps.bWatchSubFolders := 1;      ps.pidl := m_pidlDesktop;      // 利用SHChangeNotifyRegister函数注册系统消息处理      m_hSHNotify := SHChangeNotifyRegister(hWnd, (SHCNF_TYPE Or SHCNF_IDLIST),      (SHCNE_ALLEVENTS Or SHCNE_INTERRUPT),      WM_SHNOTIFY, 1, ps);      Result := Boolean(m_hSHNotify);    end    Else      // 如果出现错误就使用 CoTaskMemFree函数来释放句柄      CoTaskMemFree(m_pidlDesktop);  End;  Dispose(ps);  {$R+} end; function SHNotify_UnRegister:Bool; begin  Result:=False;  If Boolean(m_hSHNotify) Then    //取消系统消息监视，同时释放桌面的Pidl    If Boolean(SHChangeNotifyDeregister(m_hSHNotify)) Then begin      {$R-}      m_hSHNotify := 0;      CoTaskMemFree(m_pidlDesktop);      Result := True;      {$R-}    End; end; procedure TForm1.WMShellReg(var Message:TMessage);       //系统消息处理函数 var  strPath1,strPath2:String;  charPath:array[0..259]of char;  pidlItem

SHNOTIFYSTRUCT; begin  pidlItem:=PSHNOTIFYSTRUCT(Message.wParam);  //获得系统消息相关得路径  SHGetPathFromIDList(pidlItem.dwItem1,charPath);  strPath1:=charPath;  SHGetPathFromIDList(pidlItem.dwItem2,charPath);  strPath2:=charPath;   Memo1.Lines.Add(SHEvEntName(strPath1,strPath2,Message.lParam)+chr(13)+chr(10)); end; procedure TForm1.FormClose(Sender: TObject; var Action: TCloseAction); begin  //在程序退出的同时删除监视  if Boolean(m_pidlDesktop) then    SHNotify_Unregister; end; procedure TForm1.Button1Click(Sender: TObject); //Button1的Click消息 begin  m_hSHNotify:=0;  if SHNotify_Register(Form1.Handle) then begin //注册Shell监视    ShowMessage('Shell监视程序成功注册');    Button1.Enabled := False;  end  else    ShowMessage('Shell监视程序注册失败'); end; procedure TForm1.FormCreate(Sender: TObject); begin  Button1.Caption := '打开监视'; end; end.

fffddd · 2005-11-24

顶上去

fffddd · 2005-11-24

2k下用啥函数。？

实时监控文件复制(在线等待。。。。) ( 积分: 200 )

langzizheng

Unregistered / Unconfirmed

langzizheng

Unregistered / Unconfirmed

iamy

Unregistered / Unconfirmed

langzizheng

Unregistered / Unconfirmed

铁男

Unregistered / Unconfirmed

langzizheng

Unregistered / Unconfirmed

wangergulei

Unregistered / Unconfirmed

江南草

Unregistered / Unconfirmed

langzizheng

Unregistered / Unconfirmed

newsmile

Unregistered / Unconfirmed

langzizheng

Unregistered / Unconfirmed

langzizheng

Unregistered / Unconfirmed

ggabcdef

Unregistered / Unconfirmed

tianliangle2003

Unregistered / Unconfirmed

a-ming

Unregistered / Unconfirmed

fffddd

Unregistered / Unconfirmed

fffddd

Unregistered / Unconfirmed

Similar threads