• 注册
  • 威胁情报 威胁情报 关注:45 内容:46

    打造HW蓝队工具之文件监控

  • 查看作者
  • 打赏作者
    • 威胁情报
    • 前言

      HW在即,本文献给正在处于蓝队的小伙伴,打造一款文件监控,在吃泡面的同时还能自动监控...

      • 实现过程,通过ReadDirectoryChangesW实现文件监控,可用于监控Web目录等。

      •     ReadDirectoryChangesW定义

      BOOL WINAPI ReadDirectoryChangesW(
       __in  HANDLE hDirectory, 要监控的目录句柄, 必须有FILE_LIST_DIRECTORY访问权限。
       __out LPVOID lpBuffer, 返回信息指针, 定义为FILE_NOTIFY_INFORMATION结构。
       __in  DWORD nBufferLength, lpBuffer内存的长度。
       __in  BOOL bWatchSubtree, 是否监控子目录。
       __in  DWORD dwNotifyFilter, 过滤参数配置。
       __out_opt   LPDWORD lpBytesReturned, 实际lpBuffer内存的长度。
       __inout_opt LPOVERLAPPED lpOverlapped, 异步使用时指向一个OVERLAPPED结构指针;同步使用等其他情况为NULL其中该结构中的Offset和OffsetHigh成员并没有使用。
       __in_opt    LPOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine  );操作完成或取消时的返回函数,更多信息参考FileIOCompletionRoutine。

      1.通过CreateFile获取目录句柄以及获取当前用户

        TCHAR* DIR = TEXT("D:\\phpStudy\\WWW\\test");//要监控的句柄  
        HANDLE f = CreateFile(DIR, GENERIC_READ | GENERIC_WRITE | FILE_LIST_DIRECTORY,    
        FILE_SHARE_READ | FILE_SHARE_WRITE,    
        NULL,    
        OPEN_EXISTING,    
        FILE_FLAG_BACKUP_SEMANTICS,    
        NULL);  
        if (f == INVALID_HANDLE_VALUE)  {    
        printf("文件夹句柄获取失败,错误值 %d",GetLastError()); 
        }

      /*获取当前用户名存到Users变量里面*/   

        TCHAR Users[MAX_PATH];  
        DWORD size = MAX_PATH;  
        GetUserName(Users, &size);

        2.设置字符集,因为用函数是宽字符

      需要包含的头文件 #include <fcntl.h>

      #include <io.h>

      main函数中 _setmode(_fileno(stdout), _O_U16TEXT);

        3.全部代码如下:

      #include <windows.h>

      #include <stdio.h> 
      #include <fcntl.h>
      #include <io.h>  
      #define longs 1024
      void files(){  
       TCHAR* DIR = TEXT("D:\\phpStudy\\WWW\\test");
       
       HANDLE f = CreateFile(DIR, GENERIC_READ | GENERIC_WRITE | FILE_LIST_DIRECTORY,
         
         FILE_SHARE_READ | FILE_SHARE_WRITE,
         
         NULL,
         
         OPEN_EXISTING,
         
         FILE_FLAG_BACKUP_SEMANTICS,
         
         NULL);
       
       if (f == INVALID_HANDLE_VALUE)
       {    
         printf("文件夹句柄获取失败,错误值 %d",GetLastError());
         
       }
       FILE_NOTIFY_INFORMATION notify[longs];  
       FILE_NOTIFY_INFORMATION* pnotify = notify;
       
       DWORD tempbuffer;
       
       memset(pnotify, 0, longs);
       
       TCHAR Users[MAX_PATH];
       
       DWORD size = MAX_PATH;
       
       GetUserName(Users, &size);
       
       wprintf(L"Met32提醒您,文件监控成功开启......\n");
       
       while (TRUE){
         
         ReadDirectoryChangesW(f, pnotify, longs, true, FILE_NOTIFY_CHANGE_FILE_NAME | FILE_NOTIFY_CHANGE_DIR_NAME | FILE_NOTIFY_CHANGE_SIZE, &tempbuffer, NULL, NULL);
         
         switch (pnotify->Action){
         
         case FILE_ACTION_ADDED:
             
             wprintf(L"用户名为:%ls的创建了 (\"%s\") 文件\n",Users,pnotify->FileName);
             
             break;
           
         case FILE_ACTION_MODIFIED:
             
             wprintf(L"用户名为:%ls的修改了 (\"%s\") 文件\n", Users, pnotify->FileName);
             
             break;

         }


       }}

      int main(){  
       _setmode(_fileno(stdout), _O_U16TEXT);
       
       files();
       
       getchar();
       
       return 0;

      }

       4.运行测试

              DIR变量为要监控的路径,我们在此路径里创建一个文件看一下

              成功监控到一个文件新建..

          在将文件进行修改看一下。

          随便点东西并保存,成功监测到文件修改操作

          本文中,我只写了文件新建文件修改的监控,如果想要自己将功能更加完善,可以修改上述代码中的以下这部分:

          FILE_ACTION_REMOVED  文件移动 宏

          FILE_ACTION_RENAMED_OLD_NAME 文件重命名 宏

          根据自己的需求自行添加~~

      switch (pnotify->Action){    
      case FILE_ACTION_ADDED:        
      wprintf(L"用户名为:%ls的创建了 (\"%s\") 文件\n",Users,pnotify->FileName);        
      break;      
      case FILE_ACTION_MODIFIED:        
      wprintf(L"用户名为:%ls的修改了 (\"%s\") 文件\n", Users, pnotify->FileName);        
      break;
      }

      本帖转自安全族公众号,如有侵权请私聊删文

      请登录之后再进行评论

      登录
    • 发表内容
    • 做任务
    • 实时动态
    • 偏好设置
    • 帖子间隔 侧栏位置: