打造HW蓝队工具之文件监控

admin
admin
admin
138858
文章
114
评论
2021年5月30日12:21:23评论157 views字数 2632阅读8分46秒阅读模式
前言


HW在即，本文献给正在处于蓝队的小伙伴，打造一款文件监控，在吃泡面的同时还能自动监控...

  • 实现过程，通过ReadDirectoryChangesW实现文件监控，可用于监控Web目录等。

  •     ReadDirectoryChangesW定义如下

BOOL WINAPI ReadDirectoryChangesW(
  __in  HANDLE hDirectory, 要监控的目录句柄, 必须有FILE_LIST_DIRECTORY访问权限。
  __out LPVOID lpBuffer, 返回信息指针, 定义为FILE_NOTIFY_INFORMATION结构。
  __in  DWORD nBufferLength, lpBuffer内存的长度。
  __in  BOOL bWatchSubtree, 是否监控子目录。
  __in  DWORD dwNotifyFilter, 过滤参数配置。
  __out_opt   LPDWORD lpBytesReturned, 实际lpBuffer内存的长度。
  __inout_opt LPOVERLAPPED lpOverlapped, 异步使用时指向一个OVERLAPPED结构指针；同步使用等其他情况为NULL其中该结构中的Offset和OffsetHigh成员并没有使用。
  __in_opt    LPOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine  );操作完成或取消时的返回函数，更多信息参考FileIOCompletionRoutine。

1.通过CreateFile获取目录句柄以及获取当前用户

  TCHAR* DIR = TEXT("D:\phpStudy\WWW\test");//要监控的句柄  HANDLE f = CreateFile(DIR, GENERIC_READ | GENERIC_WRITE | FILE_LIST_DIRECTORY,    FILE_SHARE_READ | FILE_SHARE_WRITE,    NULL,    OPEN_EXISTING,    FILE_FLAG_BACKUP_SEMANTICS,    NULL);  if (f == INVALID_HANDLE_VALUE)  {    printf("文件夹句柄获取失败，错误值 %d",GetLastError());    }

/*获取当前用户名存到Users变量里面*/    

  TCHAR Users[MAX_PATH];  DWORD size = MAX_PATH;  GetUserName(Users, &size);

  2.设置字符集,因为用函数是宽字符

需要包含的头文件 #include <fcntl.h>

#include <io.h> 

main函数中 _setmode(_fileno(stdout), _O_U16TEXT); 

  3.全部代码如下：

#include <windows.h> 

#include <stdio.h> #include <fcntl.h>#include <io.h>  
#define longs 1024void files(){  TCHAR* DIR = TEXT("D:\phpStudy\WWW\test");  HANDLE f = CreateFile(DIR, GENERIC_READ | GENERIC_WRITE | FILE_LIST_DIRECTORY,    FILE_SHARE_READ | FILE_SHARE_WRITE,    NULL,    OPEN_EXISTING,    FILE_FLAG_BACKUP_SEMANTICS,    NULL);  if (f == INVALID_HANDLE_VALUE)  {    printf("文件夹句柄获取失败，错误值 %d",GetLastError());  }
  FILE_NOTIFY_INFORMATION notify[longs];  FILE_NOTIFY_INFORMATION* pnotify = notify;  DWORD tempbuffer;  memset(pnotify, 0, longs);  TCHAR Users[MAX_PATH];  DWORD size = MAX_PATH;  GetUserName(Users, &size);  wprintf(L"Met32提醒您，文件监控成功开启......n");  while (TRUE){    ReadDirectoryChangesW(f, pnotify, longs, true, FILE_NOTIFY_CHANGE_FILE_NAME | FILE_NOTIFY_CHANGE_DIR_NAME | FILE_NOTIFY_CHANGE_SIZE, &tempbuffer, NULL, NULL);    switch (pnotify->Action){    case FILE_ACTION_ADDED:        wprintf(L"用户名为：%ls的创建了 ("%s") 文件n",Users,pnotify->FileName);        break;      case FILE_ACTION_MODIFIED:        wprintf(L"用户名为：%ls的修改了 ("%s") 文件n", Users, pnotify->FileName);        break;    }

  }}

int main(){  _setmode(_fileno(stdout), _O_U16TEXT);  files();  getchar();  return 0;}

 4.运行测试

        DIR变量为要监控的路径，我们在此路径里创建一个文件看一下

        成功监控到一个文件新建..

打造HW蓝队工具之文件监控

    在将文件进行修改看一下。

    随便点东西并保存，成功监测到文件修改操作

打造HW蓝队工具之文件监控

    本文中，我只写了文件新建和文件修改的监控，如果想要自己将功能更加完善，可以修改上述代码中的以下这部分：

    FILE_ACTION_REMOVED  文件移动 宏

    FILE_ACTION_RENAMED_OLD_NAME 文件重命名 宏

    根据自己的需求自行添加~~

switch (pnotify->Action){    case FILE_ACTION_ADDED:        wprintf(L"用户名为：%ls的创建了 ("%s") 文件n",Users,pnotify->FileName);        break;      case FILE_ACTION_MODIFIED:        wprintf(L"用户名为：%ls的修改了 ("%s") 文件n", Users, pnotify->FileName);        break;    }
微信关注 “安全族”


本文始发于微信公众号（连接世界的暗影）：打造HW蓝队工具之文件监控

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年5月30日12:21:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   打造HW蓝队工具之文件监控https://cn-sec.com/archives/280482.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息