打造HW蓝队工具之文件监控

  • A+
所属分类:安全工具
前言


HW在即,本文献给正在处于蓝队的小伙伴,打造一款文件监控,在吃泡面的同时还能自动监控...

  • 实现过程,通过ReadDirectoryChangesW实现文件监控,可用于监控Web目录等。

  •     ReadDirectoryChangesW定义如下

BOOL WINAPI ReadDirectoryChangesW(
__in HANDLE hDirectory, 要监控的目录句柄, 必须有FILE_LIST_DIRECTORY访问权限。
__out LPVOID lpBuffer, 返回信息指针, 定义为FILE_NOTIFY_INFORMATION结构。
__in DWORD nBufferLength, lpBuffer内存的长度。
__in BOOL bWatchSubtree, 是否监控子目录。
__in DWORD dwNotifyFilter, 过滤参数配置。
__out_opt LPDWORD lpBytesReturned, 实际lpBuffer内存的长度。
__inout_opt LPOVERLAPPED lpOverlapped, 异步使用时指向一个OVERLAPPED结构指针;同步使用等其他情况为NULL其中该结构中的Offset和OffsetHigh成员并没有使用。
__in_opt LPOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine );操作完成或取消时的返回函数,更多信息参考FileIOCompletionRoutine。

1.通过CreateFile获取目录句柄以及获取当前用户

  TCHAR* DIR = TEXT("D:\phpStudy\WWW\test");//要监控的句柄  HANDLE f = CreateFile(DIR, GENERIC_READ | GENERIC_WRITE | FILE_LIST_DIRECTORY,    FILE_SHARE_READ | FILE_SHARE_WRITE,    NULL,    OPEN_EXISTING,    FILE_FLAG_BACKUP_SEMANTICS,    NULL);  if (f == INVALID_HANDLE_VALUE)  {    printf("文件夹句柄获取失败,错误值 %d",GetLastError());    }

/*获取当前用户名存到Users变量里面*/    

  TCHAR Users[MAX_PATH];  DWORD size = MAX_PATH;  GetUserName(Users, &size);

  2.设置字符集,因为用函数是宽字符

需要包含的头文件 #include <fcntl.h>

#include <io.h> 

main函数中 _setmode(_fileno(stdout), _O_U16TEXT); 

  3.全部代码如下:

#include <windows.h> 

#include <stdio.h> #include <fcntl.h>#include <io.h>  
#define longs 1024void files(){ TCHAR* DIR = TEXT("D:\phpStudy\WWW\test"); HANDLE f = CreateFile(DIR, GENERIC_READ | GENERIC_WRITE | FILE_LIST_DIRECTORY, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, FILE_FLAG_BACKUP_SEMANTICS, NULL); if (f == INVALID_HANDLE_VALUE) { printf("文件夹句柄获取失败,错误值 %d",GetLastError()); }
FILE_NOTIFY_INFORMATION notify[longs]; FILE_NOTIFY_INFORMATION* pnotify = notify; DWORD tempbuffer; memset(pnotify, 0, longs); TCHAR Users[MAX_PATH]; DWORD size = MAX_PATH; GetUserName(Users, &size); wprintf(L"Met32提醒您,文件监控成功开启......n"); while (TRUE){ ReadDirectoryChangesW(f, pnotify, longs, true, FILE_NOTIFY_CHANGE_FILE_NAME | FILE_NOTIFY_CHANGE_DIR_NAME | FILE_NOTIFY_CHANGE_SIZE, &tempbuffer, NULL, NULL); switch (pnotify->Action){ case FILE_ACTION_ADDED: wprintf(L"用户名为:%ls的创建了 ("%s") 文件n",Users,pnotify->FileName); break; case FILE_ACTION_MODIFIED: wprintf(L"用户名为:%ls的修改了 ("%s") 文件n", Users, pnotify->FileName); break; }

}}

int main(){ _setmode(_fileno(stdout), _O_U16TEXT); files(); getchar(); return 0;}

 4.运行测试

        DIR变量为要监控的路径,我们在此路径里创建一个文件看一下

        成功监控到一个文件新建..

打造HW蓝队工具之文件监控

    在将文件进行修改看一下。

    随便点东西并保存,成功监测到文件修改操作

打造HW蓝队工具之文件监控

    本文中,我只写了文件新建文件修改的监控,如果想要自己将功能更加完善,可以修改上述代码中的以下这部分:

    FILE_ACTION_REMOVED  文件移动 宏

    FILE_ACTION_RENAMED_OLD_NAME 文件重命名 宏

    根据自己的需求自行添加~~

switch (pnotify->Action){    case FILE_ACTION_ADDED:        wprintf(L"用户名为:%ls的创建了 ("%s") 文件n",Users,pnotify->FileName);        break;      case FILE_ACTION_MODIFIED:        wprintf(L"用户名为:%ls的修改了 ("%s") 文件n", Users, pnotify->FileName);        break;    }
微信关注 “安全族”


本文始发于微信公众号(连接世界的暗影):打造HW蓝队工具之文件监控

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: