RootKit文件隐藏技术实现  

作　　者：夜枫 

出　　处：《黑客防线》2008年第4期79-82,共4页

摘　　要：R00tKit隐藏文件的原理并不复杂，我们知道,win32编程中枚举一个目录下的文件通常是API函数FindFirstFile和FindNextFile两个组合起来，枚举到当前目录下的文件，而这两个APl实际对应的内核Native API是NtQueryDirectoryFile,所以我们只需要在内核Hook这个API函数，并做相应的处理就可以实现文件的隐藏。当查到我们要隐藏的文件时，就在内核将这个文件剔除掉，所以FindFirstFile和FindNextFile实际得到的是我们已经剔除过的信息了，这样就不会被枚举出来了，也就看不到我们的文件了。当然，这个方法是过不了反RootKit工具的，例如IceSword用的是直接和磁盘驱动通讯的方法获得到数据，所以R00tKit隐藏对于这类工具是无效的。

关 键 词：ROOTKIT 隐藏文件 隐藏技术 API函数 WIN32编程 当前目录 HOOK 磁盘驱动 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术] TP316.7[自动化与计算机技术—计算机科学与技术]