Windows NT内核下病毒防火墙的原理分析与实现 .pdfVIP

维普资讯

５４福建电脑２００６年第６期

ＷｉｎｄｏｗｓＮＴ内核下病毒防火墙的原理分析与实现

夏洪雷１王海峰２

１．石油大学（华东）计算机与通信工程学院山东东营２５７０６１２．临沂师范学院山东临沂２７６００６）

摘【要】：分析了基于ＮＴ内核的ＷｉｎｄｏｗｓＮ＇１７２０００操作系统下文件过滤驱动程序的开发原理、步骤和应用。以实现实时

病毒防火墙原型系统，保障了文件系统的安全。最后分析了关键代码。

【关键词】：过滤驱动；文件系统；防火墙；ＷｉｎｄｏｗｓＮＴ内核；病毒

目前计算机病毒造成的危害呈现明显上升趋势．每个恶性或者放在文件驱动程序和存储设备驱动程序之间－＇１２１。实现文件过

病毒的蔓延都给全球社会造成严重的经济损失．因此反病毒技滤驱动程序的基本过程如下：构造一个过滤设备对象附着在目

术的研究仍是计算机信息安全的重点。反病毒软件通常采用静标设备上；在该过滤驱动程序中截取发送到目标设备的操作；当

态策略查、杀病毒，而病毒可以从各种途径侵入系统中．比如电然在过滤操作中可能需要构造新的ＩＲＰ来驱动下层驱动程序．

子邮件、文件下载、各种外存存取操作等。对病毒进行实时检测也可能需要为某个ＩＲＰ指定对应的完成例程以便该ＩＲＰ被下层

可以减少人工干预．提高计算机系统的安全性。因此各种反病毒驱动程序完成返回后调用：在适当的机会可以断开过滤程序。

软件公司推出了实时病毒防火墙．病毒防火墙是全面防范病毒１．２病毒防火墙工作原理

进入计算机系统的安全防护工具．即使病毒已经潜伏在计算机下面以实际的例子介绍病毒防火墙中文件过滤驱动的工作

系统之内，当用户不慎运行染毒文件时可以及时拦截．随后计算机制。用户程序利用ＣｒｅａｔｅＦｉｌｅ函数创建一个新文件或者打开一

机用户再运行静态的杀毒软件彻底将系统中所有病毒清除。计个已经存在的文件时．病毒防火墙就能截获ＣｒｅａｔｅＦｉｌｅ请求的

算机病毒以文件型病毒为主．其特点是寄存、隐藏到计算机文件ＩＲＰ以保证正使用的文件不存在病毒。文件过滤驱动程序首先

系统内。Ｗｉｎｄｏｗｓ平台中利用开发文件过滤驱动程序能保证文检查该文件是否是检测所关心的文件类型．对于不关心的文件

件系统的安全运行．因此文件过滤驱动程序是实现动态扫描病只是将文件请求简单的传递给下层的文件驱动程序。如果ＩＲＰ

毒的有效技术。的返回值表明打开文件时产生了错误．那么病毒检测器只把结

分析实时病毒防火墙实现原理有利于改进反病毒软件的执果返回给Ｉ／Ｏ管理器．这种安排是为了防止当打开一个不存在

行效率与准确性。下文以分析病毒防火墙的关键实现代码并总的文件或者用户并没有权限访问的文件时．病毒检测器做了额

结目前基于文件过滤驱动的内核病谁防火墙优点。本文的代码外的工作。如果返回值表明文件被成功地打开了．文件系统过滤

在Ｗｉｎｄｏｗｓ２０００ＤＤＫ下实现，调试器Ｓｏｆｔｉｅｅ４．０５ｆｏｒＮＴ器驱动程序发送一个（或多个）ＲｅａｄＦｉｌｅ的ＩＲＰ给文件系统驱动

１．文件过滤驱动程序的工作原理程序。从而得到整个文件的内容。病毒检测器一直等待ＩＲＰ完成

１．１文件过滤驱动程序后才能继续以后的工作作为检测病毒的文件过滤驱动程序在

ＮＴ内核中文件驱动程序是Ｉ，０子系统下的一个重要组件．系统核心态