WO2013034006A1 - 文件打开方法、装置及终端 - Google Patents

文件打开方法、装置及终端 Download PDF

Info

Publication number
WO2013034006A1
WO2013034006A1 PCT/CN2012/076874 CN2012076874W WO2013034006A1 WO 2013034006 A1 WO2013034006 A1 WO 2013034006A1 CN 2012076874 W CN2012076874 W CN 2012076874W WO 2013034006 A1 WO2013034006 A1 WO 2013034006A1
Authority
WO
WIPO (PCT)
Prior art keywords
file system
file
original file
distribution function
original
Prior art date
Application number
PCT/CN2012/076874
Other languages
English (en)
French (fr)
Inventor
谢飞
高小明
马劲松
刘桂泽
Original Assignee
腾讯科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 腾讯科技（深圳）有限公司 filed Critical 腾讯科技（深圳）有限公司
Priority to US14/342,482 priority Critical patent/US20140207833A1/en
Priority to AU2012306979A priority patent/AU2012306979C1/en
Publication of WO2013034006A1 publication Critical patent/WO2013034006A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/11—File system administration, e.g. details of archiving or snapshots

Definitions

  • the present invention relates to the field of data processing technologies, and in particular, to a file opening method, apparatus, and terminal. Background technique
  • file opening methods are implemented through the conventional Windows API (Appliable Programming Interface) mechanism, and file opening operations are captured and controlled by the file filtering driver.
  • the file filter driver is a Windows driver attached to the file system, which can intercept the system access to files and provide filtering control.
  • a virus scan is activated after the file open action is captured by the file filter driver.
  • the virus scan activated when the file is opened is unnecessary in most cases, and the system burden is increased; in addition, in the case where multiple antivirus software coexist, one of the antivirus software files is opened.
  • the operation will cause another anti-virus software to scan the virus, the scan will open the file, another anti-virus will be activated, and then scan, which causes the file to open repeatedly, resulting in compatibility problems.
  • the embodiment of the present invention provides a file opening method, device and terminal.
  • the technical solution is as follows:
  • a file opening method comprising:
  • the original file system distribution function performs a file open operation.
  • the method further includes:
  • the method when the file opening operation is performed by the original file system distribution function, the method specifically includes:
  • the file open function is performed by the original file system distribution function in accordance with the replaced preset function address.
  • the method further includes:
  • the method when the file opening operation is performed by the original file system distribution function, the method specifically includes:
  • the file open function is performed by the original file system distribution function in accordance with the recorded parameters.
  • the obtaining the corresponding original file system device object includes:
  • the corresponding original file system device object is searched for in the VPB structure in which the file system device object is recorded by a pre-written driver.
  • the obtaining the corresponding original file system distribution function address includes:
  • the pre-written driver is started in a boot BOOT mode, and the corresponding original file system distribution function address is obtained by the pre-written driver.
  • the method specifically includes: using the IoCreateFi leSpecifyDeviceObjectHint function, and sending the file open request directly to the device by using the original file system device object as a parameter The file system where the original file system device object is located.
  • a document opening device comprising:
  • a capture module configured to capture a file open action
  • a first acquiring module configured to acquire a corresponding original file system device object after the capturing module captures a file opening action
  • a second obtaining module configured to obtain a corresponding original file system distribution function address after the capturing module captures the file opening action
  • a sending module configured to send a file open request to the file system where the original file system device object acquired by the first acquiring module is located, and the file system sends the file open request to the second acquiring module by the file system Obtaining the original file system distribution function corresponding to the original file system distribution function address; Opening a module for performing a file open operation by the original file system distribution function.
  • the device further includes:
  • a replacement module configured to search an import table of a 32-bit dynamic link library file, and replace a function address saved in the import table with a preset function address;
  • the opening module is specifically configured to perform a file opening operation by the original file system distribution function according to a preset function address replaced by the replacement module.
  • the device further includes:
  • a recording module configured to record a parameter corresponding to a file opening action captured by the capturing module
  • the opening module is specifically configured to perform a file opening operation by the original file system distribution function according to parameters recorded by the recording module.
  • the first obtaining module is specifically configured to search for a corresponding original file system device object in a VPB structure in which a file system device object is recorded by using a pre-written driver.
  • the second obtaining module is specifically configured to start a pre-written driver in a BOOT manner, and obtain a corresponding original file system distribution function address by using the pre-written driver.
  • the sending module is specifically configured to use the IoCreateFi leSpecifyDeviceObjectHint function to send the file open request directly to the file system where the original file system device object is located, with the original file system device object as a parameter.
  • a terminal comprising: any one of the file opening devices described above.
  • a file open request is directly sent to the file system where the corresponding original file system device object is located, and the file opening operation is performed by the corresponding original file system distribution function, thereby achieving penetration of the file filtering driver, thereby reducing the Unnecessary operation of virus scanning every time you open a file, and when installing multiple anti-virus software, the system burden caused by scanning repeatedly for opening files can be reduced, thereby improving system compatibility.
  • FIG. 1 is a flowchart of a file opening method according to Embodiment 1 of the present invention.
  • FIG. 2 is a flowchart of a file opening method according to Embodiment 2 of the present invention
  • 3 is a flow chart of a process of opening a file according to Embodiment 2 of the present invention
  • FIG. 4 is a schematic structural diagram of a file opening apparatus according to Embodiment 3 of the present invention.
  • FIG. 5 is a schematic structural diagram of another file opening apparatus according to Embodiment 3 of the present invention.
  • FIG. 6 is a schematic structural diagram of still another file opening device according to Embodiment 3 of the present invention. detailed description
  • the embodiment provides a file opening method, which directly transmits a file opening request to a file system to perform an opening operation by penetrating a file filtering driving operation in an original file opening mode, thereby reducing the cause
  • the system load caused by the control of the file filter driver improves the compatibility of the system.
  • the file open operation is performed by the original file system distribution function.
  • the method further includes:
  • the file open function is performed by the original file system distribution function in accordance with the replaced default function address.
  • the import table of the 32-bit dynamic link library file records the address of the system API function that the executable file needs to use.
  • the address of the API function is the function address saved in the import table, for example, functions such as NtCreateFile and NtOpenFile. address.
  • the function address saved in the import table is replaced by the preset function address in order to pass through the intermediate filter driver before the file filter driver captures and controls the file open operation, thereby directly transferring the file open request to the original file system device object.
  • the file system, and the original file system distribution function performs file opening operations, thereby avoiding unnecessary operations for virus scanning every time the file is opened, and avoiding duplicates when installing multiple anti-virus software.
  • the system burden is increased and compatibility issues caused by opening files for scanning.
  • the address of the function saved in the import table may be replaced by the address of the preset function MyNtCreateFi le.
  • preset functions may also be used. This embodiment does not limit the specific preset function address, and can implement Penetrate the file filter driver.
  • the method further includes:
  • the specific includes:
  • the file open function is performed by the original file system distribution function in accordance with the recorded parameters.
  • the obtaining the corresponding original file system device object includes:
  • VPB Volume Parameter Block
  • the pre-written driver is started in BOOT mode, and the corresponding original file system distribution function address is obtained through a pre-written driver.
  • Sending a file open request directly to the file system where the original file system device object is located including: using the IoCreateFi leSpecifyDeviceObjectHint function, and sending the file open request directly to the file system where the original file system device object is located, using the original file system device object as a parameter. .
  • the method provided in this embodiment sends a file open request to the file system where the corresponding original file system device object is located by capturing a file opening action, and the file opening operation is performed by the corresponding original file system distribution function, thereby implementing file filtering driving.
  • Penetration which reduces the unnecessary operation of virus scanning every time you open a file, and when installing multiple anti-virus software, can reduce the system burden caused by repeated open file scanning, thereby improving system compatibility. .
  • the embodiment provides a file opening method, which provides a file opening operation by directly transmitting a file opening request to a file system by penetrating the file filtering driver in the original file opening mode, thereby providing the file opening operation.
  • the method is explained in further detail, which reduces the system burden caused by the control of the file filtering driver, thereby improving the compatibility of the system. Referring to FIG. 2, the process of the method provided in this embodiment is specifically as follows:
  • the import table of the 32-bit dynamic link library file is the import table of the kernel32. dl l necessary for the executable file, which records the address of the system API function that the file needs to use.
  • Searching the import table of the 32-bit dynamic link library file the process of replacing the function address saved in the import table with the preset function address is a process of implementing a hook.
  • the file can be opened first, etc. The operation is controlled so that after the address is replaced, when the original function is called, the flow enters the replaced default function.
  • the original function address and the replaced address saved in the import table are not limited.
  • the function of the hook may be a function such as NtCreateFi le and NtOpenFi le, and the preset function address after the replacement may be set as needed.
  • the address of the function saved in the import table may be replaced by the address of the preset function MyNtCreateFi le.
  • the specific preset function address is not limited, and the implementation can be implemented. Penetrate the file filter driver.
  • the file opening process is modified from the flow indicated by the original dashed arrow to the flow indicated by the solid arrow, thereby penetrating the file filtering driver that may exist in the original process. .
  • the specific manner of capturing the file opening action is not limited in this embodiment. Since the existing file opening mode also has the operation of capturing the file opening action, it can be implemented by the existing implementation.
  • the embodiment does not specifically limit this, including but not limited to the file name, the permission of the application, and the like. Record the parameters corresponding to the opening action, and save the parameters corresponding to the opening action to the memory, in order to perform the opening operation according to the recorded parameters.
  • the file system refers to a disk or partition for storing files
  • the file system device object may be a certain disk, or a partition
  • different files correspond to different file system device objects, for example, if the file to be opened is located C disk, you can use the C disk as the file system device object corresponding to the file.
  • the file system distribution function is used to perform file open operations, and for different file system device objects, it can call multiple file system distribution functions. When the file system device object receives a file open request, the corresponding file system distribution function can be called.
  • the file system device object corresponding to the file that is not modified by the file filtering driver is referred to as an original file system device object, and the original file is
  • the file system distribution function called by the system device object is called the original file system distribution function.
  • This embodiment does not limit the manner in which the original file system device object and the original file system distribution function address are obtained.
  • a driver for obtaining the original file system device object and the original file system distribution function address may be pre-written, and the pre-written driver is used to obtain the original file system device object and the original file system distribution function address.
  • the corresponding original file system device object can be found in the VPB structure in which the file system device object is recorded by a pre-written driver.
  • the pre-written driver since the pre-written driver is started in BOOT mode, the information recorded by the system is unmodified and trusted, and the file system distribution function address obtained when the driver starts in BOOT mode is Distribute function addresses for the original file system. Therefore, the pre-written driver can be started in BOOT mode, and the corresponding original file system distribution function address is obtained by the pre-written driver.
  • this embodiment does not limit the specific sending mode.
  • the IoCreateFi leSpecifyDeviceObjectHint function may be used, and the original file system device object is used as a parameter. , Send the file open request directly to the file system where the original file system device object is located.
  • the IoCreateFi leSpecifyDeviceObjectHint function is an existing API function used by the Windows system. By using this function, the file open request can be directly sent to the file system where the original file system device object is located; when the file open request is sent to the original file system device After the file system where the object is located, the original file system distribution function corresponding to the original file system device object call is triggered, so that the file system sends the file open request to the original file system distribution function corresponding to the address of the original file system distribution function.
  • the file opening operation is performed by the original file system distribution function, thereby bypassing the intermediate file filtering driver.
  • the file opening function is performed by the original file system distribution function according to the replaced preset function address and the recorded parameter.
  • the original file opening process has been modified.
  • the flow indicated by the virtual arrow is the original file. Open the process, its existing NtCreateFi le function is replaced by the MyNtCreateFi le function, the file opening process is also the original.
  • the process indicated by the virtual arrow becomes the process indicated by the real arrow, thereby bypassing the file filtering driver that may exist in the middle, and avoiding unnecessary operations such as scanning the file caused by the filtering driver intercepting the access to the file.
  • the purpose of the file open function by the original file system distribution function in accordance with the recorded parameters is to conform to the original file open mode. For example, if the parameter corresponding to the original file opening action indicates that it only has read permission, when the parameter is recorded and the file is opened according to the parameter, it still has only the read permission, so that the permission requirement of the original open file is consistent. Meet the original user's original need to open the file.
  • the method provided in this embodiment sends a file open request to the file system where the corresponding original file system device object is located by capturing a file opening action, and the file opening operation is performed by the corresponding original file system distribution function, thereby implementing file filtering driving.
  • Penetration which reduces the unnecessary operation of virus scanning every time you open a file, and when installing multiple anti-virus software, can reduce the system burden caused by repeated open file scanning, thereby improving system compatibility.
  • the embodiment provides a file opening device, which is used to execute the file opening method provided in the first embodiment and the second embodiment.
  • the device includes:
  • a capture module 401 configured to capture a file open action
  • the first obtaining module 402 is configured to acquire a corresponding original file system device object after the capturing module 401 captures the file opening action;
  • the second obtaining module 403 is configured to obtain a corresponding original file system distribution function address after the capturing module 401 captures the file opening action;
  • the sending module 404 is configured to send a file open request to the file system where the original file system device object acquired by the first acquiring module 402 is located, and transmit the file open request to the original file system distribution function acquired by the second obtaining module 403.
  • the original file system distribution function corresponding to the address;
  • the module 405 is opened for performing a file open operation by the original file system distribution function.
  • the first acquisition module 402 acquires the corresponding original file system device object
  • the second acquisition module 403 obtains the corresponding original.
  • the sending module 404 directly sends the file to the file system where the original file system device object is obtained by the first obtaining module 402.
  • the related description of step 204 in the second embodiment refers to the related description of step 204 in the second embodiment, and open the module 405.
  • the manner of performing the file opening operation by the original file system distribution function is described in detail in the description of step 205 in the second embodiment, and details are not described herein again.
  • the apparatus further includes: a replacement module 406, configured to search an import table of a 32-bit dynamic link library file, and replace the import with a preset function address. The address of the function saved in the table;
  • the module 405 is opened, specifically for performing a file opening operation by the original file system distribution function according to the preset function address replaced by the replacement module 406.
  • the device further includes: a recording module 407, configured to record a parameter corresponding to the file opening action captured by the capturing module 401;
  • the module 405 is opened, specifically for performing a file opening operation by the original file system distribution function according to the parameters recorded by the recording module 407.
  • the first obtaining module 402 is specifically configured to search for a corresponding original file system device object in a VPB structure in which a file system device object is recorded by using a pre-written driver.
  • the second obtaining module 403 is specifically configured to start a pre-written driver in a BOOT manner, and obtain a corresponding original file system distribution function address by using a pre-written driver.
  • the sending module 404 is specifically configured to use the IoCreateFi leSpecifyDeviceObjectHint function, and send the file open request directly to the file system where the original file system device object is located, with the original file system device object as a parameter.
  • the device provided in this embodiment sends a file open request directly to the file system where the corresponding original file system device object is located by capturing a file opening action, and the file opening operation is performed by the corresponding original file system distribution function, thereby implementing file filtering driving.
  • Penetration which reduces the unnecessary operation of virus scanning every time you open a file, and when installing multiple anti-virus software, can reduce the system burden caused by repeated open file scanning, thereby improving system compatibility.
  • the embodiment provides a terminal, and the terminal includes the file opening device provided in the third embodiment.
  • the terminal may specifically be a mobile phone terminal, or may be a computer terminal or other terminal.
  • This embodiment does not limit the specific product form of the terminal.
  • the terminal provided by the embodiment sends a file open request to the file system where the corresponding original file system device object is located, and the file open operation is performed by the corresponding original file system distribution function, and the terminal is implemented.
  • the file filtering driver penetrates, which reduces the unnecessary operation of virus scanning every time you open a file, and when installing multiple anti-virus software, it can reduce the system burden caused by repeatedly opening files for scanning, thereby improving the system. Compatibility.
  • the file opening device when the file opening device is provided in the above embodiment, only the division of each functional module is described as an example. In actual applications, the function distribution may be completed by different functional modules as needed. The internal structure of the device is divided into different functional modules to perform all or part of the functions described above.
  • the file opening device, the terminal, and the file opening method are provided in the same embodiment. For details, refer to the method embodiment, and details are not described herein.
  • each functional unit/module can be integrated into one processing unit/module, or each unit/module can exist physically separately, or two or more units/modules can be integrated into one unit/module.
  • the above integrated unit/module can be implemented in the form of hardware or in the form of a software functional unit/module.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Databases & Information Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Stored Programmes (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明公开了一种文件打开方法、装置及终端，属于数据处理技术领域。方法包括：捕获文件打开动作，并获取对应的原始文件系统设备对象和原始文件系统分发函数地址；直接向原始文件系统设备对象所在的文件系统发送文件打开请求，并由文件系统将文件打开请求传递给原始文件系统分发函数地址所对应的原始文件系统分发函数，由原始文件系统分发函数执行文件打开操作。本发明通过直接向原始文件系统设备对象所在的文件系统发送文件打开请求，由原始文件系统分发函数执行文件打开操作，实现对文件过滤驱动的穿透，减少了因每次打开文件都进行病毒扫描的不必要操作；安装多个杀毒软件时，可降低因重复打开文件进行扫描造成的系统负担，提高系统的兼容性。

Description

文件打开方法、 装置及终端 本申请要求于 2011年 09月 05 日提交中国专利局、 申请号为 201110260036. X、 发明名 称为 "文件打开方法及装置" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请 中。 技术领域
本发明涉及数据处理技术领域，说特别涉及一种文件打开方法、 装置及终端。 背景技术
随着网络的迅速发展， 信息数量日益增加， 存储信息的各种电子文件数量也越来越多。
书
无论是在日常的休闲娱乐中， 还是在紧张忙碌的工作中， 都常常会看到或用到各种各样的文 件， 打开文件也几乎成为了人们每天必不可少的事。
现有的文件打开方式都是通过常规的 Windows API (Appl ication Programming Interface, 应用程序编程接口） 机制实现， 且文件的打开操作会被文件过滤驱动捕获和控制。 其中， 文 件过滤驱动是一种 Windows驱动程序， 其依附在文件系统上， 可以截获系统对文件的访问， 并提供过滤控制等功能。 在装有杀毒软件的机器上， 文件打开动作被文件过滤驱动捕获后， 会激活一次病毒扫描。
在实现本发明的过程中， 发明人发现现有技术至少存在以下问题：
现有的文件打开方式中， 文件打开时激活的病毒扫描在多数情况下是不必要的， 且会加 重系统负担； 另外， 在多个杀毒软件共存的情况下， 其中一款杀毒软件的文件打开操作会引 起另一款杀毒软件的病毒扫描， 扫描又会打开文件， 另一款杀毒会被激活， 然后再去扫描， 由此引发文件的重复打开， 导致系统出现兼容性问题。 发明内容
为了在打开文件的同时， 提高系统的兼容性， 并降低系统负担， 本发明实施例提供了一 种文件打开方法、 装置及终端。 所述技术方案如下：
一方面， 提供了一种文件打开方法， 所述方法包括：
捕获文件打开动作，并获取对应的原始文件系统设备对象和原始文件系统分发函数地址； 直接向所述原始文件系统设备对象所在的文件系统发送文件打开请求， 并由所述文件系 统将所述文件打开请求传递给所述原始文件系统分发函数地址所对应的原始文件系统分发函 数， 由所述原始文件系统分发函数执行文件打开操作。
进一步地， 所述捕获文件打开动作之前， 还包括：
搜索 32位动态链接库文件的导入表，以预设的函数地址替换所述导入表中保存的函数地 址；
相应地， 由所述原始文件系统分发函数执行文件打开操作时， 具体包括：
由所述原始文件系统分发函数按照替换后的预设的函数地址执行文件打开操作。
进一步地， 所述捕获文件打开动作之后， 还包括：
记录所述文件打开动作所对应的参数；
相应地， 由所述原始文件系统分发函数执行文件打开操作时， 具体包括：
由所述原始文件系统分发函数按照记录的参数执行文件打开操作。
其中， 所述获取对应的原始文件系统设备对象， 具体包括：
通过预先编写的驱动程序在记录有文件系统设备对象的 VPB结构中查找对应的原始文件 系统设备对象。
所述获取对应的原始文件系统分发函数地址， 具体包括：
以引导 BOOT方式启动预先编写的驱动程序，通过所述预先编写的驱动程序获取对应的原 始文件系统分发函数地址。
所述直接向所述原始文件系统设备对象所在的文件系统发送文件打开请求， 具体包括： 使用 IoCreateFi leSpecifyDeviceObjectHint函数， 并以所述原始文件系统设备对象为 参数， 将所述文件打开请求直接发送给所述原始文件系统设备对象所在的文件系统。
另一方面， 还提供了一种文件打开装置， 所述装置包括：
捕获模块， 用于捕获文件打开动作；
第一获取模块， 用于在所述捕获模块捕获到文件打开动作后， 获取对应的原始文件系统 设备对象；
第二获取模块， 用于在所述捕获模块捕获到文件打开动作后， 获取对应的原始文件系统 分发函数地址；
发送模块， 用于直接向所述第一获取模块获取到的原始文件系统设备对象所在的文件系 统发送文件打开请求， 并由所述文件系统将所述文件打开请求传递给所述第二获取模块获取 到的原始文件系统分发函数地址所对应的原始文件系统分发函数； 打开模块， 用于由所述原始文件系统分发函数执行文件打开操作。
进一步地， 所述装置， 还包括：
替换模块， 用于搜索 32位动态链接库文件的导入表， 以预设的函数地址替换所述导入表 中保存的函数地址；
相应地， 所述打开模块， 具体用于由所述原始文件系统分发函数按照所述替换模块替换 后的预设的函数地址执行文件打开操作。
进一步地， 所述装置， 还包括：
记录模块， 用于记录所述捕获模块捕获到的文件打开动作所对应的参数；
相应地， 所述打开模块， 具体用于由所述原始文件系统分发函数按照所述记录模块记录 的参数进行文件打开操作。
其中， 所述第一获取模块， 具体用于通过预先编写的驱动程序在记录有文件系统设备对 象的 VPB结构中查找对应的原始文件系统设备对象。
所述第二获取模块， 具体用于以 BOOT方式启动预先编写的驱动程序， 通过所述预先编写 的驱动程序获取对应的原始文件系统分发函数地址。
所述发送模块， 具体用于使用 IoCreateFi leSpecifyDeviceObjectHint函数， 并以所述 原始文件系统设备对象为参数， 将所述文件打开请求直接发送给所述原始文件系统设备对象 所在的文件系统。
再一方面， 还提供了一种终端， 该终端包括： 上述任意一种文件打开装置。
本发明实施例提供的技术方案带来的有益效果是：
通过捕获文件打开动作， 直接向对应的原始文件系统设备对象所在的文件系统发送文件 打开请求， 由对应的原始文件系统分发函数进行文件打开操作， 实现了对文件过滤驱动的穿 透， 从而减少了因每次打开文件都进行病毒扫描的不必要操作， 且在安装多个杀毒软件时， 可降低因重复打开文件进行扫描所造成的系统负担， 进而提高系统的兼容性。 附图说明
为了更清楚地说明本发明实施例中的技术方案， 下面将对实施例描述中所需要使用的附 图作简单地介绍， 显而易见地， 下面描述中的附图仅仅是本发明的一些实施例， 对于本领域 普通技术人员来讲， 在不付出创造性劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例一提供的文件打开方法流程图；
图 2是本发明实施例二提供的文件打开方法流程图； 图 3是本发明实施例二提供的文件打开过程中的穿透流程图；
图 4是本发明实施例三提供的文件打开装置的结构示意图；
图 5是本发明实施例三提供的另一种文件打开装置的结构示意图；
图 6是本发明实施例三提供的又一种文件打开装置的结构示意图。 具体实施方式
为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本发明实施方式作进 一步地详细描述。
实施例一
由于现有的文件打开方式中， 文件打开动作会被文件过滤驱动捕获和控制， 从而激活病 毒扫描， 该种操作不仅会增加系统的负担， 针对安装多个杀毒软件的情况， 该种操作还可引 发多个杀毒软件的兼容性问题。 对此， 本实施例提供了一种文件打开方法， 该方法通过穿透 原有的文件打开方式中的文件过滤驱动操作， 直接将文件打开请求发送到文件系统来执行打 开操作， 从而降低了因文件过滤驱动的控制所造成的系统负担， 进而提高了系统的兼容性。 参见图 1， 本实施例提供的方法流程具体如下：
101： 捕获文件打开动作， 并获取对应的原始文件系统设备对象和原始文件系统分发函数 地址；
102： 直接向原始文件系统设备对象所在的文件系统发送文件打开请求， 并由文件系统将 文件打开请求传递给原始文件系统分发函数地址所对应的原始文件系统分发函数；
103： 由原始文件系统分发函数执行文件打开操作。
进一步地， 捕获文件打开动作之前， 还包括：
搜索 32位动态链接库文件的导入表， 以预设的函数地址替换导入表中保存的函数地址； 相应地， 由原始文件系统分发函数执行文件打开操作时， 具体包括：
由原始文件系统分发函数按照替换后的预设的函数地址执行文件打开操作。
其中， 32位动态连接库文件的导入表中记录了可执行文件需要使用到的系统 API函数的 地址，这个 API函数的地址即为导入表中保存的函数地址，例如， NtCreateFile和 NtOpenFile 等函数的地址。 以预设的函数地址替换导入表中保存的函数地址是为了在文件过滤驱动捕获 和控制文件打开操作之前， 穿透中间经过的过滤驱动， 从而将文件打开请求直接传递到原始 文件系统设备对象所在的文件系统， 并由原始文件系统分发函数执行文件打开操作， 进而避 免因每次打开文件都进行病毒扫描的不必要操作， 且避免了在安装多个杀毒软件时， 因重复 打开文件进行扫描所造成的系统负担加重问题及兼容性问题。 具体实现时， 可以预设的函数 MyNtCreateFi le的地址替换导入表中保存的函数的地址，当然，还可以采用其他预设的函数， 本实施例不对具体的预设的函数地址进行限定， 能够实现对文件过滤驱动的穿透即可。
进一步地， 捕获文件打开动作之后， 还包括：
记录文件打开动作所对应的参数；
相应地， 由原始文件系统分发函数执行文件打开操作时， 具体包括：
由原始文件系统分发函数按照记录的参数执行文件打开操作。
其中， 获取对应的原始文件系统设备对象， 具体包括：
通过预先编写的驱动程序在记录有文件系统设备对象的 VPB (Volume Parameter Block, 卷参数块） 结构中查找对应的原始文件系统设备对象。
获取对应的原始文件系统分发函数地址， 具体包括：
以 BOOT方式启动预先编写的驱动程序，通过预先编写的驱动程序获取对应的原始文件系 统分发函数地址。
直接向原始文件系统设备对象所在的文件系统发送文件打开请求， 具体包括： 使用 IoCreateFi leSpecifyDeviceObjectHint函数，并以原始文件系统设备对象为参数， 将文件打开请求直接发送给原始文件系统设备对象所在的文件系统。
本实施例提供的方法， 通过捕获文件打开动作， 直接向对应的原始文件系统设备对象所 在的文件系统发送文件打开请求， 由对应的原始文件系统分发函数进行文件打开操作， 实现 了对文件过滤驱动的穿透， 从而减少了因每次打开文件都进行病毒扫描的不必要操作， 且在 安装多个杀毒软件时， 可降低因重复打开文件进行扫描所造成的系统负担， 进而提高系统的 兼容性。
为了更加详细地阐述本实施例提供的方法， 接下来， 以实施例二为例， 对本实施例提供 的方法进行解释说明， 详见如下实施例二： 实施例二
本实施例提供了一种文件打开方法， 该方法通过穿透原有的文件打开方式中的文件过滤 驱动， 直接将文件打开请求发送到文件系统来执行文件打开操作， 从而对上述实施例一提供 的方法作进一步详细的解释说明， 降低了因文件过滤驱动的控制所造成的系统负担， 进而提 高了系统的兼容性。 参见图 2， 本实施例提供的方法流程具体如下：
201： 搜索 32位动态链接库文件的导入表， 并以预设的函数地址替换导入表中保存的函 数地址；
其中， 32位动态链接库文件的导入表， 即为可执行文件必备的 kernel32. dl l的导入表， 其记录了文件需要使用到的系统 API函数的地址。搜索该 32位动态链接库文件的导入表， 以 预设的函数地址替换导入表中保存的函数地址的过程即为实现 hook的过程， 通过在 ring应 用层执行 hook, 即可先对打开文件等操作进行控制， 从而在替换地址之后， 当调用原来函数 时， 流程会进入到替换后的预设的函数。 本实施例不对导入表中保存的原函数地址及替换后 的地址进行限定， 此处 hook的函数可以是 NtCreateFi le和 NtOpenFi le等函数， 替换后的预 设的函数地址可根据需要进行设定。具体实现时， 可以预设的函数 MyNtCreateFi le的地址替 换导入表中保存的函数的地址， 当然， 还可以采用其他预设的函数， 本实施例不对具体的预 设的函数地址进行限定， 能够实现对文件过滤驱动的穿透即可。
如图 3所示， 替换导入表中保存的函数地址后， 文件打开流程由原来的虚箭头所示流程 修改为实箭头所示的流程， 从而穿透了原有流程中可能存在的文件过滤驱动。
需要说明的是， 对于多次打开同一文件或打开多个文件的情况， 无需每次重复执行该步 骤， 替换 kernel32. dl l导入表中记录的系统 API函数的地址一次即可， 替换之后， 每当调用 原来的系统 API函数时， 都将改成调用替换后的地址所对应的函数， 以此穿透原来的文件过 滤驱动。 当然， 如果预设的函数地址需要重新设定， 则可以重新执行该步骤以重新设定的函 数地址替换导入表中保存的函数地址， 本实施例不对每次执行文件打开方法时是否执行该步 骤而进行具体限定。
202： 捕获文件打开动作， 并记录打开动作所对应的参数；
针对该步骤， 本实施例不对捕获文件打开动作的具体方式进行限定， 由于现有的文件打 开方式中也会存在捕获文件打开动作的操作， 因此可通过现有的实现方式实现。
对于打开动作所对应的参数， 本实施例对此不进行具体限定， 包括但不限于文件名， 申 请的权限等参数。 记录打开动作所对应的参数， 即将打开动作所对应的参数保存到内存中， 以备后续根据记录的参数执行打开操作。
203： 获取对应的原始文件系统设备对象和原始文件系统分发函数地址；
具体地， 文件系统指用于存储文件的磁盘或分区， 而文件系统设备对象可以是某个磁盘， 或某个分区， 不同的文件对应不同的文件系统设备对象， 例如， 如果待打开的文件位于 C磁 盘， 则可将 C磁盘作为该文件对应的文件系统设备对象。 而文件系统分发函数用于执行文件 打开操作， 对于不同的文件系统设备对象， 其可以调用多个文件系统分发函数。 当文件系统 设备对象接收到文件打开请求时， 即可调用对应的文件系统分发函数。 在本实施例中， 针对 经过文件过滤驱动捕获并修改后的文件系统设备对象及文件系统分发函数， 本实施例将未被 文件过滤驱动修改的该文件原本对应的文件系统设备对象称为原始文件系统设备对象， 该原 始文件系统设备对象调用的文件系统分发函数称为原始文件系统分发函数。
本实施例不对获取原始文件系统设备对象和原始文件系统分发函数地址的方式进行限 定。 实际应用中， 可预先编写用于获取原始文件系统设备对象和原始文件系统分发函数地址 的驱动程序， 通过该预先编写的驱动程序来获取原始文件系统设备对象和原始文件系统分发 函数地址。
由于 VPB (Volume Parameter Block, 卷参数块） 结构中记录了文件系统设备对象， 因 此， 可通过预先编写的驱动程序在记录有文件系统设备对象的 VPB结构中查找对应的原始文 件系统设备对象。 另外， 由于预先编写的驱动程序以 BOOT方式启动时， 此时系统记录的信息 都是未经修改过的， 且可信的， 则驱动程序以 BOOT方式启动时获取到的文件系统分发函数地 址即为原始文件系统分发函数地址。 因此， 可以 BOOT方式启动预先编写的驱动程序， 通过该 预先编写的驱动程序获取对应的原始文件系统分发函数地址。
204： 直接向原始文件系统设备对象所在的文件系统发送文件打开请求， 并由文件系统将 文件打开请求传递给原始文件系统分发函数地址所对应的原始文件系统分发函数；
具体地， 直接向原始文件系统设备对象所在的文件系统发送文件打开请求时， 本实施例 不对具体的发送方式进行限定，具体实现时，可使用 IoCreateFi leSpecifyDeviceObjectHint 函数， 并以原始文件系统设备对象为参数， 将文件打开请求直接发送给原始文件系统设备对 象所在的文件系统。
其中， IoCreateFi leSpecifyDeviceObjectHint函数为 Windows系统自用的已有 API函 数，通过使用该函数即可将文件打开请求直接发送给原始文件系统设备对象所在的文件系统; 当该文件打开请求被发送到原始文件系统设备对象所在的文件系统后， 即将触发原始文件系 统设备对象调用对应的原始文件系统分发函数， 因而由该文件系统将该文件打开请求传递给 原始文件系统分发函数地址所对应的原始文件系统分发函数， 由该原始文件系统分发函数执 行文件打开操作， 从而绕开了中间的文件过滤驱动。
205：由原始文件系统分发函数按照替换后的预设的函数地址及记录的参数执行文件打开 操作。
针对该步骤， 由原始文件系统分发函数按照替换后的预设的函数地址执行文件打开操作 时， 原来的文件打开流程已经被修改， 如图 3所示， 虚箭头所指的流程为原来的文件打开流 程， 其存在的 NtCreateFi le函数被替换为 MyNtCreateFi le函数， 文件打开流程也因此由原 来虚箭头所指的流程变为实箭头所指的流程， 从而绕过了中间可能存在的文件过滤驱动， 避 免了过滤驱动截获对文件的访问而引起的对文件进行扫描等不必要的操作， 即使安装了多个 杀毒软件， 通过本实施例提供的方法打开文件时， 另一款杀毒软件不会检测到该文件的打开 动作， 从而不会被激活去扫描文件， 因此避免了兼容性问题， 也避免了加重系统负担的问题。
另外， 由原始文件系统分发函数按照记录的参数执行文件打开操作的目的是为了符合原 来的文件打开方式。 例如， 原来的文件打开动作对应的参数表明其仅具有读权限， 则在记录 该参数， 并根据该参数打开文件时， 仍保持其仅具有读权限， 从而与原打开文件的权限要求 保持一致， 满足用户对文件打开的原始需求。
本实施例提供的方法， 通过捕获文件打开动作， 直接向对应的原始文件系统设备对象所 在的文件系统发送文件打开请求， 由对应的原始文件系统分发函数进行文件打开操作， 实现 了对文件过滤驱动的穿透， 从而减少了因每次打开文件都进行病毒扫描的不必要操作， 且在 安装多个杀毒软件时， 可降低因重复打开文件进行扫描所造成的系统负担， 进而提高系统的 兼容性。 实施例三
本实施例提供了一种文件打开装置， 该装置用于执行上述实施例一和实施例二提供的文 件打开方法。 参见图 4， 该装置包括：
捕获模块 401， 用于捕获文件打开动作；
第一获取模块 402， 用于在捕获模块 401捕获到文件打开动作后， 获取对应的原始文件 系统设备对象；
第二获取模块 403， 用于在捕获模块 401捕获到文件打开动作后， 获取对应的原始文件 系统分发函数地址；
发送模块 404， 用于直接向第一获取模块 402获取到的原始文件系统设备对象所在的文 件系统发送文件打开请求， 并将文件打开请求传递给第二获取模块 403获取到的原始文件系 统分发函数地址所对应的原始文件系统分发函数；
打开模块 405， 用于由原始文件系统分发函数执行文件打开操作。
其中，捕获模块 401捕获文件打开动作的方式详见上述实施例二中步骤 202的相关描述， 第一获取模块 402获取对应的原始文件系统设备对象的方式， 以及第二获取模块 403获取对 应的原始文件系统分发函数地址的方式均详见上述实施例二中步骤 203的相关描述， 发送模 块 404直接向第一获取模块 402获取到的原始文件系统设备对象所在的文件系统发送文件打 开请求， 并将文件打开请求传递给第二获取模块 403获取到的原始文件系统分发函数地址所 对应的原始文件系统分发函数的方式详见上述实施例二中步骤 204的相关描述，打开模块 405 由原始文件系统分发函数执行文件打开操作的方式详见上述实施例二中步骤 205 的相关描 述， 此处不再赘述。
进一步地， 结合上述实施例二中步骤 201的相关描述， 参见图 5， 该装置， 还包括： 替换模块 406， 用于搜索 32位动态链接库文件的导入表， 以预设的函数地址替换导入表 中保存的函数地址；
相应地， 打开模块 405， 具体用于由原始文件系统分发函数按照替换模块 406替换后的 预设的函数地址执行文件打开操作。
进一步地， 结合上述实施例二中步骤 202的相关描述， 参见图 6， 该装置， 还包括： 记录模块 407， 用于记录捕获模块 401捕获到的文件打开动作所对应的参数；
相应地， 打开模块 405， 具体用于由原始文件系统分发函数按照记录模块 407记录的参 数进行文件打开操作。
其中， 第一获取模块 402， 具体用于通过预先编写的驱动程序在记录有文件系统设备对 象的 VPB结构中查找对应的原始文件系统设备对象。
第二获取模块 403， 具体用于以 BOOT方式启动预先编写的驱动程序， 通过预先编写的驱 动程序获取对应的原始文件系统分发函数地址。
发送模块 404， 具体用于使用 IoCreateFi leSpecifyDeviceObjectHint函数， 并以原始 文件系统设备对象为参数， 将文件打开请求直接发送给原始文件系统设备对象所在的文件系 统。
本实施例提供的装置， 通过捕获文件打开动作， 直接向对应的原始文件系统设备对象所 在的文件系统发送文件打开请求， 由对应的原始文件系统分发函数进行文件打开操作， 实现 了对文件过滤驱动的穿透， 从而减少了因每次打开文件都进行病毒扫描的不必要操作， 且在 安装多个杀毒软件时， 可降低因重复打开文件进行扫描所造成的系统负担， 进而提高系统的 兼容性。 实施例四
本实施例提供了一种终端， 该终端包括上述实施例三提供的文件打开装置。
其中， 该终端具体可以为手机终端， 也可以为电脑终端或是其他终端， 本实施例不对终 端的具体产品形式进行限定。 本实施例提供的终端， 通过文件打开装置捕获文件打开动作， 直接向对应的原始文件系 统设备对象所在的文件系统发送文件打开请求， 由对应的原始文件系统分发函数进行文件打 开操作， 实现了对文件过滤驱动的穿透， 从而减少了因每次打开文件都进行病毒扫描的不必 要操作， 且在安装多个杀毒软件时， 可降低因重复打开文件进行扫描所造成的系统负担， 进 而提高系统的兼容性。
需要说明的是： 上述实施例提供的文件打开装置在打开文件时， 仅以上述各功能模块的 划分进行举例说明， 实际应用中， 可以根据需要而将上述功能分配由不同的功能模块完成， 即将装置的内部结构划分成不同的功能模块， 以完成以上描述的全部或者部分功能。 另外， 上述实施例提供的文件打开装置、 终端与文件打开方法实施例属于同一构思， 其具体实现过 程详见方法实施例， 这里不再赘述。
本领域技术人员可以清楚地了解到， 以上所描述的装置实施例仅仅是示意性的， 所述单 元 /模块的划分， 仅仅为一种逻辑功能划分， 实际实现时可以有另外的划分方式。 例如， 各功 能单元 /模块可以集成在一个处理单元 /模块中， 也可以是各个单元 /模块单独物理存在， 也可 以两个或两个以上单元 /模块集成在一个单元 /模块。上述集成的单元 /模块既可以采用硬件的 形式实现， 也可以采用软件功能单元 /模块的形式实现。
本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成， 也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中， 上述提到的存储介质可以是只读存储器， 磁盘或光盘等。
以上所述仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发明的精神和原则之 内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1、 一种文件打开方法， 其特征在于， 所述方法包括：
捕获文件打开动作，并获取对应的原始文件系统设备对象和原始文件系统分发函数地址; 直接向所述原始文件系统设备对象所在的文件系统发送文件打开请求， 并由所述文件系 统将所述文件打开请求传递给所述原始文件系统分发函数地址所对应的原始文件系统分发函 数， 由所述原始文件系统分发函数执行文件打开操作。
2、 根据权利要求 1所述的方法， 其特征在于， 所述捕获文件打开动作之前， 还包括： 搜索 32位动态链接库文件的导入表，以预设的函数地址替换所述导入表中保存的函数地 址；
相应地， 由所述原始文件系统分发函数执行文件打开操作时， 具体包括：
由所述原始文件系统分发函数按照替换后的预设的函数地址执行文件打开操作。
3、 根据权利要求 1所述的方法， 其特征在于， 所述捕获文件打开动作之后， 还包括： 记录所述文件打开动作所对应的参数；
相应地， 由所述原始文件系统分发函数执行文件打开操作时， 具体包括：
由所述原始文件系统分发函数按照记录的参数执行文件打开操作。
4、 根据权利要求 1所述的方法， 其特征在于， 所述获取对应的原始文件系统设备对象， 具体包括：
通过预先编写的驱动程序在记录有文件系统设备对象的卷参数块 VPB结构中查找对应的 原始文件系统设备对象。
5、根据权利要求 1所述的方法， 其特征在于， 所述获取对应的原始文件系统分发函数地 址， 具体包括：
以引导 BOOT方式启动预先编写的驱动程序，通过所述预先编写的驱动程序获取对应的原 始文件系统分发函数地址。
6、根据权利要求 1所述的方法， 其特征在于， 所述直接向所述原始文件系统设备对象所 在的文件系统发送文件打开请求， 具体包括： 使用 IoCreateFi leSpecifyDeviceObjectHint函数， 并以所述原始文件系统设备对象为 参数， 将所述文件打开请求直接发送给所述原始文件系统设备对象所在的文件系统。
7、 一种文件打开装置， 其特征在于， 所述装置包括：
捕获模块， 用于捕获文件打开动作；
第一获取模块， 用于在所述捕获模块捕获到文件打开动作后， 获取对应的原始文件系统 设备对象；
第二获取模块， 用于在所述捕获模块捕获到文件打开动作后， 获取对应的原始文件系统 分发函数地址；
发送模块， 用于直接向所述第一获取模块获取到的原始文件系统设备对象所在的文件系 统发送文件打开请求， 并由所述文件系统将所述文件打开请求传递给所述第二获取模块获取 到的原始文件系统分发函数地址所对应的原始文件系统分发函数；
打开模块， 用于由所述原始文件系统分发函数执行文件打开操作。
8、 根据权利要求 7所述的装置， 其特征在于， 所述装置， 还包括：
替换模块， 用于搜索 32位动态链接库文件的导入表， 以预设的函数地址替换所述导入表 中保存的函数地址；
相应地， 所述打开模块， 具体用于由所述原始文件系统分发函数按照所述替换模块替换 后的预设的函数地址执行文件打开操作。
9、 根据权利要求 7所述的装置， 其特征在于， 所述装置， 还包括：
记录模块， 用于记录所述捕获模块捕获到的文件打开动作所对应的参数；
相应地， 所述打开模块， 具体用于由所述原始文件系统分发函数按照所述记录模块记录 的参数进行文件打开操作。
10、 根据权利要求 7所述的装置， 其特征在于， 所述第一获取模块， 具体用于通过预先 编写的驱动程序在记录有文件系统设备对象的卷参数块 VPB结构中查找对应的原始文件系统 设备对象。
11、根据权利要求 7所述的装置，其特征在于，所述第二获取模块，具体用于以引导 BOOT 方式启动预先编写的驱动程序， 通过所述预先编写的驱动程序获取对应的原始文件系统分发 函数地址。
12、 根据权利要求 7 所述的装置， 其特征在于， 所述发送模块， 具体用于使用 IoCreateFi leSpecifyDeviceObjectHint 函数， 并以所述原始文件系统设备对象为参数， 将 所述文件打开请求直接发送给所述原始文件系统设备对象所在的文件系统。
13、 一种终端， 其特征在于， 所述终端包括： 如所述权利要求 7至权利要求 12中任一权 利要求所述的文件打开装置。
PCT/CN2012/076874 2011-09-05 2012-06-14 文件打开方法、装置及终端 WO2013034006A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/342,482 US20140207833A1 (en) 2011-09-05 2012-06-14 File opening method, apparatus, and terminal
AU2012306979A AU2012306979C1 (en) 2011-09-05 2012-06-14 File opening method, apparatus and terminal

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110260036.X 2011-09-05
CN201110260036.XA CN102982031B (zh) 2011-09-05 2011-09-05 文件打开方法及装置

Publications (1)

Publication Number Publication Date
WO2013034006A1 true WO2013034006A1 (zh) 2013-03-14

Family

ID=47831493

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/076874 WO2013034006A1 (zh) 2011-09-05 2012-06-14 文件打开方法、装置及终端

Country Status (5)

Country Link
US (1) US20140207833A1 (zh)
CN (1) CN102982031B (zh)
AU (1) AU2012306979C1 (zh)
HK (1) HK1182495A1 (zh)
WO (1) WO2013034006A1 (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10356237B2 (en) 2016-02-29 2019-07-16 Huawei Technologies Co., Ltd. Mobile terminal, wearable device, and message transfer method
TWI599905B (zh) * 2016-05-23 2017-09-21 緯創資通股份有限公司 惡意碼的防護方法、系統及監控裝置
CN106202290A (zh) * 2016-06-30 2016-12-07 北京金山安全软件有限公司 一种文件的访问方法及终端
CN113220380A (zh) * 2021-05-25 2021-08-06 北京小米移动软件有限公司 本地原生程序的调用方法、装置、电子设备及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070101435A1 (en) * 2005-10-14 2007-05-03 Check Point Software Technologies, Inc. System and Methodology Providing Secure Workspace Environment
CN101101622A (zh) * 2007-07-10 2008-01-09 北京鼎信高科信息技术有限公司 一种构造透明编码环境的方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6026402A (en) * 1998-01-07 2000-02-15 Hewlett-Packard Company Process restriction within file system hierarchies
WO1999042934A2 (en) * 1998-02-20 1999-08-26 Storm Systems, Llc File system performance enhancement
US6874139B2 (en) * 2000-05-15 2005-03-29 Interfuse Technology Corporation Method and system for seamless integration of preprocessing and postprocessing functions with an existing application program
GB2415517B (en) * 2004-06-24 2010-03-03 Symbian Software Ltd File management in a computing device
US7676508B2 (en) * 2004-11-10 2010-03-09 Microsoft Corporation Method and system for recording and replaying input-output requests issued by a user-mode program
AU2007200606A1 (en) * 2006-03-03 2007-09-20 Pc Tools Technology Pty Limited Scanning files using direct file system access

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070101435A1 (en) * 2005-10-14 2007-05-03 Check Point Software Technologies, Inc. System and Methodology Providing Secure Workspace Environment
CN101101622A (zh) * 2007-07-10 2008-01-09 北京鼎信高科信息技术有限公司 一种构造透明编码环境的方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
PENG, JUXIANG: "System Design and Implementation of File System Filter Layer Pass-through", CHINA MASTER'S THESES FULL-TEXT DATABASE, 2010, 15 May 2010 (2010-05-15), pages 20 - 38 *
WANG, LANYING ET AL.: "Realization on Operation for Windows Device Drivers Based on IRP", JOURNAL OF SICHUAN UNIVERSITY OF SCIENCE & ENGINEERING (NATURAL SICENCE EDITION), vol. 23, no. 1, 28 February 2010 (2010-02-28) *

Also Published As

Publication number Publication date
CN102982031A (zh) 2013-03-20
AU2012306979B2 (en) 2015-05-21
AU2012306979A1 (en) 2014-03-27
HK1182495A1 (zh) 2013-11-29
AU2012306979C1 (en) 2015-10-22
US20140207833A1 (en) 2014-07-24
CN102982031B (zh) 2015-04-01

Similar Documents

Publication Publication Date Title
US8220053B1 (en) Shadow copy-based malware scanning
EP2811404B1 (en) Virtual desktop implementation method, device and system
CN109388538B (zh) 一种基于内核的文件操作行为监控方法及装置
CN101458754B (zh) 一种监控应用程序行为的方法及装置
JP5808395B2 (ja) マルウェアスキャニング
US9785770B2 (en) Method, apparatus, and system for triggering virtual machine introspection
US20150113653A1 (en) Scanning method and device, and client apparatus
WO2013034006A1 (zh) 文件打开方法、装置及终端
JP2012014429A (ja) 情報処理装置及びその制御方法、プログラム
WO2013044785A1 (zh) 一种用户数据备份方法及装置
WO2022036865A1 (zh) 日志文件自动抓取方法、装置和计算机设备
WO2011095036A1 (zh) 软件包生成方法及系统
WO2014206183A1 (zh) 宏病毒查杀方法及系统
CN108255542A (zh) 一种虚拟机的串口并口管控方法与装置
CN111988292B (zh) 一种内网终端访问互联网的方法、装置及系统
JPWO2019013033A1 (ja) コールスタック取得装置、コールスタック取得方法、および、コールスタック取得プログラム
WO2016086782A1 (zh) 卸载破解版应用程序的方法及装置
Chailytko et al. Defeating sandbox evasion: how to increase the successful emulation rate in your virtual environment
CN111159789A (zh) 一种监控文件的方法及装置、设备、存储介质
CN107665157A (zh) 一种提高无盘速度体验的方法
WO2010006514A1 (zh) 一种对文件虚拟化处理方法及装置
CN109120595A (zh) 一种实现kvm功能的usb设备通信方法与装置
CN114448929B (zh) 数据链路转接方法、装置和系统，以及计算设备
CN111796989B (zh) Linux系统下防止截屏的方法及计算机可读存储介质
AU2021209167A1 (en) System and method for generating a minimal forensic image of a dataset of interest

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12829320

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14342482

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2012306979

Country of ref document: AU

Date of ref document: 20120614

Kind code of ref document: A

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 05/08/2014)

122 Ep: pct application non-entry in european phase

Ref document number: 12829320

Country of ref document: EP

Kind code of ref document: A1