網(wǎng)絡安全編程：目錄監(jiān)控工具
本文介紹通過ReadDirectoryChangesW()來編寫一個監(jiān)視目錄變化的程序。
對目錄及目錄中的文件實時監(jiān)控，可以有效地發(fā)現(xiàn)文件被改動的情況。就好像在本地安裝IIS服務器，并搭建一個網(wǎng)站平臺，有時候會遭到黑客的篡改，而程序員無法及時地恢復被篡改的頁面，導致出現(xiàn)了非常不好的影響。如果能及時地發(fā)現(xiàn)網(wǎng)頁被篡改，并及時地恢復本來的頁面就好了，那么該如何做呢？
下面通過一個簡單的例子來介紹如何監(jiān)控某目錄及目錄下文件的變動情況。首先需要了解的函數(shù)為ReadDirectoryChangesW()，其定義如下：
- BOOL ReadDirectoryChangesW(
- HANDLE hDirectory,
- LPVOID lpBuffer,
- DWORD nBufferLength,
- BOOL bWatchSubtree,
- DWORD dwNotifyFilter,
- LPDWORD lpBytesReturned,
- LPOVERLAPPED lpOverlapped,
- LPOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine
- );
參數(shù)說明如下。
hDirectory：該參數(shù)指向一個要監(jiān)視目錄的句柄。該目錄需要用 FILE_LIST_DIRECTORY的訪問權限打開。
lpBuffer：該參數(shù)指向一個內存的緩沖區(qū)，它用來存放返回的結果。結果為一個 FILE_NOTIFY_INFORMATION 的數(shù)據(jù)結構。
nBufferLength：表示緩沖區(qū)的大小。
bWatchSubtree：該參數(shù)為 TRUE 時，表示監(jiān)視指定目錄下的文件及子目錄下的文件操作。如果該參數(shù)為 FALSE，則只監(jiān)視指定目錄下的文件，不包含子目錄下的文件。
dwNotifyFilter：該參數(shù)指定要返回何種文件變更后的類型，該參數(shù)的常量值參見 MSDN。
lpBytesReturned：該參數(shù)返回傳給 lpBuffer 結果的字節(jié)數(shù)。
lpOverlapped：該參數(shù)執(zhí)行一個 OVERLAPPED 結構體，該結構體用于異步操作，否則該數(shù)據(jù)為 NULL。
ReadDirectoryChangesW()函數(shù)的使用非常簡單，下面通過一個例子介紹其使用。該例子是對E盤目錄進行監(jiān)控，將程序編寫完成后對E盤進行簡單的文件操作，以觀察程序的輸出結構。完整的代碼如下：
- #include <windows.h>
- #include <stdio.h>
- extern "C"
- BOOL
- WINAPI
- ReadDirectoryChangesW(
- __in HANDLE hDirectory,
- __out_bcount_part(nBufferLength, *lpBytesReturned) LPVOIDlpBuffer,
- __in DWORD nBufferLength,
- __in BOOL bWatchSubtree,
- __in DWORD dwNotifyFilter,
- __out LPDWORD lpBytesReturned,
- __inout LPOVERLAPPED lpOverlapped,
- __in_opt LPOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine
- );
- DWORD WINAPI ThreadProc(LPVOID lpParam)
- {
- BOOL bRet = FALSE;
- BYTE Buffer[1024] = { 0 };
- FILE_NOTIFY_INFORMATION *pBuffer = (FILE_NOTIFY_INFORMATION *)Buffer;
- DWORD BytesReturned = 0;
- HANDLE hFile = CreateFile("e:\\",
- FILE_LIST_DIRECTORY,
- FILE_SHARE_READ|FILE_SHARE_DELETE|FILE_SHARE_WRITE,
- NULL,OPEN_EXISTING,FILE_FLAG_BACKUP_SEMANTICS,NULL);
- if ( INVALID_HANDLE_VALUE == hFile )
- {
- return 1;
- }
- printf("monitor... \r\n");
- while ( TRUE )
- {
- ZeroMemory(Buffer, 1024);
- bRet = ReadDirectoryChangesW(hFile,&Buffer,sizeof(Buffer),TRUE,
- FILE_NOTIFY_CHANGE_FILE_NAME | // 修改文件名
- FILE_NOTIFY_CHANGE_ATTRIBUTES | // 修改文件屬性
- FILE_NOTIFY_CHANGE_LAST_WRITE , // 最后一次寫入
- &BytesReturned,NULL, NULL);
- if ( bRet == TRUE )
- {
- char szFileName[MAX_PATH] = { 0 };
- // 寬字符轉換多字節(jié)
- WideCharToMultiByte(CP_ACP,0,pBuffer->FileName,
- pBuffer->FileNameLength / 2,szFileName,
- MAX_PATH,NULL,NULL);
- switch(pBuffer->Action)
- {
- // 添加
- case FILE_ACTION_ADDED:
- {
- printf("添加 : %s\r\n", szFileName);
- break;
- }
- // 刪除
- case FILE_ACTION_REMOVED:
- {
- printf("刪除 : %s\r\n", szFileName);
- break;
- }
- // 修改
- case FILE_ACTION_MODIFIED:
- {
- printf("修改 : %s\r\n", szFileName);
- break;
- }
- // 重命名
- case FILE_ACTION_RENAMED_OLD_NAME:
- {
- printf("重命名 : %s", szFileName);
- if ( pBuffer->NextEntryOffset != 0 )
- {
- FILE_NOTIFY_INFORMATION *tmpBuffer = (FILE_NOTIFY_INFORMATION *)
- ((DWORD)pBuffer + pBuffer->NextEntryOffset);
- switch ( tmpBuffer->Action )
- {
- case FILE_ACTION_RENAMED_NEW_NAME:
- {
- ZeroMemory(szFileName, MAX_PATH);
- WideCharToMultiByte(CP_ACP,0,
- tmpBuffer->FileName,tmpBuffer->FileNameLength / 2,
- szFileName,MAX_PATH,NULL,NULL);
- printf(" -> : %s \r\n", szFileName);
- break;
- }
- }
- }
- break;
- }
- case FILE_ACTION_RENAMED_NEW_NAME:
- {
- printf("重命名(new) : %s\r\n", szFileName);
- }
- }
- }
- }
- CloseHandle(hFile);
- return 0;
- }
- int main(int argc, char* argv[])
- {
- HANDLE hThread = CreateThread(NULL, 0, ThreadProc, NULL, 0, NULL);
- if ( hThread == NULL )
- {
- return -1;
- }
- WaitForSingleObject(hThread, INFINITE);
- CloseHandle(hThread);
- return 0;
- }
將程序編譯連接并運行，在E盤下進行簡單的操作，查看程序對E盤的監(jiān)視輸出記錄，如圖1所示。
圖1 目錄監(jiān)控輸出記錄
對于目錄監(jiān)視的這個例子，可以將其改為一個簡單的文件防篡改程序。首先將要監(jiān)視的文件目錄進行備份，然后對文件目錄進行監(jiān)視，如果有文件發(fā)生了修改，那么就使用備份目錄下的指定文件恢復被修改的文件。
