"Neue Datei" / "Datei löschen" - Hook

[berens]

Hallo!

Kann mir irgendjemand einen Tip geben, wie ich es mit meinem Programm "mitbekomme", wenn irgendein Prozess (welcher?) eine Datei (welche?) erstellt (alternativ: zum Schreiben öffnet) bzw. löscht?

[Luckie]

Das geht sicher nur mit einem Dateisystemfiltertreiber.

[berens]

Hm, davon hab ich natürlich garkeine Ahnung. (Muss wohl Assembler ran?)
Hat jemand Ahnung davon, wie das gehen könnte? :gruebel:

[Luckie]

Mit Delphi gar nicht und mit Assembler hat das nichts zu tun. Was du brauchst ist das DDK von Microsoft und viel Ahnung, was du da tust.

[berens]

Also haken wir das erstmal ab :(

Gibt es irgendein Programm/"Treiber" das sowas Protokolliert (Virenscanner o.ä.)

[Luckie]

Von Sysinternal gibt es ein entprechendes Programm. Aber ob da eine Protokolldatei schreiben kann, weiß ich nicht. Wozu brauchst du denn das?

[berens]

Nun, es kann helfen Computerprobleme zu lösen und neuartige Viren zu identifizieren.

Ich habe z.B. atm einen PC, bei dem ständig eine Datei verschwindet, die ich für Windows (XP Pro!) über Zugriffsberechtigungen als nicht änder/schreibbar für "Jeder" markiert habe. Mich würde mal interessieren, wie die trotzdem dauernd wieder verschwinden kann.

Ausserdem kannst du z.B. bei einem Virus der mehrere Kopien von sich macht nachvollziehen, was das ursprüngliche Programm war. Beispiel:

Outlook.exe
-->ILoveYou.exe
---->svchost.exe
---->Paint32.exe
------>Paint64.exe
---->VirenBackup.exe
------>Paint32.exe
-------->Paint64.exe

So kannst du sehen, wenn du die Datei Paint32 löschst (weil du vermutest, dass dies ein Virus ist), und diese immer wieder neu erscheint, welches Programm immer wieder diese Datei neu erstellt. Hier also z.B. VirenBackup.exe. Und dann kannst du auch alle anderen Dateien per Hand löschen, die von dem selben Ursprungsprozess erzeugt wurden + Originalprogramm. Natürlich nur bis zu einer gewissen Ebene, da Explorer.exe, FireFox.exe, Outlook.exe etc. natürlich nicht gelöscht werden sollen...

Virenscanner ist aktuell, findet aber nichts. Dieses spezielle Thema ist aber in einem anderen Forum besser aufgehoben ;)

[StefanG]

Wieso soll das nur mit einem Treiber funktionieren? Ein Hook auf die entsprechenden API Funktion sollte es doch auch tun.

[berens]

Ja, jetzt ist nur meine Frage: Welche API ist das?

[sirius]

Ich würde ja auf Createfile tippen :mrgreen: