软件逆向-火绒剑粉碎文件的分析

起因

上次我已经分析了火绒是如何杀死我们进程的，可是没想到哇，客户竟然还会使用文件粉碎机粉碎我们的文件，被逼无奈，我只能继续的分析一下火绒的粉碎文件的实现，我不得不说为什么它会很多的方式去粉碎文件，一个地方注意不到文件就会被删除。难受哇！
话不多说，我们现在看看火绒粉碎机是如何粉碎的文件。

分析过程

首先我们需要找一个很好的切入点去分析，还是从导入表入手，然后再gitHub上找一找别人是如何使用驱动删除文件。


我们就从这个github上看到的删除文件看一下火绒驱动的导入表，还是经典的下断环节。

winDBG开始下断点

修正一下

这两天主要就是拦截火绒的DEVICEIOCONTROL发现0x220044和0x228004就可以了，并不需要处理第一个函数和第四个函数，我也拦截了一下，其中，第一个函数会无数次的调用，并不会访问到我们强行粉碎的文件。

最后

还是研究如何拦截火绒的IO，当粉碎我们的文件的时候，我们就返回失败。好了，让一切归于平静。