突破icesword实现文件隐藏
估计想在icesword下隐藏文件的人有很多吧。今天我介绍一种方法。
先介绍一下icesword是如何查找文件的。基本原理就是自己构造一个irp出来，然后直接IoCallDriver发送到fsd。但是icesword做了更多的工作。它直接读取ntfs.sys 和fastfat.sys，从pe文件格式的角度上计算出正确的fsd的dispatch routine地址，然后再call。而且icesword自己实现了一个IoCallDriver。所以一般的fsd hook是对付不了icesword的。
前段时间cardmagic公布了一种方法，hook IofCompleteRequest。然后在UserBuffer里处理要隐藏的文件。到目前位置，api hook 基本上走到尽头了。那么如果要处理 call dispatch routine 后的buffer还可以在哪里下手呢？
写过驱动的人容易知道，一般的filter类驱动在往下层驱动传递irp的时候会设置一个完成函数，就是CompletionRoutine。IofCallDriver 调用下层驱动，下层驱动处理完成之后CompletionRoutine 就会被调用。那么我们能不能hook掉查询文件的irp 的完成函数呢？调试的时候发现当 MajorFunction==IRP_MJ_DIRECTORY_CONTROL, MinorFunction==IRP_MN_QUERY_DIRECTORY 的时候IrpStackLocation中的CompletionRoutine的是空的。如何解决呢？先总结一下，现在面临两个问题：
1 如何得到icesword下发的irp ？
2 如何为捕获到的irp设置一个callback的完成函数？
下面我来逐个突破：
icesword毕竟还是基于os开发的东西，所以它不可能独立于os去做所有的事。就是说//FileSystem//ntfs
的IRP_MJ_DIRECTORY_CONTROL的处理函数它一定会被调用。既然我们不能hook这个dispatch
routine，那么我们是否可以hook 这个routine中调用过的函数，然后判断函数返回地址，和dispatch
routine的地址做比较以此来判断是否在查询文件。
