深入探究NTCreateFile

一、NTCreateFile too many

NTCreateFile 是操作系统中的一个较为重要的函数，总体而言其作用是创建或打开一个文件对象并返回操作该对象的句柄。使用NTCreateFile 可以对一些常规方法无法打开的文件对象进行操作，并且可以访问一些附加的文件属性操作。由于其广泛应用于I/O操作中，所以在Windows中使用NTCreateFile的场合很多，但是如果我们不注意处理返回值，经常会出现“NTCreateFile too many”的问题，即创建文件失败的情况。

NTSTATUS status;
HANDLE FileHandle;
IO_STATUS_BLOCK Iosb ;
OBJECT_ATTRIBUTES ObjectAttributes;
ACCESS_MASK DesiredAccess;
ULONG OpenOptions;
ULONG Disposition; 
WCHAR FilePath[1024];

// 填写ObjectAttributes结构体
InitializeObjectAttributes(&ObjectAttributes,&UnicodeFilePath,0,NULL,NULL);

// NTCreateFile常用的选项
OpenOptions = FILE_NON_DIRECTORY_FILE | FILE_SYNCHRONOUS_IO_NONALERT;

// 请求读取权限
DesiredAccess = FILE_READ_DATA;

// 文件不存在则新建文件
Disposition = FILE_OPEN_IF;

// 打开文件
status = ZwCreateFile(&FileHandle, DesiredAccess, &ObjectAttributes, &Iosb, 0, FILE_ATTRIBUTE_NORMAL, 0, Disposition, OpenOptions, NULL, 0);

if (!NT_SUCCESS(status)) {
    //创建文件失败
    DbgPrint("failed to create file");
}
else{
    //创建文件成功 
    ZwClose(FileHandle);
}

二、NTCreateFile(\device)

NTCreateFile 也可以用于访问底层设备。底层设备通常情况下不能用CreateFile 打开，但通过NTCreateFile可以有效地打开底层设备并读或写底层设备。

NTSTATUS status;
HANDLE deviceHandle;
IO_STATUS_BLOCK IoStatusBlock;
UNICODE_STRING string; 
OBJECT_ATTRIBUTES ObjectAttributes;
MEMORY_FULL_INFO MemoryFullInfo;
RTL_QUERY_REGISTRY_TABLE tables[2];

//打开目标设备
RtlZeroMemory(&tables[0], sizeof(RTL_QUERY_REGISTRY_TABLE));
tables[0].Flags = RTL_QUERY_REGISTRY_DIRECT;
tables[0].Name = L"Start";
tables[0].EntryContext = &MemoryFullInfo.StartVa;
tables[0].DefaultType = REG_NONE;
tables[0].DefaultData = NULL;
tables[0].DefaultLength = 0;
tables[1].Flags = 0;

//查询设备
RtlQueryRegistryValues(RTL_REGISTRY_ABSOLUTE, L"\\Registry\\Machine\\HARDWARE\\ACPI\\DSDT\\0", tables, NULL, NULL);

//填充设备名
RtlInitUnicodeString(&string, L"\\Device\\PhysicalMemory");

//下述代码来自与底层驱动示例NTSetInformationProcess
InitializeObjectAttributes(&ObjectAttributes,&string, 0,NULL,NULL);

//创建操作设备的句柄
status = NtCreateFile(&deviceHandle,GENERIC_READ, &ObjectAttributes, &IoStatusBlock, NULL,FILE_ATTRIBUTE_NORMAL, FILE_SHARE_READ,NULL,FILE_OPEN,0,NULL,0);

if (status != STATUS_SUCCESS) {
    //创建失败
    DbgPrint("failed to create device-handle\n");
} 
else {
    //创建成功
    ZwClose(deviceHandle);
}

三、NTCreateFile API

在使用NTCreateFile时，提供两种常用的参数方式，一种是使用普通函数接口ZwCreateFile,另一种则是使用IO管理器中的 NtCreateFile。因为NtCreateFile在内部调用ZwCreateFile，所以输出结果相同。如果只从正常的文件系统调用的角度看，无论使用哪种方法都没有差别。但是，当我们需要监视I/O操作的使用时，两者是用途不同的。其中NTCreateFile可以截获这类调用。

NTSTATUS status;
HANDLE FileHandle;
IO_STATUS_BLOCK IoStatusBlock;
OBJECT_ATTRIBUTES ObjectAttributes;
UNICODE_STRING UnicodeFilePath;
UStrCpy(&UnicodeFilePath, L"\\systemroot\\system32\\test.txt");

//创建对象属性数组
RtlInitUnicodeString(&ObjectAttributes,&UnicodeFilePath);

//请求读权限
ULONG DesiredAccess = FILE_READ_DATA;

//如果不存在则新建文件对象
ULONG Disposition = FILE_OPEN_IF;

//以下选项是NTCreateFile常用的选项
ULONG OpenOptions = FILE_NON_DIRECTORY_FILE | FILE_SYNCHRONOUS_IO_NONALERT;

//打开文件对象
status = NtCreateFile(&FileHandle, DesiredAccess, &ObjectAttributes, &IoStatusBlock, NULL, FILE_ATTRIBUTE_NORMAL, 0, Disposition, OpenOptions, NULL, 0);
if (status != STATUS_SUCCESS) {
    //创建失败
    DbgPrint("failed to create file-object");
} 
else {
    //创建成功
    ZwClose(FileHandle);
}

四、NTCreateFile failed

在使用NTCreateFile进行文件操作时，存在一些可能导致创建或者打开文件失败的问题。通常来讲，这种情况分为是通用的和特定的两种。

• 1、通用情况下导致失败的原因有：
  • 内核资源不足
  • 输入参数不合格
• 2、特定情况下导致失败的原因有：
  • 读取文件时没有适当的读权限
  • 打开的文件对象对应的磁盘不存在或已被替换或删除

五、NTCreateFile 文件名选取

使用NTCreateFile进行文件操作时，选取正确的文件名是非常重要的。如果文件名不正确，那么文件操作函数无法打开正确的文件对象。如果选取的文件名过长，势必会浪费内存空间。如果文件名过于简短，则容易发生重名情况，影响文件传输操作的执行。

在使用NTCreateFile操作文件时，应当预留足够的空间进行文件名操作。对于操作系统中的内核函数而言，其一般会读取文件名的6个字符作为文件对象的唯一性标识，从而避免文件对象重名的情况。因此，我们选取文件名时需要遵守规范，以确保能够正确打开并执行文件操作。