深入探究NTCreateFile

一、NTCreateFile too many

NTCreateFile 是操作系統中的一個較為重要的函數，總體而言其作用是創建或打開一個文件對象並返回操作該對象的句柄。使用NTCreateFile 可以對一些常規方法無法打開的文件對象進行操作，並且可以訪問一些附加的文件屬性操作。由於其廣泛應用於I/O操作中，所以在Windows中使用NTCreateFile的場合很多，但是如果我們不注意處理返回值，經常會出現「NTCreateFile too many」的問題，即創建文件失敗的情況。

NTSTATUS status;
HANDLE FileHandle;
IO_STATUS_BLOCK Iosb ;
OBJECT_ATTRIBUTES ObjectAttributes;
ACCESS_MASK DesiredAccess;
ULONG OpenOptions;
ULONG Disposition; 
WCHAR FilePath[1024];

// 填寫ObjectAttributes結構體
InitializeObjectAttributes(&ObjectAttributes,&UnicodeFilePath,0,NULL,NULL);

// NTCreateFile常用的選項
OpenOptions = FILE_NON_DIRECTORY_FILE | FILE_SYNCHRONOUS_IO_NONALERT;

// 請求讀取許可權
DesiredAccess = FILE_READ_DATA;

// 文件不存在則新建文件
Disposition = FILE_OPEN_IF;

// 打開文件
status = ZwCreateFile(&FileHandle, DesiredAccess, &ObjectAttributes, &Iosb, 0, FILE_ATTRIBUTE_NORMAL, 0, Disposition, OpenOptions, NULL, 0);

if (!NT_SUCCESS(status)) {
    //創建文件失敗
    DbgPrint("failed to create file");
}
else{
    //創建文件成功 
    ZwClose(FileHandle);
}

二、NTCreateFile(\device)

NTCreateFile 也可以用於訪問底層設備。底層設備通常情況下不能用CreateFile 打開，但通過NTCreateFile可以有效地打開底層設備並讀或寫底層設備。

NTSTATUS status;
HANDLE deviceHandle;
IO_STATUS_BLOCK IoStatusBlock;
UNICODE_STRING string; 
OBJECT_ATTRIBUTES ObjectAttributes;
MEMORY_FULL_INFO MemoryFullInfo;
RTL_QUERY_REGISTRY_TABLE tables[2];

//打開目標設備
RtlZeroMemory(&tables[0], sizeof(RTL_QUERY_REGISTRY_TABLE));
tables[0].Flags = RTL_QUERY_REGISTRY_DIRECT;
tables[0].Name = L"Start";
tables[0].EntryContext = &MemoryFullInfo.StartVa;
tables[0].DefaultType = REG_NONE;
tables[0].DefaultData = NULL;
tables[0].DefaultLength = 0;
tables[1].Flags = 0;

//查詢設備
RtlQueryRegistryValues(RTL_REGISTRY_ABSOLUTE, L"\\Registry\\Machine\\HARDWARE\\ACPI\\DSDT\\0", tables, NULL, NULL);

//填充設備名
RtlInitUnicodeString(&string, L"\\Device\\PhysicalMemory");

//下述代碼來自與底層驅動示例NTSetInformationProcess
InitializeObjectAttributes(&ObjectAttributes,&string, 0,NULL,NULL);

//創建操作設備的句柄
status = NtCreateFile(&deviceHandle,GENERIC_READ, &ObjectAttributes, &IoStatusBlock, NULL,FILE_ATTRIBUTE_NORMAL, FILE_SHARE_READ,NULL,FILE_OPEN,0,NULL,0);

if (status != STATUS_SUCCESS) {
    //創建失敗
    DbgPrint("failed to create device-handle\n");
} 
else {
    //創建成功
    ZwClose(deviceHandle);
}

三、NTCreateFile API

在使用NTCreateFile時，提供兩種常用的參數方式，一種是使用普通函數介面ZwCreateFile,另一種則是使用IO管理器中的 NtCreateFile。因為NtCreateFile在內部調用ZwCreateFile，所以輸出結果相同。如果只從正常的文件系統調用的角度看，無論使用哪種方法都沒有差別。但是，當我們需要監視I/O操作的使用時，兩者是用途不同的。其中NTCreateFile可以截獲這類調用。

NTSTATUS status;
HANDLE FileHandle;
IO_STATUS_BLOCK IoStatusBlock;
OBJECT_ATTRIBUTES ObjectAttributes;
UNICODE_STRING UnicodeFilePath;
UStrCpy(&UnicodeFilePath, L"\\systemroot\\system32\\test.txt");

//創建對象屬性數組
RtlInitUnicodeString(&ObjectAttributes,&UnicodeFilePath);

//請求讀許可權
ULONG DesiredAccess = FILE_READ_DATA;

//如果不存在則新建文件對象
ULONG Disposition = FILE_OPEN_IF;

//以下選項是NTCreateFile常用的選項
ULONG OpenOptions = FILE_NON_DIRECTORY_FILE | FILE_SYNCHRONOUS_IO_NONALERT;

//打開文件對象
status = NtCreateFile(&FileHandle, DesiredAccess, &ObjectAttributes, &IoStatusBlock, NULL, FILE_ATTRIBUTE_NORMAL, 0, Disposition, OpenOptions, NULL, 0);
if (status != STATUS_SUCCESS) {
    //創建失敗
    DbgPrint("failed to create file-object");
} 
else {
    //創建成功
    ZwClose(FileHandle);
}

四、NTCreateFile failed

在使用NTCreateFile進行文件操作時，存在一些可能導致創建或者打開文件失敗的問題。通常來講，這種情況分為是通用的和特定的兩種。

• 1、通用情況下導致失敗的原因有：
  • 內核資源不足
  • 輸入參數不合格
• 2、特定情況下導致失敗的原因有：
  • 讀取文件時沒有適當的讀許可權
  • 打開的文件對象對應的磁碟不存在或已被替換或刪除

五、NTCreateFile 文件名選取

使用NTCreateFile進行文件操作時，選取正確的文件名是非常重要的。如果文件名不正確，那麼文件操作函數無法打開正確的文件對象。如果選取的文件名過長，勢必會浪費內存空間。如果文件名過於簡短，則容易發生重名情況，影響文件傳輸操作的執行。

在使用NTCreateFile操作文件時，應當預留足夠的空間進行文件名操作。對於操作系統中的內核函數而言，其一般會讀取文件名的6個字元作為文件對象的唯一性標識，從而避免文件對象重名的情況。因此，我們選取文件名時需要遵守規範，以確保能夠正確打開並執行文件操作。