[发明专利]视窗操作系统下基于内核的防止硬盘分区被删除的方法

说明书

本发明公开了一种视窗操作系统下基于内核的防止硬盘分区被删除的方法，其是一种在所述视窗操作系统的ring0级下执行的方法，包括以下步骤：创建和设置minifilter文件过滤驱动，来监控系统进程及其模块中的IRP_MJ_VOLUME_MOUNT消息；收到IRP_MJ_VOLUME_MOUNT消息的情况下，调用函数FltGetVolumeProperties获取其中的设备属性，并对该设备属性进行判断，当且仅当该设备属性是文件设备且为物理硬盘时，拦截该系统进程及其模块，以阻止用户删除硬盘分区的操作。本发明属于ring 0层，无进程也无DLL存在，不易被卸载，因而更加安全可靠。

技术领域

本发明属于软件领域，尤其涉及一种视窗操作系统下基于内核的防止硬盘分区被删除的方法。

背景技术

删除硬盘分区的同时会将硬盘格式化，这是一种清除电脑中数据的重要手段，其对于数据的危害也最大。一旦重新分区，通常很难恢复数据或需要付出较多的时间和费用才能部分恢复数据。而执行删除硬盘分区这个指令的门槛却非常低，普通的用户通过几个简单的操作即可进行。这使得在数据日益重要的今天，如何防范硬盘分区被删除造成数据丢失，或员工离职时恶意操作或者黑客进入后恶意操作，这显得日益重要。

发明内容

为了克服上述问题，本发明提供一种安全可靠的视窗操作系统下基于内核的防止硬盘分区被删除的方法。

本发明的技术方案是提供一种视窗操作系统下基于内核的防止硬盘分区被删除的方法，其是一种在所述视窗操作系统的ring0级下执行的方法，包括以下步骤：

创建和设置minifilter文件过滤驱动，来监控系统进程及其模块中的IRP_MJ_VOLUME_MOUNT消息；

收到IRP_MJ_VOLUME_MOUNT消息的情况下，调用函数FltGetVolumeProperties获取其中的设备属性，并对该设备属性进行判断，当且仅当该设备属性是文件设备且为物理硬盘时，拦截该系统进程及其模块，以阻止用户删除硬盘分区的操作。

优选的，调用函数FltGetVolumeProperties，并判断其中的设备属性是否为文件设备的方法是：判断该设备属性中的成员DeviceType是否为FILE_DEVICE_DISK_FILE_SYSTEM，其中FILE_DEVICE_DISK_FILE_SYSTEM为视窗操作系统中定义磁盘文件系统设备的系统常量。

优选的，调用函数FltGetVolumeProperties，并判断其中的设备属性是否为物理硬盘的方法是：判断该设备属性中的成员RealDeviceName中是否包含字符串“\HarddiskVolume”。

优选的，拦截该系统进程及其模块的方法是给该系统进程及其模块返回STATUS_ACCESS_DENIED信息，阻止其继续运行。

优选的，创建和设置minifilter文件过滤驱动，来监控系统进程及其模块中的IRP_MJ_VOLUME_MOUNT消息的方法是：通过FltRegisterFilter函数向过滤管理器注册一个微过滤器，在所述微过滤器的开始函数FltStartFiltering中过滤IRP_MJ_VOLUME_MOUNT消息。

优选的，所述方法随所述视窗操作系统启动而开始执行。

本发明的视窗操作系统下基于内核的防止硬盘分区被删除的方法,是基于内核来实现，属于ring 0层，相比于应用层(ring 3)的技术实现，既无进程也无DLL存在，不易被卸载，因而更加安全可靠。

附图说明

图1是本发明的原理示意图。

具体实施方式

下面对本发明的具体实施方式作进一步详细的描述。

1、技术基础