[发明专利]一种控制Windows文件系统访问权限的方法

摘要

本发明公开了一种控制Windows文件系统访问权限的方法，包括对不同I/O请求包对于不同权限返回状态进行划分、权限配置、I/O请求包拦截分析和I/O请求包处理步骤，对不同I/O请求包对于不同权限返回状态进行划分的步骤首先制定I/O请求包对应权限返回状态表；根据不同的主函数码确定其在不同访问权限下的返回状态；根据得到的一系列I/O请求包的成功及失败组合构成宏观上的访问权限。本发明不影响磁盘目录结构，权限的限制针对程序而言，满足对程序访问权限进行控制的需求；在内核层过滤拦截IRP，不影响其余任何模块或者内容；在内核驱动层拦截IRP，通过高效的分析判断算法来判定当前IRP的访问权限返回值，以此进一步实现宏观的权限控制，权限控制效率高且可靠性高。

主权项

一种控制Windows文件系统访问权限的方法，其特征在于： 它包括一个对不同I/O请求包对于不同权限返回状态进行划分的步骤、一个权限配置的步骤、一个I/O请求包拦截分析的步骤和一个I/O请求包处理的步骤：所述的对不同I/O请求包对于不同权限返回状态进行划分的步骤包括以下子步骤：S101：划分访问权限的种类；S102：列出Windows系统所有I/O请求包的主函数码种类；S103：根据步骤S101、S102，制定I/O请求包对应权限返回状态表；S104：根据不同的主函数码确定其在不同访问权限下的返回状态，或不作任何处理，默认保持I/O请求包的原有状态，继续往驱动栈中的下一级驱动投递该I/O请求包；所述的权限配置的步骤包括以下子步骤：S201：设定磁盘文件及文件夹的访问权限白名单，白名单中配置进程信息及其对应的访问权限，白名单中的访问权限类型包括除零权限以外的所有权限；S202：未加入白名单中的进程的访问权限默认为零权限；S203：未配置白名单的磁盘不受控，对所有进程均开放其访问权限；所述的I/O请求包拦截分析的步骤包括以下子步骤：S301：在内核驱动栈中过滤拦截I/O请求包；S302：获取当前I/O请求包的目标盘符，判断该目标盘符是否为配置中受控的卷，如果不是受控的卷则保持此次I/O请求包的原有状态，继续投递I/O请求包到驱动栈中的下级驱动，保持此I/O请求包的正常运转；S303：如果该目标盘符是受控的卷，则获取当前I/O请求包所属的进程信息；S304：查询权限配置步骤所完成的配置信息，获得当前进程对于目标磁盘的访问权限；所述的I/O请求包处理的步骤包括以下子步骤：S401：根据步骤S304获得的访问权限值查询步骤S103制定的I/O请求包对应权限返回状态表，获取当前I/O请求包对应步骤S304获得的访问权限值应该返回的结果，返回结果为成功，则跳转至步骤S402，返回结果为失败，则跳转至步骤S403；S402：当返回结果为成功时，继续投递I/O请求包到驱动栈中的下一级驱动，保持当前I/O请求包的正常流程，此次访问继续；S403：当返回结果为失败时，修改当前I/O请求包的状态值为STATUS_ACCESS_DENIED，直接往驱动栈中的上一级驱动返回该I/O请求包，此次访问被终止，状态为拒绝；S404：根据得到的一系列I/O请求包的成功及失败组合构成宏观上的访问权限。