[행위기반탐지] 주저리1 (커널 드라이버와 통신)

전에 하던 SSDT 후킹은 64비트에서 실패해버렸고..

먼저 다른 기능을 구현하자고 해서 지금 만들고 있는게,

File/Folder Open history Logger 인데.. 처음에는 간단하게 Global Hooking을 해서 저장하려고 했다.

근데 더 좋은 방법이 떠올랐는데 그게 바로 Filter Driver 가 되겠다.

WDK를 설치했으면 아마도 File Mini Filter라고 visual studio에 생겼을 건데 그 템플릿을 토대로 소스코드를 짜기 시작했다만,

일단 기능은 구현은 끝내놨었다. 근데 문제가 드라이버와 User-mode Application과의 통신이였는데,

가뜩이나 네트워크 공부는 안해놨었고 IOCP는 개념만 알고 있었고(통신하는데 IOCP가 쓰인단다;;)

오늘 하루 아주 커널 드라이버와 통신으로 내 멘탈을 아작 내버렸다.

여차저차 해서 결국 구현하긴 했다만 이걸 또 클래스화 시켜서 확장이 쉽게 하도록 할 계획이다.