Welche Api funktion nutzt OpenDialog etc. zum auflisten

[SirThornberry]

Hallo,

ich bin grad am experimentieren mit ApiHooks und das Öffnen von Dateien mitzubekommen ist auch kein Problem (für Spiegelprogramm über Netzwerk notwendig). Jetzt wollte ich jedoch noch das auflisten von Dateien abfangen/umlenken um den Inhalt von Ordnern z filtern und/oder Dateien aus anderen Ordnern darin anzeigen zu können. (um andere Ordner in einem Ordner "mounten" zu können oder sogar ftp-Verzeichnisse in beliebige Ordner zu mounten).

Allerdings scheitere ich daran die Funktion für das auflisten von Dateien zu hooken. Nutze ich Beispielsweise einen OpenDialog so bringt das hooken von FindFirstFileExA, FindFirstFileExW und FindFirstFileA nichts. Ich hatte ursprünglich vermutet das die ShellFunktionen (welche Spezielle Ordner filtern) auch auf diese Apifunktionen zugreifen um zum Beispiel erstmal Desktop.ini's etc. zu lesen und gegebenfalls auch dann den richtigen Inhalt.

Alles in allem suche ich also die Funktionen welche ich hooken muss damit auch Explorer-Dateiauflistungen von mir beeinflusst werden können.

[ErazerZ]

Einen Hook auf NtQueryDirectoryFile
in der NTDLL setzen und du kriegst alles mit .

[SirThornberry]

danke, werds mir mal anschauen

[Edit]
Habs mir mal angeschaut. Kann es sein das die Funktion keinen Rückgabewert hat? (völlig untypich für Apifunktionen) Und welche Aufrufconvention hat die Funktion? Ich gehe mal von Stdcall aus (vielleicht auch cdecl) bin mir da aber nicht sicher.

[Luckie]

Doch hat es. NTSTatus ist der Rückgabewert. Dürfte wohl ein DWORD sein.

[brechi]

NTSYSAPI
NTSTATUS
NTAPI

NtQueryDirectoryFile(

IN HANDLE FileHandle, IN HANDLE Event OPTIONAL, IN PIO_APC_ROUTINE ApcRoutine OPTIONAL, IN PVOID ApcContext OPTIONAL, OUT PIO_STATUS_BLOCK IoStatusBlock, OUT PVOID FileInformation, IN ULONG Length, IN FILE_INFORMATION_CLASS FileInformationClass, IN BOOLEAN ReturnSingleEntry, IN PUNICODE_STRING FileMask OPTIONAL, IN BOOLEAN RestartScan );


NTAPI = stdcall
NTSTATUS = Rückgabe (0 = kein Fehler)

[SirThornberry]

danke, es funktioniert