[发明专利]一种控制Windows文件系统访问权限的方法

说明书

技术领域

本发明涉及一种控制Windows文件系统访问权限的方法。

背景技术

在存储领域，数据安全一直是一个很重要的技术环节。文件/文件夹访问权限的限制对于防止数据被恶意修改或删除、阻止某些进程修改或删除重要文件/文件夹、保证存储数据的安全起着很大作用。

目前，市面上存在着一些可为文件/文件夹加密的软件，这些软件都采用 “伪加密”、“伪隐藏”的文件/文件夹加密方法，即在加密时转移文件/文件夹到另外的目录，实现对文件/文件夹的“隐藏”；解密时再将文件/文件夹转移回源目录。这种“伪加密”的方法更改了磁盘中原有的目录结构，一旦完成加密，使用源文件/文件夹路径对文件/文件夹进行操作时，返回的错误并不是拒绝访问，而是找不到文件/文件夹，这并不是真正的限制访问权限的方法。

另外，Windows操作系统也有自带的针对用户而言的权限机制，这种机制用于限制操作系统不同账户对于文件/文件夹、注册表等的访问权限，强调的是系统账户的访问权限。如果某个文件/文件夹对于用户A来说不能访问，那么A用户启动的所有程序都对这个文件/文件夹没有访问权限（除非是这些进程能获取到具有访问权限账户的账户名和密码，然后以这个账户的身份来启动）。然而，在某些领域，诸如广播电视行业，在计算机环境部署的时候，设计者只希望本公司的程序能访问指定磁盘，并且计算机上每个账户开启的本公司的程序都能访问该指定磁盘卷，拒绝其他非本公司的程序对磁盘卷的访问。这种情况下，Windows操作系统自带的权限管理就无法满足需求了。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于Windows内核级驱动，通过控制I/O请求包状态值和返回方式来实现的高效、实用的控制Windows文件系统访问权限的方法，克服现有文件/文件夹访问权限限制方法的不足，在保证磁盘中所有的文件目录结构不变动的前提下，针对所有用户而言，对磁盘文件/文件夹进行访问权限白名单设置，配置具有对某个磁盘文件/文件夹有访问权限的进程信息，在内核驱动级对磁盘文件/文件夹访问请求IRP（即I/O请求包）进行过滤拦截，采用高效的分析判断算法来实现对文件/文件夹单次访问请求IRP是否继续下发以及状态值进行控制，最终由一系列的IRP成功或者失败的结果构成宏观的几种访问权限。

本发明的目的是通过以下技术方案来实现的：一种控制Windows文件系统访问权限的方法，它包括一个对不同I/O请求包对于不同权限返回状态进行划分的步骤、一个权限配置的步骤、一个I/O请求包拦截分析的步骤和一个I/O请求包处理的步骤：

所述的对不同I/O请求包对于不同权限返回状态进行划分的步骤包括以下子步骤：

S101：划分访问权限的种类，访问权限包括但不限于全权限、零权限、只读权限、写入权限、修改权限和执行权限；

S102：列出Windows系统所有I/O请求包的主函数码（Major Function Code）种类，I/O请求包的主函数码种类包括：IRP_MJ_CREATE、IRP_MJ_CREATE_NAME_PIPE、IRP_MJ_CLOSE、IRP_MJ_READ、IRP_MJ_WRITE、IRP_MJ_QUERY_INFORMAITON、IRP_MJ_SET_INFORMAITON、IRP_MJ_QUERY_EA、IRP_MJ_SET_EA、IRP_MJ_FLUSH_BUFFERS、IRP_MJ_QUERY_VOLUME_INFORMAITON、IRP_MJ_SET_VOLUME_INFORMAITON、IRP_MJ_DIRECTORY_CONTROL、IRP_MJ_FILE_SYSTEM_CONTROL、IRP_MJ_DEVICE_CONTROL、IRP_MJ_INTERNAL_DEVICE_CONTROL、IRP_MJ_SCSI、IRP_MJ_SHUTDOWN、IRP_MJ_LOCK_CONTROL、IRP_MJ_CLEANUP、IRP_MJ_CREATE_MAILSLOT、IRP_MJ_QUERY_SECURITY、IRP_MJ_SET_SECURITY、IRP_MJ_POWER、IRP_MJ_SYSTEM_CONTROL、IRP_MJ_DEVICE_CHANGE、IRP_MJ_QUERY_QUOTA、IRP_MJ_SET_QUOTA、IRP_MJ_PNP、IRP_MJ_MAXIMUM_FUNCTION，总计30个；

S103：根据步骤S101、S102，制定I/O请求包对应权限返回状态表；