（计算机应用技术专业论文）客户端监控在pdf文档版权保护中的应用.pdf

客户端监控在客户端监控在 pdf 文档版权保护中的应用研究文档版权保护中的应用研究 摘摘 要要 当今，网上的信息资源越来越丰富，pdf 文档在其中占据了很大一部分比 例，用户在共享这些 pdf 文档的同时也要尊重原作者的版权，所以对于 pdf 文 档的版权保护问题成为了一个亟待解决的问题。目前对于 pdf 文档数字版权的 保护大都是通过静态方式禁止用户复制编辑1，添加水印等。但是这些保护方 式存在着很多缺陷，如用户下载之后可以将文档传输给其它非授权用户使用， 也可以无限期的使用等2。为此，本文针对 pdf 文档版权保护展开了一系列的 研究，设计了一种基于 bho 在线加密技术的客户端文件监控方式，主要工作如 下： （1）深入分析 pdf 数字版权保护技术与客户端文件监控技术，对在线与离线 pdf 版权统一保护方式和应用程序中注册表的使用进行讨论，并且对 bho 技术 在在线监控中的应用进行了研究。 （2）基于上述技术的分析研究，结合电科院 pdf 版权保护的实际需求，设计了 一个 pdf 数字版权保护系统，该系统包含的主要模块有离线加密程序，在线下 载监控和解密插件、以及客户端文件监控模块等。并且深入讨论了本课题所要 研究的关键模块客户端文件监控模块的设计流程。 （3）实现了客户端 pdf 文件监控模块， 该模块包括开机监控和 pdf 文件客户端 监控两部分，对经过 pdf 版权保护系统加密的 pdf 文件能够进行实时监控， 较好的支持在线下载监控模块，保证文档在特定网段和机器上使用，并且进行 文档使用期限控制。 目前， “pdf 文档版权保护系统”已通过安徽省电力科学院的性能测试，验 收合格。在安徽省电力公司的实际使用中取得了良好的效果。 关键词：关键词： 客户端监控；bho 技术；文件监控；注册表技术 application of client monitoring in pdf documents copyright protection abstract in recent days, network resources have become increasingly diverse, pdf document occupies a large part in that. users share these pdf documents also need to respect the original authors copyright, so the copyright protection of pdf documents have become a serious problem. at present, pdf documents digital copyright protection is mainly realized by a static way as to prohibit the user to copy or edit 1, add watermarks, etc. however, these protection methods have some defects, such as a user can pass the downloaded document to other non-authorized users and can also use it indefinitely 2. therefore, this dissertation launched a series of studies on pdf documents copyright protection, the main works include the following aspects: (1) depth analysis of pdf digital copyright protection technology and the client file monitoring technology, discussed the mode of unified online and offline pdf copyright protection and applications using registry, the technology of bho used in the online copyright protection was studied too. (2) based a detail study of above technologies and combined the practical needs of epri pdf copyright protection, a pdf digital copyright protection system is designed , which includes major functions of off-line encryption, download control, decryption plug-in and the client pdf files monitoring module. and discussed in depth the key of this project - the design process of client pdf files monitoring module. (3) it has achieved the client pdf files monitoring module, which includes two parts of power monitoring and the client pdf documents monitoring, can monitor the pdf files encrypted through the pdf copy protection system in real-time and supported better by online download monitoring module. the client pdf files monitoring module can ensure pdf document used in a particular segment and machine , and also use the term control. currently, pdf document copyright protection system” has passed the performance test in anhui electric power research institute and accepted. in the actual use of anhui electric power company has achieved good results. key words: client monitoring; bho technology; file monitor; registry technology 插 图 清 单 插 图 清 单 图 1. 1 论文组织结构图 .4 图 2. 1 异步方式的文件监控流程 .10 图 2. 2 基于拦截调用的文件监控流程 .11 图 2. 3 基于中间层驱动程序的文件监控流程.11 图 2. 4 基于系统消息监控流程 .12 图 2. 5 基本的文件监控系统 .13 图 2. 6 管理进程主要流程图 .14 图 2. 7 动态连接库主要工作流程图.14 图 2. 8 文件过滤驱动工作流程图 .15 图 2. 9 文件过滤驱动拦截 irq 流程图 .15 图 2. 10 设备驱动程序装载流程图.16 图 2. 11 设备驱动程序卸载流程图.17 图 3. 1 bho 控制方式.22 图 3. 2 网页中事件的调用顺序图 .22 图 4. 1 pdf 文档加密系统的功能框图.25 图 4. 2 pdf 文档加密解密过程.27 图 4. 3 pdf 加密解密在线处理流程 .28 图 4. 4 pdf 文件驱动检测模块总体设计图 .30 图 4. 5 pdf 文件驱动检测模块功能组件图 .31 图 4. 6 pdf 文件驱动检测模块任务时序图 .31 图 4. 7 开机日期检测模块总体设计图 .32 图 4. 8 开机日期检测模块功能组件图 .32 图 4. 9 开机日期检测模块任务时序图 .32 图 5. 1 开机日期检测模块注册表项图 .36 图 5. 2 客户端插件检测模块注册表项图 a.37 图 5. 3 客户端插件检测模块注册表项图 b .37 图 5. 4 实验运行结果图 .39 表 格 清 单 表 格 清 单 表 2. 1 剪贴板的 api 函数 .12 表 2. 2 注册表的数据类型.18 表 3. 1 iobjectwithsite 接口 .21 表 4. 1 系统功能描述表 .26 独独 创创 性性 声声 明明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的 研究成果。据我所知，除了文中特别加以标志和致谢的地方外，论文中不包含 其他人已经发表或撰写过的研究成果，也不包含为获得 合肥工业大学 或 其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所 做的任何贡献均已在论文中作了明确的说明并表示谢意。 学位论文作者签字：杨琳 签字日期： 2011 年 4 月 26 日 学位论文版权使用授权书学位论文版权使用授权书 本学位论文作者完全了解 合肥工业大学 有关保留、使用学位论文的规 定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被 查阅或借阅。本人授权 合肥工业大学 可以将学位论文的全部或部分论文内 容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇 编学位论文。 （保密的学位论文在解密后适用本授权书） 学位论文者签名：杨琳 导师签名：周国祥 签字日期： 2011 年 4 月 26 日 签字日期：2011 年 4 月 26 日 学位论文作者毕业后去向： 工作单位： 电话： 通讯地址： 邮编： 1 第一章 绪论 第一章 绪论 1.1 研究背景及意义 本课题来源于合肥工业大学与安徽省电力科学研究院的研究项目安徽省 电力科学研究院蓝盾 pdf 文档加密系统 ， 课题致力于在电力企业的信息化建设 中，设计一种既可以使其内部员工共享企业资源，又可以充分保护企业内部的 pdf 文档版权信息，避免用户非法传播和使用未经授权的 pdf 文档信息。 安徽省电力科学研究院（电科院）主要是为安徽省电力公司提供相关的技 术支持，其信息所专门致力于电力公司信息化建设，为省内各个地市电力公司 提供软件和硬件支持服务。电科院有一个 pdf 文档资源服务器，里面存放着很 多的 pdf 文档资源，其内部员工或者授权用户可以共享这些资源。然而，目前 对于这些资源的使用并没有一个使用规范，用户只要具有访问权限，就可以无 限期、无地点限制的随时共享这些文档资源。这就导致了可能存在企业内部信 息资源的流失，其 pdf 文档服务器中的文档资源的版权信息受到了威胁。本课 题的提出正是为了解决这个问题，通过 pdf 版权保护系统的实施，使得用户可 以以一定的权限共享 pdf 文档资源，防止版权受到侵犯。 目前对于 pdf 文档数字版权的保护大都是通过静态方式禁止用户复制编辑 1，添加水印等。但是这些保护方式存在着很多缺陷，如用户下载之后可以将 文档传输给其它非授权用户使用，也可以无限期的使用等2。因此，本课题主 要为解决如何使得用户既可以共享 pdf 文档，又可避免用户对 pdf 文档的非法 授权使用问题，即有效保护 pdf 文档数字版权。再者，pdf 文档数字版权的保 护像水印、电子印章、禁止编辑或者复制这些方式都是在服务器端将 pdf 文档 进行统一的加密处理，其加密方式有一定的局限性，无法和具体的客户端联系 起来，属于静态的保护方式，同时客户端监控技术在服务器远程监控客户端方 面也发展的比较成熟，所以本课题将 pdf 文档的访问与具体的客户端特征相关 联，并且通过客户端文件监控，动态的保护用户版权信息成为了一种更加灵活 的版权保护方式。 本次课题对 pdf 文档的数字版权保护方式进行研究，研究了本次课题中的 关键技术基于 bho 技术的文档在线加密技术，并且成功的设计和实现了一个 pdf 文档版权保护系统的客户端监控模块。基于 bho 技术的文档在线加密技术 实现用户特征信息作为加密因子对 pdf 文档进行在线加密， 同时适用于一般的文 件服务器网页页面，可以有效的防止非授权的用户对 pdf 文档的获取和使用，并 且不会受限于用户浏览器的安全级别和客户端的复杂环境， 具有更好的可用性和 用户友好性。而客户端监控模块对文档在线加密模块进行了很好的支持，适应 于复杂的客户端环境，并使得用户以特定授权方式共享 pdf 文档。 2 1.2 国内外研究概况 1.2.1 数字版权保护技术 在信息化的今天，越来越多的信息通过网络提供给用户使用，更好的实现 了知识的普及，但是也随之带来了一些问题，主要体现在非授权用户非法使用 电子文档方面。而数字版权保护技术是近年来发展起来的一种新的信息安全技 术，通过数字产品版权管理实现对数字产品的保护，从而维护版权人的合法权 益，而对于 pdf 电子文档的保护也成为了数字版权保护研究的一个重要方面。 对于 pdf 电子文档的保护目前主要有静态和动态两种保护方式，静态保护 是在存储 pdf 文档的服务器端将文档进行统一的加密保护，如禁止用户复制、 编辑、另存为等等，不存在对特定用户的具体授权；动态保护是在用户在线下 载 pdf 文档的时候，取得该用户的特定授权信息，然后根据授权对用户下载的 电子文档进行特定的授权。 目前像国外产品 adobe acrobat、 foxit pdf creator， 国内的产品包括亿赛通，北大方正的 apabi 等软件不但可以阅读和转换 pdf 文 档，也可以实现禁止用户非法使用特定的 pdf 文档的作用，这些版权保护系统 在一定程度上可以起到禁止非授权用户非法使用原作者的版权信息的目的，但 是也各自存在着一些缺陷，要么没有将用户客户端的特征信息也作为一个加密 因子的一部分，也就是只是静态保护模式，要么不支持 pdf 文档的离线保护。 而关于动态加密， 目前比较流行的文档加密解密中的动态加密用户授权方式 有下面几种： （1） 本机特征加密：这种加密是在用户下载的时候浏览器取得客户机的主机名 称和 mac 地址等信息3，将它们作为加密因子的一部分添加到 pdf 文档中，经过 这样的设置，就可以控制用户只能在自己的主机上使用在该网站上下载的 pdf 文档，而不能复制到其他的机器上使用。 （2） 文档期限加密：是在用户下载的时候，服务器端取得此时的时间作为加密 因子的一部分添加到 pdf 文档中4， 这样就可以设置自下载开始日到有效期限为 止用户方能使用该文档。 （3） 网络授权加密：在用户下载的时候，浏览器获得客户机的 ip 地址，将用户 ip 作为加密因子的一部分添加到 pdf 文档中，这样就可以控制只能是这个 ip 或 者是在某个 ip 段内的客户机才能使用该文档。 （4） 硬件加密：向设备写入明文数据,usb 设备接收到数据后再传递给加密接口 进行加密,形成密文,再传送到 usb 设备,然后把数据读取出来 （5） 注册码：首次打开文档时，根据文档序列号和本机信息，提示用户输入注 册码，一旦注册成功，则能在本机正常浏览，但是不能复制到其它机器。 （6） 远程口令认证：在打开文件时，根据用户信息情况到指定的服务器上认证， 以确定能否打开及拥有什么样的访问权限。 以上几种授权方式可以互相组合起来使用的， 以达到更好的用户授权效果。 3 1.2.2 bho 技术 bho(browser helper objects,浏览器帮助者对象)是微软推出的一个基 于浏览器的开放接口 5，是对第三方程序员完全开放的业界标准，可作用于 windows的多个操作系统中，在ie 5.0,5.5,6.0浏览器环境下，通过程序员自定 义的简单代码就可以实现浏览器行为监控和进行特定功能浏览器的定制等功 能。使用bho技术，程序员可以编写代码获取浏览器的动作事件；利用bho，程 序员还可以用代码控制ie浏览器行为，比如修改浏览器的工具栏，状态栏，在 菜单中添加自定义按钮，还可以屏蔽特定的网站等1。而其中bho的一个最重要 的特征就是它与浏览器运行在同一级别， 这样在使用bho的时候就可以不必受限 于客户端浏览器安全级别的问题6， 所以使用bho可以更好的帮助程序员打造个 性化的浏览器，以及为程序提供更简洁的交互功能，现在很多ie个性化工具就 是利用bho来实现的，如现在常见的迅雷下载工具。 1.2.3 客户端文件监控技术 客户端文件操作监控技术，就是当用户或者应用程序打开、读写或者查询文件信 息的时候，对这些文件操作进行监控的技术。它应用的领域非常广泛，例如可以通过 文件监控记录客户端用户行为，实现客户端统一监控，目前很多场合尤其是企业都使 用这种方式实现用户行为监控；也可以通过这种技术进行客户端文件保护，防止对客 户端文件的非授权使用。目前在研究领域，文件操作监控主要通过两种方式实现：一 种是通过拦截系统调用进行客户端监控，也称拦截系统调用方式，另一个则是虚拟设 备挂接方式7。 （1） 拦截系统调用方式 此种监控方式的使用机制如下：首先应用程序进入系统内核，然后应用程序修改 系统调用表，将系统调用表中所要调用模块的地址换为自定义模块的地址，以此来拦 截系统调用，从而达到监控文件操作的目的8 。 （2） 虚拟设备挂接方式 虚拟设备挂接方式是编写一个虚设备驱动，将虚拟设备与磁盘设备挂接9，通过 自定义设备驱动程序进行处理和响应所要监控的文件操作，实现文件监控。 1.3 课题研究内容 本课题以实际项目为依托，以开发一个 pdf 数字版权保护系统为目标，主 要包括如下几个方面： （1） 深入分析和研究客户端监控技术，对客户端监控方式进行了详细讨论， 同时详细讨论了 bho 技术在 pdf 加密解密在线处理中应用的必要性。 （2） 基于电科院现有的 pdf 文档共享系统并结合其 pdf 版权保护管理的实际 需求，使用文件监控技术，结合驱动程序开发和注册表处理方式，设计并开发 4 一个 pdf 版权保护系统的客户端监控插件，该插件可以很好的支持 pdf 版权保 护系统的在线加密解密模块。 1.4 论文组织结构 论文共分为七个部分，其组织结构如图 1.1 所示： 绪论 pdf数字版权保护和客户端文件监控基础知识 介绍了课题的研究背景和论文的内容及结构 介绍了pdf数字版权保护技术和 客户端文件监控方式 及文件驱动结构 bho技术 蓝盾pdf数字版权保护系统的设计 pdf版权保护系统客户端监控模块的实现 结束语 介绍了bho相关技术 介绍了系统开发环境和设计过程 介绍了pdf版权保护系统客户端监控模块的实现 论文的总结和后续研究方向介绍 图 1. 1 论文组织结构图 第一章是绪论，阐述了本课题的研究背景和意义，并讨论了 pdf 版权保护 技术的研究现状和本文主要的研究内容。 第二章首先深入讨论了 pdf 数字版权保护技术、 pdf 文档用户授权和版权 保护方式，然后对客户端文件监控技术和文件监控系统的构成进行了研究，最 后对 windows 注册表相关技术进行了讨论。 第三章对 bho 技术在 pdf 在线版权保护中的应用进行讨论，同时对于应 用 bho 技术使得版权保护系统对客户端复杂环境具有更好适应性的原理进行 分析。 第四章介绍了系统的开发环境，设计了一个 pdf 版权保护系统，并且着重 分析了本次课题所设计的基于复杂客户端环境下的 pdf 版权保护系统的客户 端监控模块的设计流程。 第五章实现了第四章中设计的客户端监控模块，并进行代码和结果分析， 实现了一个 pdf 版权在线加密系统的客户端监控插件。 5 第六章是结束语，总结本文的研究成果、创新点，并给出本课题下一步研 究工作的方向。 6 第二章 pdf 数字版权保护技术与文件监控 第二章 pdf 数字版权保护技术与文件监控 2.1 pdf 数字版权保护 数字版权保护技术，就是通过某种技术实现对数字内容的保护，保护的对 象通常包括多媒体和加密文档两种，目的是确保数字内容的合法使用和传播， 维护版权人的合法权益10。作为当前信息安全领域的研究热点之一，数字版权 保护技术研究和应用主要有三个领域：面向电子图书、面向流媒体和面向电子 文档的数字版权保护技术11。并且市场上已经有了相应的数字版权保护系统， 具体的系统就面向电子文档的数字版权保护系统来说，有ms office 2003、北 大方正的apabi的电子书系统、sealed media enterprise license server以及 authentica active management等11。 pdf数字版权保护，是以pdf文档为对象进行的电子文档版权保护。pdf 是由adobe公司所开发的独特的跨平台文件格式，它跨平台功能强大，同时拥 有超文本链接，方便用户阅读，排版功能也很强大并且体积更小方便传输。所 以它逐渐成为了网络上一种主要的文档传播媒介12。现有的pdf版权保护系统 可以分为两种，静态pdf数字版权保护与动态pdf数字版权保护，下面我们分别 对其进行研究。 2.2.1 静态 pdf 数字版权保护 静态 pdf 数字版权保护技术，是指在 pdf 文档服务器端将文档进行统一加 密、并通过数字水印等静态方式保护 pdf 文档数字版权的技术13。静态数字版 权保护涉及的技术主要有以下几个： （1）数字水印 数字水印(digital watermark)是在 pdf文档的某个位置嵌入一些隐蔽或者 不隐蔽的标记，同时在隐蔽方式下可通过专用的检测工具检测到水印10。所以 它可以用于各种流媒体的版权保护，在基本不损害原作品质量的情况下，将原 作者的信息添加到数字文档中，又可以不被用户发现。如 acrobat adobe 环境 下的数字水印方式就是数字水印用于版权保护的一个实例。但由于目前数字水 印技术本身存在一些缺陷，所以通常使用数字加密和数字水印技术相结合进行 静态数字版权保护。 （2）数字加密技术 数字加密技术，是把 pdf 文档内容通过特定加密算法进行加密，在客户端 只有通过特定的解密密钥才可以打开或者编辑 pdf 文档，并且这个解密密钥可 以通过与用户客户端信息相关联的方式进行设计，所以只有拥有特定客户端信 息的用户才可以正常使用该 pdf 文档。此种结合用户客户端硬件信息的加密技 术是目前国际上使用最多的版权保护技术，可以在一定程度上防止非法拷贝， 从而有效地保护 pdf 文档版权信息。 7 （3）电子印章技术 印章是一个图像，可以通过添加印章到文档边角上以突显某种所有权信息 或者用户身份，如资源拥有者的注册商标等信息。电子印章技术在管理、使用、 外观上和实物印章加盖的方式非常相似，唯一不同的是以电子文件的方式存在 着的。 （4）数字签名技术 数字签名（又称公钥数字签名）与普通的写在纸上的物理签名很相似，都是将特 定信息添加在文本或者纸张上已达到表明文本或者特定纸张的效力。而两者又是不同 的，首先介质不同，普通物理签名是在物理纸张上进行的，而数字签名是在数据文本 上使用的；再者，数字签名使用了公钥加密领域的一些技术来实现，用于鉴别数字信 息的方法。 一套数字签名通常定义两种互补的运算， 一个用于签名， 另一个用于验证。 数字签名技术通过在文档的元数据中添加资源拥有者的特征信息实现保护pdf数字版 权。 2.2.2 动态 pdf 数字版权保护 动态pdf数字版权保护技术， 是指将用户在线时获取到的用户客户端信息也 作为电子文档加密因子的一部分，并且通过客户端监控，电子文档权限控制等 方式实现pdf文档数字版权保护，和静态版权保护相比，具有更好的交互性。常 用的动态pdf数字版权保护技术有以下几种： （1）用户身份标识技术 用户身份标识技术是使用在线时获取到的用户信息标识用户，并将这些信 息作为加密或者授权信息的一部分，而用户身份信息既包括用户的姓名、口令 等这些用户基本信息，还包括用户的生物信息，如用户的指纹，面部特征等等。 此种版权保护方式除了在数字版权保护方面以外，在很多的大型安全领域中都 得到了很好的应用。 （2）设备标识技术 使用在线时获取到的设备信息标识用户，设备信息可以是ip地址，也可以 是用户硬件标识(如计算机的cpu 序列号、硬盘识别号等)。设备标识技术在pdf 数字版权保护上使用比较广泛，像微软在windows xp软件激活技术中,就采用了 10个硬件标识信息作为用户身份标识。基于设备标识的方式使得数字内容只能 在相应的设备上使用,能有效防止非法复制和共享。 （3）文档期限控制技术 文档期限控制指的是在用户下载文档的时候，取得服务器端时间作为加密 因子的一部分添加到pdf数字文档中， 然后在用户离线的时候通过客户端监控来 控制用户使用数字文档的时间和次数。例如可以设置自下载开始日到有效期限 为止用户方能使用该pdf文档。 8 2.2 用户授权与版权保护方式 2.2.1 用户授权方式 用户授权方式主要解决数字资源拥有者如何向其客户提供资源的问题。为 了适应不同用户各种各样的需求，目前用户授权包括以下几种授权方式：（其 中注册码方式适用于本地方式，文档期限既可用于用户本地方式也可用网络方 式，其它则适用于网络方式）。 （1）文档期限 设置 pdf 文档的使用期限。在这种保护方式下，pdf 文档的有效期限自服 务器端下载日期开始计算，以天为单位，过期则无法使用文档。文档期限保护 方式适用于数字图书馆的借阅应用、网络上的文档试用等场合。 （2）注册码 首先，授权了的用户会产生相应的序列号。然后在用户首次打开文档时， 根据文档序列号和客户端信息，会提示用户输入注册码，如用户输入正确的注 册码则能在本机正常浏览文档，否则无法浏览。此种授权方式中序列号的生成 方式可以以文档、种类或者批次为单位。 （3）本机绑定 使用用户机器的硬件特征作为打开文档的密钥，所以从服务器上下载的文 档是经过特定机器信息加密后的文档，从而用户只能在下载文档的机器上浏览 该加密文档，复制到其它任何机器上都无法使用该文档。 （4）网络授权 只允许 ip 地址在许可网段范围内的机器从服务器上下载文档， 下载后的文 档可以复制到其它机器上， 但是不可以跨网段使用。 可以同时设置多个网段 （a、 b、 c 类 地 址 均 可 ， 如 ： 192.132.1.*； 也 可 以 用 起 止 范 围 的 方 式 ， 如 ： 192.132.1.50-192.132.1.100）。适用于需要将文档控制在受限制的网络中访 问。 （5）远程口令认证 在打开文档时，根据用户信息到指定的服务器上认证，以确定该用户是否 有权限打开文档并且拥有何种访问权限。如果用户是通过网络方式获得文件， 可以在下载文档的时候将用户访问权限信息写入该文件，这样在用户之后使用 的时候就不需要用户一直输入用户信息；没有写入权限信息的则可以通过设置 弹出对话框来让用户输入以确定用户权限。 使用者也可以将以上的几种方式进行组合， 根据具体的授权要求灵活使用， 例如可以使用网络授权本机绑定文档期限三者组合的方式进行用户授权。 2.2.2 pdf 版权在线与离线统一保护方式 （1）在线 pdf 版权保护方式，是指当用户在线访问 pdf 文档服务器的时候，通 9 过一系列的方式，对用户访问的 pdf 数字文档进行访问控制，如用户资格认证、 在线访问时间控制、单用户同时访问文件数控制、用户可否复制、另存为或者 打印等14。 （2）离线 pdf 版权保护方式， 是指对于用户已经下载到客户端的 pdf 数字文档 进行使用控制，常见的有以下几种方式： a. 禁止 允许用户复制或者另存为 b. 用户文档使用期限控制 c. 禁止 允许用户编辑电子文档 d. 用户文档使用客户机环境控制 e. 添加水印 （3）在线与离线统一 pdf 版权保护方式， 是指当用户在线访问 pdf 数字文档服 务器的时候，进行用户编辑控制、在线访问时间控制，同时提取用户客户端信 息，并且将这些信息也作为加密因子的一部分将 pdf 数字文档进行二次加密。 这样用户下载到客户端的文档就是基于特定用户信息的，只有拥有这些用户特 征的客户端才可以浏览文档，然后在用户离线的时候除了通过禁止或者允许用 户编辑、复制文档，还通过客户端文件监控来监控文档使用，从而实现基于用 户特征的离线版权保护。 2.3 客户端文件监控技术 客户端监控技术包括两种：一种是远程客户端监控，另一种是本地客户端 监控。远程客户端监控是在服务器端实时监控客户端的信息和操作，如通过 socket 机制，监控端与客户端建立连接后，监控端通过某种方式监控客户端的 用户系统操作和客户端文件和文本信息；本地客户端监控指的是本地有一个客 户端监控系统，这个系统运行在客户端，实时监控用户端特定的系统操作以及 客户端的文件和文本信息操作，本次课题主要讨论的是本地客户端监控方式。 文件操作监控技术， 就是能够对文件的打开、 读写、 查询这些文件操作进行监控、 记录。在应用领域方面，文件操作监控技术也已经广泛使用，如在攻击（记录用户行 为）和防御方面（检测系统文件变动）都有很大用途。 2.3.1 文件操作监控方式 现有的文件操作监控主要有三种形式：基于windows api的方法； 基于拦截 系统调用的方法；基于基层驱动程序的方法15，下面进行进行具体研究。 （1）基于windows api 的方法 windows 应用程序接口(api)是一些windows系统预先定义的函数， 以使应 用程序与开发人员可以基于某软件或硬件来访问一组例程， 而又无需访问源码， 也无需理解内部工作机制的细节，可以供用户进行系统编程和外设控制。其中， api 函数readdirectorychangesw和文件变更控制有关， 它提供了同步和异步两 10 种处理方式用来监控文件操作，如在异步方式环境下，readdirectorychangesw 函数首先注册回调函数，然后返回。异步方式的文件监控流程如图2.1所示。该 方法提供了功能强大，可以满足大部分文件变更监控功能，但是扩展性不是很 好，所以在应用中有所限制。 打开文件监控句柄确定 异步监控方式 createfil e() 开始监控指定的文件目 录readdirectorychange sw()设置回调函数 lpco mpletionroutine 等待 文件监控 事件发生 进入回调函数 lpco mpletionroutine () 处理文件变更信息 是否继续监控 关闭文件监控句柄 closehandle() yes no 图 2. 1 异步方式的文件监控流程 （2）基于拦截系统调用(api hook)的方法 拦截系统调用，也称windows 应用程序接口挂接技术，首先改变所要监控 的系统操作调用代码段的地址，然后在代码发生调用时，就会调用另外一段编 程者提供的代码并执行，是进入内核通过修改系统调用表来拦截系统调用，从 而实现拦截调用的功能。 基于拦截系统调用方式文件监控的实现一般由dll注入和api拦截两部分 组成。机制如下所示：在文件打开的时候，首先分别调用用户态空间中kerne13 2.dll 模块和ntdll.dll 模块提供的api函数，之后，通过ntdll.dll 模块提供 的软中断指令int2eh进入内核态的处理程序，由内核处理程序调用相应系统调 用。所以要实现文件操作监控，我们只要在ntdll.dll 中注入包含监控代码的 模块自定义dll，同时在ntcreatefile函数中插入自定义dll 提供的监控代码。 这种方式可以监控到所有用户文件操作16，监控过程如图2.2 所示。 11 user32.dll gdi32.dll ntoskml.exe hal.dll advapi32.dll rpcrt4.dll ntdll.dll kernel32.dll bootvid.dll myapi.dll监控代码 ， 注入系统dll中，拦截a pi后执行 注 入 int 2eh 用户态 内核态 图 2. 2 基于拦截调用的文件监控流程 （3）基于中间层驱动程序的方法 设备驱动程序是一个允许高级计算机软件与硬件交互的程序，这种程序建 立了一种硬件与硬件， 或硬件与软件沟通的界面， 管理某个设备(包括虚拟设备) 的一段代码，用来负责进程的数据缓冲区与外部设备缓冲区之间的数据交换。 当用户应用程序要对文件进行操作时，须首先将ioctl控制码传给文件设备驱 动程序，在底层实现对文件的操作。 中间层文件设备监控驱动程序，是处于应用程序和文件设备驱动程序之间 的一个实现文件监控的驱动程序，可以拦截所有用户程序向内核驱动发出的文 件i/o 请求，并与监控程序通信完成监控功能17。利用中间层驱动程序进行文 件监控有比较大的应用扩展能力，但是实现起来比较复杂，其工作原理如图2.3 所示。 用户进程监控进程 中间层文件监控驱动程序 dispatch 底层文件驱动程序 设备 用户态 内核态 i/o请求 （irp） i/o请求 （irp） 图 2. 3 基于中间层驱动程序的文件监控流程 2.3.2 文件监控类型 12 （1）系统消息监控 系统消息监控主要实现剪贴板消息之类的系统消息的监控，还有就是启动 hook api 子模块的作用。此种监控方式首先创建线程，然后通过这个线程来 实现系统消息的监控18。工作流程如图2.4所示： 注册窗体类，设置窗体的消息 回调函数 创建窗体 循环获取窗体消息 窗体消息回调函数处理发送至窗体 hwnd( createwindow返回的窗体句柄)的消息 窗体消息回调函数完成剪贴板消息监 控及hook api 子模块的启动 图 2. 4 基于系统消息监控流程 （2）剪贴板监控 windows 粘贴板是一种简单且开销较小的进程间通讯（ipc）机制。 windows 系统的剪贴板ipc 的基本机制是在系统中预留一块全局共享空间， 在 其 中 存 放 一 些 用 于 各 个 进 程 间 共 享 的 数 据 。 windows 提 供 了 存 放 于 user32.dll 中的一组api 函数，并使用它们来管理进程间进行的剪贴板数据 交换操作16，这些api函数主要包括表2.1中的几个函数，它们各自的功能如表 2.1所示。 表 2. 1 剪贴板的 api 函数 api函数 函数功能描述 openclipboard 此函数打开剪贴板 emptyclipboard 此函数清空剪贴板 setclipboarddata 此函数设置剪贴板数据 getclipboard 此函数获取剪贴板数据 closeclipboard 此函数关闭剪贴板 isclipboardformatavailable 此函数检查剪贴板中某一数据格式时候正确 13 剪贴板监控的监控过程16：挂钩api 函数前，利用函数createwindow建 立全局窗口，然后在窗口回调函数中根据发送到窗口的不同消息类型进行相应 处理19。 （3）文件打印监控 文件打印监控是针对文件打印操作进行的监控行为，首先操作者建立一个 独立的监控线程，然后这个线程启动后会通过时间片轮转方式实时监控目标终 端的文件打印作业，如发现文件打印作业即记录文件属性、用户属性、时间等 信息为日志并上传至服务器。 2.3.3 文件监控系统 一个基本的文件监控系统由管理进程filemanager.cs、动态连接库driver man.dll和文件过滤驱动userfile. sys这3部分组成20，如图2.5所示。 user processfilemanager.cs driverman.dll userfile. sys 底层文件驱动 device i/o request i/o request user level kernel level 图 2. 5 基本的文件监控系统 管理进程filemanager. cs调用driverman. dll中的接口控制文件驱动的工 作，通过时钟对象在调用驱动接口加载和启动驱动后间隔地向文件驱动查询当 前记录到的文件操作日志，同时将日志解析后添加当前用户属性和时间信息到 日志缓存中，并为用户提供操作管理查看的界面20，管理进程使用主要流程如 图2.6所示。 14 filemanager调用driverman 中各功能函数 初始化：检查驱动日志中 的保存目录是否存在 ，不 存在则新建 filemanager 图 2. 6 管理进程主要流程图 动态连接库driverman.dll一方面支持管理进程filemanager.cs， 实现user file. sys文件过滤驱动程序的安装和初始化，另外还进行文件后缀过滤器的设 置，对文件监控日志内容的接口进行读取操作等20。另一方面是与userfile.s ys进行通信21、同时控制管理userfile. sys并保证其正常进行启动与停止， 记录日志内容等，动态连接库主要工作流程如图2.7所示。 调用对象 loaddevicedriver 加载设备驱动 initiallogbuf初始 化日志缓存 setownerprocesses 注册进程 setfilter设置驱动 过滤器 startfilter过滤器生 效 recordlogcontent 记录日志内容 getdriverversion 获 得驱动程序版本 setlogpath注册日 志目录 on st