CN102855438B - 一种文件解锁的方法及装置 - Google Patents

Abstract

本发明提供了一种文件解锁的方法及装置，其中所述方法包括：获取目标文件的操作权限信息；若所述目标文件无操作权限，则调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限。本发明所提供的文件解锁、粉碎、粉碎机制不仅安全、可靠、成功率高，并且可以在复杂的客户端环境中识别恶意程序的文件自保护行为并加以对抗，增强了和驱动级恶意程序攻防的对抗能力。

Description

一种文件解锁的方法及装置

技术领域

本发明涉及计算机安全的技术领域，特别是涉及一种文件解锁的方法和一种文件解锁的装置。

背景技术

计算机病毒是指“编制者在计算机程序中***的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。计算机一旦染上病毒，计算机通常表现为其文件被增加、删出、改变名称或属性、移动到其它目录下，病毒对计算机文件的这些操作，可能会导致正常的程序无法运行、计算机操作***崩溃、计算机被远程控制、用户信息被盗用等一系列的问题。

为了保证计算机的安全运行，需要对计算机中感染病毒的文件进行病毒查杀，以防止和清除病毒的破坏。在安全软件领域，针对染毒计算机文件的“删除”与“反删除”是安全软件和恶意程序(计算机病毒)对抗的永恒主题之一。

现有技术中的病毒，往往通过文件权限、所有者限制等手段给染毒文件加上了加密锁，采用常规手段无法破解加密锁即无法删除染毒文件，这些手段阻止杀毒软件查杀染毒文件。安全软件查杀病毒的过程，可以理解为对染毒文件进行解锁和粉碎。现有安全软件，对染毒文件的解锁和粉碎手段单一，无法破除染毒文件设置的层层保护，对抗能力不强。传统安全软件厂商只解决了部分“反删除”问题，在操作***内核态的攻防上往往体现出一定的能力缺失，驱动级恶意程序(Rootkit)对抗能力偏弱。

因此，目前需要本领域技术人员迫切解决的一个技术问题就是：提出一种文件解锁的处理机制，用以在复杂的客户端环境中识别恶意程序的文件自保护行为并加以对抗，增强和驱动级恶意程序攻防的对抗能力。

发明内容

本发明所要解决的技术问题是提供一种文件解锁的方法，以增强和驱动级恶意程序攻防的对抗能力。

本发明还提供了一种文件解锁的装置，用以保证上述方法在实际中的应用及实现。

为了解决上述问题，本发明实施例公开了一种文件解锁的方法，包括：

获取目标文件的操作权限信息；

若所述目标文件无操作权限，则调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限。

优选的，在针对所述目标文件添加操作权限后，还包括：

调用操作***应用程序接口API或自定义的用于打开文件的应用程序接口，打开所述具有操作权限的目标文件。

优选的，在获取目标文件的操作权限信息之前，还包括：

调用自定义的用于打开文件的应用程序接口打开所述目标文件。

优选的，所述的方法还包括：

对所述具有操作权限的目标文件进行操作，所述操作包括文件删除操作。

优选的，所述获取目标文件的操作权限信息的步骤包括：

调用操作***应用程序接口API中的GetNamedSecurityInfo例程和AccessCheck例程；

通过所述GetNamedSecurityInfo例程获取目标文件的安全描述符，以及，通过所述AccessCheck例程依据所述安全描述符查询目标文件的操作权限信息。

优选的，所述获取目标文件的操作权限信息的步骤包括：

调用自定义的应用程序接口中的DsGetFileLockType例程，通过所述DsGetFileLockType例程获取目标文件的安全描述符，并依据所述安全描述符查询目标文件的操作权限信息。

优选的，所述调用自定义的用于目标权限设置的应用程序接口针对目标文件添加操作权限的步骤包括：

调用自定义的应用程序接口中的DsSetTargetAccess例程设置目标文件的权限集合，所述DsSetTargetAccess例程的执行逻辑设置与操作***应用程序接口API中的SetNamedSecurityInfo例程一致。

优选的，所述调用自定义的用于打开文件的应用程序接口打开目标文件的步骤包括：

获取针对目标文件的操作请求，所述请求中包括调用者输入参数，所述输入参数中包括文件路径；

校验所述调用者输入参数，若校验通过，则依据所述文件路径在对象管理器中查找对应的文件对象解析例程；

若查找到对应的文件对象解析例程，则依据所述文件对象解析例程生成I/O请求包，并发送至预置的文件***下层设备的原始地址。

优选的，所述依据文件路径在对象管理器中查找对应的文件对象解析例程的步骤具体包括以下子步骤；

子步骤S1、判断文件路径是否已经拆解完毕，若否，则执行子步骤S2；若是，则执行子步骤S4；

子步骤S2、按照路径分隔符拆解出文件路径中下一个待拆解的路径段；

子步骤S3、采用当前拆解出的路径段在对象管理器中搜索，判断是否存在对应的文件对象例程；若是，则返回子步骤S1；若否，则执行子步骤S5；

子步骤S4、获得所述文件路径对应的文件对象解析例程。

子步骤S5、返回未找到对应文件对象解析例程的信息。

本发明还公开了一种文件解锁的装置，包括：

权限信息获取模块，用于获取目标文件的操作权限信息；

权限添加模块，用于在所述目标文件无操作权限时，调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限。

优选的，所述的装置，还包括：

第一文件打开模块，用于在针对所述目标文件添加操作权限后，调用操作***应用程序接口API或自定义的用于打开文件的应用程序接口，打开所述具有操作权限的目标文件。

优选的，所述的装置还包括：

第二文件打开模块，用于在获取目标文件的操作权限信息之前，调用自定义的用于打开文件的应用程序接口打开所述目标文件。

优选的，所述的装置还包括：

文件粉碎模块，用于对所述具有操作权限的目标文件进行操作，所述操作包括文件删除操作。

优选的，所述目标文件的操作权限信息通过调用操作***应用程序接口API中的GetNamedSecurityInfo例程和AccessCheck例程获取；其中，所述GetNamedSecurityInfo例程用于获取目标文件的安全描述符，所述AccessCheck例程用于依据所述安全描述符查询目标文件的操作权限信息。

优选的，所述目标文件的操作权限信息通过调用自定义的应用程序接口中的DsGetFileLockType例程获取；其中，所述DsGetFileLockType例程用于获取目标文件的安全描述符，并依据所述安全描述符查询目标文件的操作权限信息。

优选的，所述权限添加模块包括：

预设例程调用子模块，用于调用自定义的应用程序接口中的DsSetTargetAccess例程设置目标文件的权限集合，所述DsSetTargetAccess例程的执行逻辑设置与操作***应用程序接口API中的SetNamedSecurityInfo例程一致。

与现有技术相比，本发明具有以下优点：

本发明通过在对目标文件操作时若没有操作权限(包括文件权限、所有者限制)，则调用自定义的用于目标权限设置的应用程序接口针对该目标文件添加操作权限后，执行目标文件解锁和粉碎的操作。本发明所提供的文件解锁、粉碎、粉碎机制不仅安全、可靠、成功率高，并且可以在复杂的客户端环境中识别恶意程序的文件自保护行为并加以对抗，增强了和驱动级恶意程序攻防的对抗能力。

附图说明

图1是本发明的一种文件解锁的方法实施例1的步骤流程图；

图2是本发明的一种文件解锁的方法实施例2的步骤流程图；

图3是本发明的一种文件解锁的装置实施例的结构框图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

本发明实施例的核心构思之一在于，在对目标文件操作时若没有操作权限(包括文件权限、所有者限制)，则调用自定义的用于目标权限设置的应用程序接口针对该目标文件添加操作权限后，执行目标文件解锁和粉碎的操作。

参考图1，示出了本发明的一种文件解锁的方法实施例1的步骤流程图，具体可以包括以下步骤：

步骤101、获取目标文件的操作权限信息；

“权限限制”是微软设计操作***时的一种细粒度访问控制机制，Windows操作***内核有专门的功能模块(缩写为Se，全称是Security)，设计的原则要符合美国C2级操作***的安全标准。目前微软操作***中权限限制细粒度的体现在如下方面：

(1)完全控制；

(2)遍历文件夹/运行文件；

(3)列出文件夹/运行数据；

(4)读取属性；

(5)读取扩展属性；

(6)创建文件/写入数据；

(7)创建文件夹/附加数据；

(8)写入属性；

(9)写入扩展属性；

(10)删除；

(11)读取权限；

(12)更改权限；

(13)取得所有权。

Windows操作***导出了一组权限操作的API，如GetNamedSecurityInfo函数、AccessCheck函数等。其中，GetNamedSecurityInfo函数主要是用于得到目标文件的安全描述符(Security Descriptor简称SD，这是操作***权限相关的一个基本数据结构)，AccessCheck函数主要是用于基于安全描述符查询目标文件的权限限制情况。

因而，在本发明的一种优选实施例中，所述步骤101具体可以包括如下子步骤：

子步骤S11、调用操作***应用程序接口API中的GetNamedSecurityInfo例程和AccessCheck例程；

子步骤S12、通过所述GetNamedSecurityInfo例程获取目标文件的安全描述符，以及，通过所述AccessCheck例程依据所述安全描述符查询目标文件的操作权限信息。

为更好地识别来意程序的文件自保护行为并加以对抗，作为本发明的另一种优选实施例，也可以通过调用自定义的用于查询文件权限的应用程序接口获取目标文件的操作权限信息。例如，自定义的应用程序接口导出了一组函数接口：DsGetFileLockType、DsSetTargetAccess等，其中DsGetFileLockType可以查询指定文件权限，它行为模拟了操作***API：GetNamedSecurityInfo、AccessCheck等例程。

因而，在本发明的另一种优选实施例中，所述步骤101具体可以包括如下子步骤：

子步骤S21、调用自定义的应用程序接口中的DsSetTargetAccess例程设置目标文件的权限集合，所述DsSetTargetAccess例程的执行逻辑设置与操作***应用程序接口API中的SetNamedSecurityInfo例程一致。

在具体实现中，对于调用者而言，返回值宏ERROR_SUCCESS(值为0)表示成功、宏ERROR_ACCESS_DENIED表示失败(访问拒绝，值为5)。也就是说，根据上述返回值，调用者可以获知对目标文件有无操作权限。

当然，上述获取目标文件操作权限信息的方法仅仅用作示例，本领域技术人员依据实际情况采用任一种方法获取文件的操作权限信息都是可行的，本发明对此无需加以限制。

步骤102、若所述目标文件无操作权限，则调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限。

在本发明的一种优选实施例中，所述步骤102具体可以包括如下子步骤：

子步骤S31、调用自定义的应用程序接口中的DsSetTargetAccess例程设置目标文件的权限集合，所述DsSetTargetAccess例程的执行逻辑设置与操作***应用程序接口API中的SetNamedSecurityInfo例程一致。

针对文件解锁的应用，在本发明的一种优选实施例中，在针对所述目标文件添加操作权限后，还可以包括如下步骤：

调用操作***应用程序接口API或自定义的用于打开文件的应用程序接口，打开所述具有操作权限的目标文件。

针对文件粉碎的应用，在本发明的一种优选实施例中，在打开所述目标文件后，还可以包括如下步骤：

对所述具有操作权限的目标文件进行操作，所述操作包括文件删除操作。

本实施例主要是针对实际中先对文件进行权限校验，在获得权限后执行文件打开解锁，或进一步执行文件删除粉碎而言的。

需要说明的是，在本发明实施例中，所述文件打开不是指通过双击鼠标或按回车键等触发方式打开文件(如*.exe、*.doc等类型的文件)；而是指用操作***API或本发明的自定义应用程序接口BAPI(应用本发明，可以在操作***用户态接口完整实现一套文件操作调用库)的CreateFile()函数等打开文件、得到文件句柄的操作，因为只有得到文件句柄后才可以进一步操作该文件。

从函数调用方法角度而言，本发明实施例中所指文件“打开”主要包括以下几种情形：

1、使用Windows标准API CreateFile函数打开目标文件；

2、使用Windows Native API ZwCreateFile/NtCreateFile函数打开目标文件；

3、使用Windows Native API ZwOpenFile/NtOpenFile函数打开目标文件

其中，CreateFile的参数dwCreationDisposition可以控制函数行为是“创建新文件”还是“打开已经存在的文件”。

参考图2，示出了本发明的一种文件解锁的方法实施例2的步骤流程图，具体可以包括以下步骤：

步骤201、调用自定义的用于打开文件的应用程序接口打开所述目标文件；

在本发明的一种优选实施例中，所述步骤201具体可以包括以下子步骤：

子步骤S41、获取针对目标文件的操作请求，所述请求中包括调用者输入参数，所述输入参数中包括文件路径；

子步骤S42、校验所述调用者输入参数，若校验通过，则依据所述文件路径在对象管理器中查找对应的文件对象解析例程；

子步骤S43、若查找到对应的文件对象解析例程，则依据所述文件对象解析例程生成I/O请求包，并发送至预置的文件***下层设备的原始地址。

更为优选的是，所述子步骤S42中依据文件路径在对象管理器中查找对应的文件对象解析例程的步骤具体包括以下子步骤；

子步骤S421、判断文件路径是否已经拆解完毕，若否，则执行子步骤S422；若是，则执行子步骤S424；

子步骤S422、按照路径分隔符拆解出文件路径中下一个待拆解的路径段；

子步骤S423、采用当前拆解出的路径段在对象管理器中搜索，判断是否存在对应的文件对象例程；若是，则返回子步骤S421；若否，则执行子步骤S425；

子步骤S424、获得所述文件路径对应的文件对象解析例程。

子步骤S425、返回未找到对应文件对象解析例程的信息。

在本发明实施例中，所述文件包括WINDOWS操作***中所支持类型的文件，所述文件操作是指针对文件的原子操作或原子操作的组合，所述原子操作包括：文件创建、文件读取、文件写入、文件属性设置、文件属性获取、文件指针设置、文件大小获取、文件删除、目录移除、句柄关闭、第一个文件查找、下一个文件查找、文件查找关闭、判断路径是否为目录、判断目标文件是否存在、长路径获取、短路径获取、路径查找、文件复制、文件移动等。例如，文件的杀毒操作即为文件读取、第一个文件查找、下一个文件查找、文件查找关闭、文件移动等原子操作的组合。

在具体实现中，所述I/O请求包中可以包括从文件操作请求中提取的文件操作信息，在发送I/O请求包至预置的文件***下层设备的原始地址之后，所述调用自定义的应用程序接口对所述目标文件进行操作的步骤还可以包括以下子步骤：

子步骤S14、由所述文件***下层设备依据所述文件操作信息执行对应的文件操作。

作为本发明文件解锁应用的一种示例，所述文件操作请求可以包括目标文件打开请求，相应地，所述文件操作信息可以包括目标文件打开操作，在这种情况下，所述文件***下层设备则可以依据所述文件操作信息执行打开所述目标文件的操作。

作为本发明文件删除应用的一种示例，所述文件操作请求还可以包括目标文件删除请求，相应地，所述文件操作信息还可以包括目标文件删除操作，在这种情况下，所述文件***下层设备则可以依据所述文件操作信息在打开所述目标文件后，执行所述目标文件的删除操作。

在具体实现中，调用者进程通过调用BAPI发起文件操作请求，调用对应的文件操作接口例程，操作***内核态驱动获取并校验所述来自用户态的请求，构建查询数据结构循环解析传入的文件路径，最终查找到对象管理器中维护的对象类型，这一过程有效对抗了内核态的劫持内险。此后，操作***内核态驱动构建并填充IRP请求数据包，发送至预先确定的文件***下层设备的原始地址处，此时文件***调用栈上的第三方过滤驱动(其他安全软件、驱动级恶意程序)被穿透(旁路，bypass)。简而言之，即本发明通过建立一条新的、可信的、可以穿透过滤驱动的文件操作执行路径，有效避免了传统操作***的文件执行路径上存在的风险。

步骤202、获取目标文件的操作权限信息；

在本实施例中，本步骤具体可以为，调用自定义的应用程序接口中的DsGetFileLockType例程，通过所述DsGetFileLockType例程获取目标文件的安全描述符，并依据所述安全描述符查询目标文件的操作权限信息。

步骤203、若所述目标文件无操作权限，则调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限。

本实施例主要是针对实际中先解锁打开目标文件，然后进行权限校验，在获得权限后进一步执行文件删除粉碎而言的。

针对文件粉碎的应用，在本发明的一种优选实施例中，在对所述目标文件添加操作权限后，还可以包括如下步骤：

对所述具有操作权限的目标文件进行操作，所述操作包括文件删除操作。

在本实施例，所述文件删除操作由文件***下层设备根据IRP中的文件删除操作信息完成。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

参考图3，示出了本发明的一种文件解锁的装置实施例的结构框图，具体可以包括以下模块：

权限信息获取模块301，用于获取目标文件的操作权限信息；

权限添加模块302，用于在所述目标文件无操作权限时，调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限。

在本发明的一种优选实施例，针对文件解锁的应用，所述的装置还包括：

第一文件打开模块，用于在针对所述目标文件添加操作权限后，调用操作***应用程序接口API或自定义的用于打开文件的应用程序接口，打开所述具有操作权限的目标文件。

作为本发明的另一种优选实施例，针对文件解锁的应用，所述的装置还包括：

第二文件打开模块，用于在获取目标文件的操作权限信息之前，调用自定义的用于打开文件的应用程序接口打开所述目标文件。

针对文件粉碎的应用，本实施例还可以包括以下模块：

文件粉碎模块，用于对所述具有操作权限的目标文件进行操作，所述操作包括文件删除操作。

在具体实现中，所述目标文件的操作权限信息可以通过调用操作***应用程序接口API中的GetNamedSecurityInfo例程和AccessCheck例程获取；其中，所述GetNamedSecurityInfo例程用于获取目标文件的安全描述符，所述AccessCheck例程用于依据所述安全描述符查询目标文件的操作权限信息。

作为本发明具体应用的一种示例，所述目标文件的操作权限信息还可以通过调用自定义的应用程序接口中的DsGetFileLockType例程获取；其中，所述DsGetFileLockType例程用于获取目标文件的安全描述符，并依据所述安全描述符查询目标文件的操作权限信息。

在本发明的一种优选实施例中，所述权限添加模块可以包括：

预设例程调用子模块，用于调用自定义的应用程序接口中的DsSetTargetAccess例程设置目标文件的权限集合，所述DsSetTargetAccess例程的执行逻辑设置与操作***应用程序接口API中的SetNamedSecurityInfo例程一致。

由于所述装置实施例基本相应于前述方法实施例，故本实施例的描述中未详尽之处，可以参见前述实施例中的相关说明，在此就不赘述了。

本发明可用于众多通用或专用的计算***环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器***、基于微处理器的***、置顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何***或设备的分布式计算环境等等。

本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

以上对本发明所提供的一种文件解锁的方法和一种文件解锁的装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (13)

1.一种文件解锁的方法，其特征在于，包括：

调用自定义的用于打开文件的应用程序接口打开目标文件；

获取目标文件的操作权限信息；

若所述目标文件无操作权限，则调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限；

其中，所述调用自定义的应用程序接口打开目标文件的步骤包括：

获取针对目标文件的操作请求，所述请求中包括调用者输入参数，所述输入参数中包括文件路径；

校验所述调用者输入参数，若校验通过，则依据所述文件路径在对象管理器中查找对应的文件对象解析例程；

若查找到对应的文件对象解析例程，则依据所述文件对象解析例程生成I/O请求包，并发送至预置的文件***下层设备的原始地址。

2.如权利要求1所述的方法，其特征在于，在针对所述目标文件添加操作权限后，还包括：

调用操作***应用程序接口API或自定义的用于打开文件的应用程序接口，打开所述具有操作权限的目标文件。

3.如权利要求1或2所述的方法，其特征在于，还包括：

对具有操作权限的目标文件进行操作，所述操作包括文件删除操作。

4.如权利要求1或2所述的方法，其特征在于，所述获取目标文件的操作权限信息的步骤包括：

调用操作***应用程序接口API中的GetNamedSecurityInfo例程和AccessCheck例程；

通过所述GetNamedSecurityInfo例程获取目标文件的安全描述符，以及，通过所述AccessCheck例程依据所述安全描述符查询目标文件的操作权限信息。

5.如权利要求1或2所述的方法，其特征在于，所述获取目标文件的操作权限信息的步骤包括：

调用自定义的应用程序接口中的DsGetFileLockType例程，通过所述DsGetFileLockType例程获取目标文件的安全描述符，并依据所述安全描述符查询目标文件的操作权限信息。

6.如权利要求1或2所述的方法，其特征在于，所述调用自定义的用于目标权限设置的应用程序接口针对目标文件添加操作权限的步骤包括：

调用自定义的应用程序接口中的DsSetTargetAccess例程设置目标文件的权限集合，所述DsSetTargetAccess例程的执行逻辑设置与操作***应用程序接口API中的SetNamedSecurityInfo例程一致。

7.如权利要求1所述的方法，其特征在于，所述依据文件路径在对象管理器中查找对应的文件对象解析例程的步骤具体包括以下子步骤；

子步骤S1、判断文件路径是否已经拆解完毕，若否，则执行子步骤S2；若是，则执行子步骤S4；

子步骤S2、按照路径分隔符拆解出文件路径中下一个待拆解的路径段；

子步骤S3、采用当前拆解出的路径段在对象管理器中搜索，判断是否存在对应的文件对象例程；若是，则返回子步骤S1；若否，则执行子步骤S5；

子步骤S4、获得所述文件路径对应的文件对象解析例程；

子步骤S5、返回未找到对应文件对象解析例程的信息。

8.一种文件解锁的装置，其特征在于，包括：

第二文件打开模块，用于在获取目标文件的操作权限信息之前，调用自定义的用于打开文件的应用程序接口打开目标文件；

权限信息获取模块，用于获取目标文件的操作权限信息；

权限添加模块，用于在所述目标文件无操作权限时，调用自定义的用于目标权限设置的应用程序接口针对所述目标文件添加操作权限；

其中，所述第二文件打开模块还用于：

获取针对目标文件的操作请求，所述请求中包括调用者输入参数，所述输入参数中包括文件路径；

校验所述调用者输入参数，若校验通过，则依据所述文件路径在对象管理器中查找对应的文件对象解析例程；

若查找到对应的文件对象解析例程，则依据所述文件对象解析例程生成I/O请求包，并发送至预置的文件***下层设备的原始地址。

9.如权利要求8所述的装置，其特征在于，还包括：

第一文件打开模块，用于在针对所述目标文件添加操作权限后，调用操作***应用程序接口API或自定义的用于打开文件的应用程序接口，打开所述具有操作权限的目标文件。

10.如权利要求8或9所述的装置，其特征在于，还包括：

文件粉碎模块，用于对具有操作权限的目标文件进行操作，所述操作包括文件删除操作。

11.如权利要求8或9所述的装置，其特征在于，所述目标文件的操作权限信息通过调用操作***应用程序接口API中的GetNamedSecurityInfo例程和AccessCheck例程获取；其中，所述GetNamedSecurityInfo例程用于获取目标文件的安全描述符，所述AccessCheck例程用于依据所述安全描述符查询目标文件的操作权限信息。

12.如权利要求8或9所述的装置，其特征在于，所述目标文件的操作权限信息通过调用自定义的应用程序接口中的DsGetFileLockType例程获取；其中，所述DsGetFileLockType例程用于获取目标文件的安全描述符，并依据所述安全描述符查询目标文件的操作权限信息。

13.如权利要求8或9所述的装置，其特征在于，所述权限添加模块包括：

预设例程调用子模块，用于调用自定义的应用程序接口中的DsSetTargetAccess例程设置目标文件的权限集合，所述DsSetTargetAccess例程的执行逻辑设置与操作***应用程序接口API中的SetNamedSecurityInfo例程一致。