文件设备过滤一点总结.docVIP

文件系统驱动文件系统驱动主要生成两类设备：文件系统控制设备，文件系统的卷设备文件系统控制设备：主要任务是修改整个驱动的内部配置文件系统的卷设备：一个卷对应一个逻辑盘发送给控制设备的请求（IRP），一般是文件系统控制IRP（主功能号为IRP_MJ_FILE_SYSTEM_CONTROL）；发送给卷设备的IRP一般则是文件操作IRP。过滤的目标最终是为了得到文件操作的IRP，但是控制设备的IRP，一般用来捕获卷设备的生成信息，所以我们要先绑定文件系统的控制设备，达到绑定文件系统的卷设备的目的~~(1)生成自己的一个控制设备,当然必须给控制设备指定名称(2)设置普通分发函数(3)设置快速IO分发函数(4)编写一个文件系统变动回调函数，在其中绑定刚激活的文件系统控制设备(动态绑定)(5)使用IoRegisterFsRegistrationChange调用注册这个回调函数文件系统控制设备的绑定过滤设备扩展typedef?struct?_SFILTER_DEVICE_EXTENSION?{??ULONG?TypeFlag;????//????//??绑定的文件系统设备（真实设备）????//????PDEVICE_OBJECT?AttachedToDeviceObject;????//????//??与文件系统设备相关的真实设备（磁盘），这个在绑定时使用????//??????//????PDEVICE_OBJECT?StorageStackDeviceObject;????//????//??????//?如果绑定了一个卷，那么这是物理磁盘卷名；否则这是绑定的控制设备名??????//??????//????UNICODE_STRING?DeviceName;????//????//??用来保存名字字符串的缓冲区????//????WCHAR?DeviceNameBuffer[MAX_DEVNAME_LENGTH];??//???//?The?extension?used?by?other?user.??//??UCHAR?UserExtension[1];}?SFILTER_DEVICE_EXTENSION,?*PSFILTER_DEVICE_EXTENSION;绑定文件系统控制设备SfAttachToFileSystemDevice文件系统控制设备已经被绑定，绑定的目的是为了获得发送给文件系统控制设备的文件系统控制请求。这些IRP的主功能号是IRP_MJ_FILE_SYSTEM_CONTROL，每个主功能号下一般都有次功能号从这些控制IRP中能得到足够的信息，确定一个卷被挂载，这样才有可能去绑定文件系统的卷设备当有卷被挂载或解挂载时，SfFsControl()就会被系统回调。现在的任务是在这个函数中获得卷设备的相关信息并对它实行绑定，才能捕获各种针对文件的IRP，从而获得临控各种文件操作的能力主功能号为IRP_MJ_FILE_SYSTEM_CONTROL时，有以下几个不同次功能号的IRP要处理(1)次功能号为IRP_MN_MOUNT_VOLUME，说明一个卷被挂载，应该调用SfFsControlMountVolume来绑定一个卷(2)次功能号为IRP_MN_LOAD_FILE_SYSTEM，这个请求比较特殊，它一般出现在文件系统识别器要求加载真正的文件系统时，此时说明前面绑定了一个文件系统识别器，现在应该在这里开始绑定真正的文件系统控制设备了(3)次功能号为IRP_MN_USER_FS_REQUEST，此时可以从irpSp-Parameters.FileSystemControl.FsControlCode得到一个控制码。当控制码为FSCTL_DISMOUNT_VOLUME时，说明是一个磁盘在解挂载(1)生成一个控制设备。当然此前必须给控制设备指定名称(2)设置分发函数和快速IO分发函数(3)编写一个文件系统变动回调函数，在其中绑定刚激活的文件系统的控制设备，并注册这个回调函数(4)编写默认的分发函数(5)处理文件系统控制请求(IRP主功能号为IRP_MJ_FILE_SYSTEM_CONTROL)，在其中监控卷设备的Mount和Dismount文件系统卷设备的绑定从IRP中获得VPB指针：指针irpSp-Parameters.MountVolume.Vpb是一个VPB，VPB是卷参数(Volume?Parameter?Block)，一个重要的数据结构，它在这里的主要作用是把实际存储媒介设备对象和文件系统上的卷设备对象联系起来下面的代码用VPB来做一下倒手工作，首先，从irp