麦洛克菲内核开发第七课Minifilter文件系统过滤.PPT

Minfilter与legacy filter区别 比filter加载顺序更易控制. altitude被绑定到合适的位置。 可卸载能力. Callback模型仅需处理必要操作的能力. 兼容性更好 名字处理更容易 安装方式(.inf/动态加载） 通信方式(port) 总体框架（1） 总体框架（2） Minfilter结构 Minfilter架构（1） PFLT_FILTER g_pFilter = NULL; const FLT_CONTEXT_REGISTRATION ContextRegistration[] = { { FLT_INSTANCE_CONTEXT, 0, CtxContextCleanup, CTX_INSTANCE_CONTEXT_SIZE, CTX_INSTANCE_CONTEXT_TAG }, { FLT_FILE_CONTEXT, 0, CtxContextCleanup, CTX_FILE_CONTEXT_SIZE, CTX_FILE_CONTEXT_TAG }, { FLT_STREAM_CONTEXT, 0, CtxContextCleanup, CTX_STREAM_CONTEXT_SIZE, CTX_STREAM_CONTEXT_TAG }, { FLT_STREAMHANDLE_CONTEXT, 0, CtxContextCleanup, CTX_STREAMHANDLE_CONTEXT_SIZE, CTX_STREAMHANDLE_CONTEXT_TAG }, { FLT_CONTEXT_END } }; Minfilter架构（2） const FLT_REGISTRATION fileMonitorRegistration = { sizeof( FLT_REGISTRATION ), // Size FLT_REGISTRATION_VERSION, // Version 0, // Flags ContextRegistration, // ContextRegistration fileMonitorCallbacks, // Operation callbacks fileMonUnload, // FilterUnload fileMonInstanceSetup, // InstanceSetup NULL, // InstanceQueryTeardown fileMonInstanceTeardownStart, // InstanceTeardownStart NULL, // InstanceTeardownComplete NULL, // GenerateFileName NULL, // GenerateDestinationFileName NULL // NormalizeNameComponent }; Registration Functions NTSTATUS fileMonUnload ( __in FLT_FILTER_UNLOAD_FLAGS Flags ) { stopFileMonitor(); return STATUS_SUCCESS; } NTSTATUS fileMonInstanceSetup ( __in PCFLT_RELATED_OBJECTS FltObjects, __in FLT_INSTANCE_SETUP_FLAGS Flags, __in DEVICE_TYPE VolumeDeviceType, __in FLT_FILESYSTEM_TYPE VolumeFilesystemType ) { //绑定在了卷上，instance,设置instance 上下文，记录一些卷的信息 } VOID fileMonInsta