内核文件操作函数与应用.pdfVIP

在应用层下的文件操作只需要调用微软应用层下的API函数及C库函数即可，而如果在内核中读写文

件，则应用层的API显然是无法被使用的，内核层需要使用内核专有的API，某些应用层下的API只需要增加

Zw开头即可在内核中使用，例如本章要讲解的文件与目录操作相关函数，多数ARK反内核工具都具有对文

件的管理功能，实现对文件或目录的基本操作功能也是非常有必要的。

首先无论在内核态还是在用户态，我们调用的文件操作函数其最终都会转换为一个IRP请求，并发送到文

件系统驱动上的IRP_MJ_READ派遣函数里面，这个读写流程大体上可分为如下四步；

对于FAT32分区会默认分发到FASTFAT.SYS，而相对于NTFS分区则会分发到NTFS.SYS驱动上。

文件系统驱动经过处理后，就把IRP传给磁盘类驱动的IRP_MJ_READ分发函数处理，当磁盘类驱动

处理完毕后，又把IRP传给磁盘小端口驱动。在磁盘小端口驱动里，无论是读还是写，用的都是

IRP_MJ_SCSI这个分发函数。IRP被磁盘小端口驱动处理完，就要依靠HAL.DLL进行端口IO，

此时数据就真的从硬盘里了出来。

创建文件或目录:实现创建文件或目录，创建文件或目录都可以调用ZwCreateF