Minifilter微过滤框架：框架介绍以及驱动层和应用层的通讯

最新推荐文章于 2024-04-21 09:36:33 发布

arvon2012

最新推荐文章于 2024-04-21 09:36:33 发布

阅读量8.5k

点赞数

分类专栏： WIN 文章标签：框架 callback 通讯 descriptor attributes dll

本文链接：https://blog.csdn.net/arvon2012/article/details/7926366

版权

本文介绍了微软的Minifilter过滤驱动框架，相较于sFilter更易使用，通过过滤管理器简化文件过滤驱动的编写。Minifilter通过注册微过滤器并设置回调函数来处理文件操作事件。在Minifilter中，通过FltRegisterFilter和FltStartFiltering进行驱动注册和启动。过滤函数如NPPreCreate用于预处理操作，通过修改PFLT_CALLBACK_DATA结构影响IRP处理。此外，Minifilter提供了方便的API进行内核与应用层的通信，通过FltCreateCommunicationPort创建通信端口，并定义回调函数进行连接、断开和消息传递。

摘要由CSDN通过智能技术生成

minifilter是sfilter后微软推出的过滤驱动框架。相比于sfilter，他更容易使用，需要程序员做的编码更简洁。
系统为minifilter专门制作了一个过滤管理器，这个管理器本身其实是一个传统过滤驱动，它向minifilter的使用者提供许多接口，让原本复杂的文件过滤驱动变得方便简单。之所以简单是因为传统的过滤驱动把大量的工作放在绑定设备上，而现在这些工作都交给minifilter中的过滤管理器来完成。
缺点：纯粹的使用minifilter提供的接口看不见设备对象和IRP的，所以编程自由度不大。
对minifilter的编写的第一步是向过滤管理器注册一个微过滤器，这个未过滤器是一个组件，包含了一些在文件操作的时候可能需要的回调函数。
驱动入口中最简单的版本是只包含两个函数：注册函数和开始函数。
NTSTARTUS DriverEntry(__in PDRIVER_OBJECT DriverObject,__in PUNICODE_STRING RegistryPath)
{
	NTSTATUS status;
	UNREFERENCED_PARAMETER(registryPath);

	status = FltRegisterFilter(DriverObject,&FilterRegisteraion,&gFilterHandle);
	ASSERT(NT_SUCCESS(status));
	if(NT_SUCCESS(status)){
		status = FltStartFiltering(gFilterHandle);
		if(!NT_SUCCESSS(status)){
			FltUnregisterFilter(gFilterHandle);
		}
	}
	return status;
}


1.注册函数FltRegisterFilter
它的第二个参数是个结构体要自己填写完整，这个结构体中的内容包含微过滤器的方方面面。
上面说的结构名字叫FLT_REGISTRATION，这个结构中有些部分是基本信息，有些部分是回调函数。所以这个结构有点面向对象语言中类的感觉。这个结构中最NB（中文意思是“重要”）的字段就是FLT_OPERATION_REGISTRATION（大家都知道，当操作系统要对文件系统进行操作的时候，其实就是通过发送各种各样的事件请求（