IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION中的文件过滤

最新推荐文章于 2021-03-02 14:30:28 发布

qq_35889047

最新推荐文章于 2021-03-02 14:30:28 发布

阅读量1.2k

点赞数

文章标签： windows驱动 minifilter微过滤器

本文链接：https://blog.csdn.net/qq_35889047/article/details/100514314

版权

IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION标记在系统中调用十分频繁，如果在pre函数中调用了fltcreatefile函数创建了文件句柄，则会使得对应文件无法进行增删改查，一旦进行这些操作会导致资源管理器崩溃，所以在fltcreatefile函数参数设定中需要注意一些细节：
1、shareaccess选项中应该包含FILE_SHARE_VALID_FLAGS，
2、flags选项设置为IO_FORCE_ACCESS_CHECK
这是我在接下来需要对文件进行二进制流读取时的函数设置：

status = FltCreateFile(FltObjects->Filter,
				FltObjects->Instance,
				&f_handle,
				GENERIC_READ | GENERIC_EXECUTE,
				&object_attribs,
				&io_status,
				NULL,
				FILE_ATTRIBUTE_NORMAL,
				FILE_SHARE_READ|FILE_SHARE_WRITE|FILE_SHARE_DELETE|FILE_SHARE_VALID_FLAGS,
				FILE_OPEN_IF,
				FILE_NON_DIRECTORY_FILE | FILE_SYNCHRONOUS_IO_ALERT,
				NULL,
				0,
				IO_FORCE_ACCESS_CHECK
			);