Win64 驱动内核编程-5.内核里操作文件

最新推荐文章于 2023-09-01 07:21:01 发布

TK13

最新推荐文章于 2023-09-01 07:21:01 发布

阅读量2.3k

点赞数 2

分类专栏：驱动内核编程文章标签：内核里操作文件驱动 WIN64驱动

本文链接：https://blog.csdn.net/u013761036/article/details/60363402

版权

本文介绍了Win64驱动中内核操作文件的基本流程，从RING0的角度出发，详细阐述了从ReadFile或NtReadFile到IRP的传递过程，涉及文件系统驱动、磁盘类驱动、磁盘小端口驱动以及HAL.DLL的角色。在内核层，文件夹和文件的操作并无显著区别。文章还列举了几个内核级文件操作的例子，包括读写、删除、重命名和枚举文件以及获取文件信息的相关Zw函数。

摘要由CSDN通过智能技术生成

内核里操作文件

RING0 操作文件和 RING3 操作文件在流程上没什么大的区别，也是“获得文件句柄->读/写/删/改->关闭文件句柄”的模式。当然了，只能用内核 API，不能用 WIN32API。在讲解具体的代码之前，先讲解一下文件系统的流程，让大家对整个文件系统有个大概的了解。

假设我们要读写一个文件，无论在 RING3 调用 ReadFile，还是在 RING0 调用 NtReadFile，它们最终会转换为 IRP，发送到文件系统驱动（具体哪个驱动和分区类型相关，如果是 FAT32分区，则是 FASTFAT.SYS；如果是 NTFS 分区，则是 NTFS.SYS）的 IRP_MJ_READ 分发函数里。文件系统驱动经过一定处理后，就把 IRP 传给磁盘类驱动（通常是 CLASSPNP.SYS，此驱动的源码在 WDK 里有）的 IRP_MJ_READ 分发函数处理。磁盘类驱动处理完毕后，又把 IRP 传给磁盘小端口驱动的 IRP_MJ_SCSI 分发函数处理。磁盘小端口驱动太多了，网上有人用ATAPI.SYS 来指代磁盘小端口驱动，是极端错误的说法。ATAPI.SYS 是磁盘小端口驱动，但磁盘小端口驱动绝非只能是