IRP类型的概念类似Windows应用程序中“消息”的概念。在Win32编程中,程序是由“消息”驱动的。不同的消息,会被分发到不同的消息处理函数中。如果没有对应的处理函数,它会进入到系统默认的消息处理函数中。
IRP的处理类似这种方式。文件I/O的相关函数,如CreateFile、ReadFile、WriteFile、CloseHandle 等函数会使操作系统产生出 IRP_MJ_CREATE、IRP_MJ_READ、IRP_MJ_WRITE、IRP_MJ_CLOSE等不同的IRP,这些IRP会被传送到驱动程序的派遣函数中。
另外,内核中的文件I/O处理函数,如ZwCreateFile、ZwReadFile、ZwWriteFile、zwClose,
它们同样会创建相应的 IRP_MJ_CREATE、IRP_MJ_READ、IRP_MJ_WRITE、IRP_MJ_CLOSE等IRP,并将IRP传送到相应驱动的相应派遣函数中。
还有些IRP是由系统的某个组件创建的,比如IRP_MJ_SHUTDOWN 是在Windows的即插即用组件在即将关闭系统的时候发出的。下表列出了IRP的类型,并对其产生来源做了说明。
表1 IRP 类型
IRP 类型 | 来源 |
IRP_MJ_CREATE | 创建设备,CreateFile会产生此IRP |
IRP_MJ_CLOSE | 关闭设备,CloseHandle会产生此IRP |
IRP_MJ_CLEANUP | 清除工作,CloseHandle 会产生此IRP |
IRP_MJ_DEVICE_CONTROL | DeviceIoControl函数会产生此IRP |
IRP_MJ_PNP | 即插即用消息,NT驱动不支持此种IRP,只有 WDM 驱动 才支持此种IRP |
IRP_MJ_POWER | 在操作系统处理电源消息时,产生此IRP |
IRP_MJ_QUERY_INFORMATION | 获取文件长度,GetFileSize会产生此IRP |
IRP_MJ_READ | 读取设备内容,ReadFile会产生此IRP |
IRP_MJ_SET_INFORMATION | 设置文件长度,GetFileSize会产生此IRP |
IRP_MJ_SHUTDOWN | 关闭系统前会产生此IRP |
IRP_MJ_SYSTEM_CONTROL | 系统内部产生的控制信息,类似子内核调用DeviceIoControl函数 |
IRP_MJ_WRITE | 对设备进行 WriteFile 时会产生此IRP |