<读书笔记>Windows内核安全——第六章 磁盘过滤

       本章目标：完成一个磁盘卷设备的上层类过滤驱动，该过滤驱动的功能是实现对卷的还原，即开启该驱动的功能之后，对还原卷的写操作将只适用于当前，重启电脑后所写入的数据都将清零，类似于还原卡之类的功能。

1、磁盘卷设备

       OK，根据章节的主题。首先要知道什么是磁盘卷设备，根据《windows internals》一书中的讲解，Windows的存储结构自上而下分成以下各个部分，如图所示：

（擦，一个图片翻译了N久，尼玛~）

       根据图中可以看出各个部分的功能，从中我们可以看见卷设备所处在的层级。

2、上层类过滤驱动

    根据驱动的层级，类功能驱动的上下可以添加相应的过滤驱动，添加在上层的称为上层过滤驱动，添加在下层的称为下层过滤驱动(前面的笔记中也有类似的介绍)。

代码分析：

1、  DriverEntry

DriveEntry中有一个API：

VOID IoRegisterBootDriverReinitializati