阅读:1830回复:11
为什么抓不到notepad.exe读文件的IRP_MJ_READ啊?
notepad写文件是irp_mj_write,
为什么读文件时候是create和query啊? notepad不irp_read怎么把文件内容读出来的啊,?高人指定一下。 |
|
沙发#
发布于:2008-06-07 22:17
肯定有read,只不过它是filemaping,而且文件小的话,可能只一次就过去了
|
|
|
板凳#
发布于:2008-06-07 22:26
而且很有可能的情况,当你的文件很小时,explorer的预读可能就已经有内容了
|
|
|
地板#
发布于:2008-06-07 22:38
我对文件一件的IRP_MJ_READ进行了过滤, 但NOTEPAD还是能读出正确的内容, 重启机器也是一样, 表示没有被别的进程读过。除非是被内核进程读了。
|
|
地下室#
发布于:2008-06-08 13:31
explorer...
|
|
5楼#
发布于:2008-06-08 17:52
如果是 Explorer 也应拦的到呀? 还有我试了, 如果是大文件, 就是有IRP_MJ_READ,
小文件就没有。怎么去小文件进行拦住? |
|
6楼#
发布于:2008-06-08 17:55
1 .3M的TXT用,用NOTEPAD。EXE打开不能, 但COPY到别的目录可以, 小文件不论是COPY和NOTEPAD的OPEN都不行。怎么解决
|
|
7楼#
发布于:2008-06-08 18:41
肯定有读的,你试一下大的文本文件
|
|
|
8楼#
发布于:2008-06-08 19:35
1.3M还不够大吗? 现在是小文件也不能放过。
|
|
9楼#
发布于:2008-06-08 19:36
弄个10M以上的文件看看,用filespy看看..
肯定有的... |
|
|
10楼#
发布于:2008-06-08 22:09
fileSpy也不能。
|
|
11楼#
发布于:2008-06-10 10:52
filemon也不能
|
|