woodoar的个人空间

我把filter加到disk.sys下面，只能截到IRP_MJ_INTERNAL_DEVICE_CONTROL，但听说可以通过访问cdb[0]来得知是否是读写IRP，是这样吗？那我应该在filter里如何访问到cdb[0]呢 ？它在IRP的哪个域呢？多谢指点！