|
阅读：1306回复：6
困惑了好久，还是没有头绪
各位好，我想开发一个文件访问的审计程序，但是用记事本打开一个文件的时候，却截获不到任何读操作读的IRP，据说是因为记事本实用的mapping file，请问这个问题如何解决，才能截获到读请求？谢了
|
|
|
沙发#
发布于：2002-06-28 18:14
去www.osr.com看看IFS KIT FAQ，里面有一项专门讲了这个问题。
|
|
|
|
板凳#
发布于：2002-06-28 16:27
可以直接Hook API的，如下几个足够：
CreateFile ReadFile CloseFile 相信肯定可以截获的（我没有试过） |
|
|
|
地板#
发布于：2002-06-28 08:33
我是在win2000下使用的，使用记事本打开文件的时候，只可以看到CREATE和CLOSE等操作，但看不到读操作，据说因为记事本使用的是mapping file，直接访问了虚存里面的文件
|
|
|
地下室#
发布于：2002-06-27 16:17
不知你用的是何种操作系统及何种版本的filemon，我用的是win 98 SE,filemon v4.32,可以从中看到记事本的文件读写访问请求
|
|
|
5楼#
发布于：2002-06-25 13:18
我参考过了，但是filemon也截获不到请求，因为filemon截获的是IRP和fastio，对于记事本使用的mapping file也没用
|
|
|
6楼#
发布于：2002-06-25 11:57
你可以参考一下FileMon源代码，本站应该有的。
------------------------- Use The Source, Luke :) |
|
|