请问在minifilter中如何同步FltObjects->FileObject->FsContext

请问各位大牛,在minifilter中没有DeviceObject,如何在MJ_CREATE中同步IRP来获取FltObjects->FileObject->FsContext,谢谢!

StreamHandle和FileObject等价，加解密一般只需跟踪StreamHandle即可。

每一次文件操作都对应一个FileObject ?
一次文件操作的含义是什么？一次读写？还是别的。。。。

通过查询PCTX_STREAMHANDLE_CONTEXT 里面的内容就能得知这次访问的FileObject的状态,是需要加密还是需要解密还是不不要管?
自己可以在Context里面添加自己需要的标志位用来记录文件的加密信息。

不同的进程打开同一个文件的fileobject是不是一定都不一样?
相同的进程打开同一个文件的fileobject是不是一定都一样?
对于User Mode对应的是FileHandle，Kernel Mode对应的是FileObject。可能多个FileHandle对应一个FileObject。
所以，对于不同进程，FileObjec可能会是同一个。

通过FsContext 可以知道哪个文件是不是被加密的文件,

Stream — This represents all opens across a single data stream of a file.
是不是可以理解为文件的一部分,它可以存在于磁盘中?缓存中?内存中?
如果对它做过点什么事情就可以在PCTX_STREAM_CONTEXT中记下来?
如果在缓存中,通过PCTX_STREAM_CONTEXT可以知道文件的一部分是不是已经被解密?

那么StreamHandle 又有什么用呢?在什么时候用呢?CTX_STREAMHANDLE_CONTEXT中又应该保存点什么呢?

•    File — This represents all opens across all data streams of a file. Currently these contexts are not supported.
•    Stream — This represents all opens across a single data stream of a file.
•    StreamHandle — This represents a single open of a file, i.e., a file object.
楚狂人教材翻译的是：
文件 - 指关于一个文件的所有打开的流。一般这些上下文是不支持的。 -- FsContext
流 - 文件上的一个单独的数据流。 -- PCTX_STREAM_CONTEXT
流句柄 - 一个文件的一次打开，比如一个文件对象。 -- PCTX_STREAMHANDLE_CONTEXT

对于FsContext 可以用来同步加密标记比较好理解,但是不知道PCTX_STREAM_CONTEXT和PCTX_STREAMHANDLE_CONTEXT有什么用处?

PCTX_STREAM_CONTEXT 用来记录文件被创建,清除,关闭的次数?当全部关闭时就清cache?数据流是不是就是cache中的文件内容?

PCTX_STREAMHANDLE_CONTEXT 又用来干什么的呢?和fastio有关系吗?
每一次文件操作都对应一个FileObject ?
通过查询PCTX_STREAMHANDLE_CONTEXT 里面的内容就能得知这次访问的FileObject的状态,是需要加密还是需要解密还是不不要管?
不同的进程打开同一个文件的fileobject是不是一定都不一样?
相同的进程打开同一个文件的fileobject是不是一定都一样?



//
//  Instance context data structure
//

typedef struct _CTX_INSTANCE_CONTEXT {

    //
    //  Instance for this context.
    //

    PFLT_INSTANCE Instance;

    //
    //  Volume associated with this instance.
    //

    PFLT_VOLUME Volume;

    //
    //  Name of the volume associated with this instance.
    //

    UNICODE_STRING VolumeName;

} CTX_INSTANCE_CONTEXT, *PCTX_INSTANCE_CONTEXT;

#define CTX_INSTANCE_CONTEXT_SIZE         sizeof( CTX_INSTANCE_CONTEXT )

//
//  Stream context data structure
//

typedef struct _CTX_STREAM_CONTEXT {

    //
    //  Name of the file associated with this context.
    //

    UNICODE_STRING FileName;

    //
    //  Number of times we saw a create on this stream
    //

    ULONG CreateCount;

    //
    //  Number of times we saw a cleanup on this stream
    //

    ULONG CleanupCount;

    //
    //  Number of times we saw a close on this stream
    //

    ULONG CloseCount;

    //
    //  Lock used to protect this context.
    //

    PERESOURCE Resource;

} CTX_STREAM_CONTEXT, *PCTX_STREAM_CONTEXT;

#define CTX_STREAM_CONTEXT_SIZE         sizeof( CTX_STREAM_CONTEXT )



//
//  Stream handle context data structure
//

typedef struct _CTX_STREAMHANDLE_CONTEXT {

    //
    //  Name of the file associated with this context.
    //

    UNICODE_STRING FileName;

    //
    //  Lock used to protect this context.
    //

    PERESOURCE Resource;

} CTX_STREAMHANDLE_CONTEXT, *PCTX_STREAMHANDLE_CONTEXT;

#define CTX_STREAMHANDLE_CONTEXT_SIZE         sizeof( CTX_STREAMHANDLE_CONTEXT )

FLT_PREOP_SYNCHRONIZE
The minifilter driver is returning the I/O operation to the filter manager for further processing, but it is not completing the operation. In this case, the filter manager calls the minifilter's postoperation callback in the context of the current thread at IRQL <= APC_LEVEL.

资料方面就要看各位大牛们的奉献精神了！

光明程度上还好吧，怎么说也是ms现在大力推荐的，不过问题也有不少啊，起码一个，资料方面和filterdriver就没法比了~~

FsContext 后来仔细测试了一下在post中是同步的，
取文件名也没有什么问题，那么就可以移植代码到minifilter中了；

在CONTEXT如果可以对fastio中的fileobject也能做稳定安全的标记，
那么直接在fastio中进行加密解密也是有希望的；

minifilter本身对动态挂载，杀毒软件兼容性方面的优势

综合起来，这样minifilter做透明加密似乎是前途一片光明

楼上 ： Create是异步处理的..........

同步的

那个代码我没看过，不过，　Create是异步处理的．你要用FsContext必须等待Ｃｒｅａｔｅ完成．

CONTEXT  是自己做的结构体，想存什么是自己决定的。

后来有测试了一下,IRP包是可以在post中取到值
请问用CONTEXT 能记录cache中的FileObject的状态信息?

在create 的post中打印出来的FSCONTEXT的值也是0  --  看看PostCreate中的iostatus是不是success。

Context是个好东西，不过就是要注意IRQL和reference counter

谢谢,我用minispy中的pre和post函数修改了一下,在create 的post中打印出来的FSCONTEXT的值也是0,不过在read和write中倒是对的,不知那里出问题了.
MINIFILTER提供的CONTEXT功能还没仔细看,得好好学习学习

还有如果来跟踪文件的话，不要用FSCONTEXT，而应该善用MINIFILTER提供的CONTEXT来处理，功能相当强大，而且稳定安全。

minifilter中CREATE本身就已经是同步处理了，所以在CREATE 的POST处理里直接获得即可 。