第二次更新（下载不要积分啦！！）filemon学习笔记，绝对原创.

楼主^#

更多发布于：2010-01-06 21:06

(为了纪念今天比较彻底的看懂了Filemon，下载就不有积分啦。贡献给大家。)
学习文件过滤驱动一个多月来的一点笔记.给大家分享一下.觉得filemon还是比较好理解，只是有很多地方没有怎么看过文件系统的知识，所以有的地方写不出来为什么.
要点积分，希望大家不要见怪........
更新：对于文件的删除，应该是IRP_MJ_SETINFORMATION中的"FileDispositionInformation",
　　　而对于文件的重命名：则是：“FileRenameInformation”今天仔细看了一下关于文件路径的获取的那一段。
// Ask the file system for the name of the file, which its required to be
// able to provide for the Win32 filename query function. We could use the
// undocumented , but then we'd have to worry about
// re-entrancy issues, since that call generates the IRP that we create
// manually here. Since we send the IRP to the FSD below us, we don't need
// to worry about seeing the IRP in our dispatch entry point. This can fail
// in some cases, so we fall back on constructing the name ourselves if
// we have to.

这个说明filmon本来考虑过用未公开化的函数 ObQueryNameString( )来得到文件的路径，但是由于可能会导致死锁。
还有就是会可能有重入的危险，因此是使用的我们常看到的自建IRP来查寻文件信息（IRP_MJ_QUERY_INFORMATION）
来查寻文件信息，这个处理方法是比较好的。不过我发现它的处理中是把IRP_MJ_CREATE**排除在外的。这一点没有想
明白是怎么要这么做。在IRP_MJ_CREATE的IRP时候，会直接从fileobject中得到文件路径，这一点我认为不是很准确。希望
大家说一下自己的看法
另附上我的注释版的Filemon的源文件。认为有帮助下了就回一下贴吧。这次就免费献给大家了。

图片：setinformation.png

附件名称/大小下载次数最后更新: filemon文档报告（23.26）.rar (70KB) 137 2010-01-06 21:06; filem.rar (1621KB) 80 2010-05-11 16:46

喜欢0

leo100 驱动牛犊注册日期2008-08-22 最后登录2015-12-29 粉丝0 关注0 积分6分威望16点贡献值0点好评度0点原创分0分专家分0分加关注写私信	沙发^# 发布于：2015-12-29 12:20 have a look.
	回复(0) 喜欢(0)

ml6300 驱动牛犊注册日期2012-06-28 最后登录2014-09-10 粉丝0 关注0 积分13分威望81点贡献值0点好评度0点原创分0分专家分0分加关注写私信	板凳^# 发布于：2012-07-17 11:50 看不到啊
	回复(0) 喜欢(0)

zhenghj 驱动牛犊注册日期2011-08-06 最后登录2011-08-06 粉丝0 关注0 积分3分威望31点贡献值0点好评度0点原创分0分专家分0分加关注写私信	地板^# 发布于：2011-08-06 23:53 为什么附件都不存在呢
	回复(0) 喜欢(0)

tornodo 驱动牛犊注册日期2010-05-27 最后登录2011-09-17 粉丝0 关注0 积分5分威望51点贡献值0点好评度0点原创分0分专家分0分加关注写私信	地下室^# 发布于：2011-08-01 18:34 这个要大力支持了。
	回复(0) 喜欢(0)

bravelee10 驱动牛犊注册日期2011-07-28 最后登录2011-07-28 粉丝0 关注0 积分2分威望21点贡献值0点好评度0点原创分0分专家分0分加关注写私信	5楼^# 发布于：2011-07-28 17:00 看看学习一下
	回复(0) 喜欢(0)

fatepro 驱动牛犊注册日期2011-05-12 最后登录2011-09-07 粉丝0 关注0 积分68分威望681点贡献值0点好评度0点原创分0分专家分0分加关注写私信	6楼^# 发布于：2011-05-14 22:20 看一下啦
	回复(0) 喜欢(0)

zzw315 驱动牛犊注册日期2007-03-20 最后登录2013-03-06 粉丝0 关注0 积分30分威望251点贡献值0点好评度0点原创分0分专家分0分加关注写私信	7楼^# 发布于：2011-03-29 14:56 看看学习学习
	回复(0) 喜欢(0)

softforyou 驱动牛犊注册日期2005-08-21 最后登录2011-03-29 粉丝0 关注0 积分6分威望12点贡献值0点好评度0点原创分0分专家分0分加关注写私信	8楼^# 发布于：2011-03-29 02:24 文件不能下载！！
	回复(0) 喜欢(0)

wanttoflyup 驱动牛犊注册日期2011-03-06 最后登录2013-02-22 粉丝0 关注6 积分19分威望231点贡献值0点好评度0点原创分0分专家分0分加关注写私信	9楼^# 发布于：2011-03-06 21:42 怎么看不到啊，
	回复(0) 喜欢(0)

jsjhxh 驱动牛犊注册日期2010-05-26 最后登录2011-04-28 粉丝2 关注3 积分12分威望101点贡献值0点好评度0点原创分0分专家分0分加关注写私信	10楼^# 发布于：2011-02-16 13:01 怎么一直说附件不存在啊
	回复(0) 喜欢(0)

zhucedriverdeve 驱动牛犊注册日期2011-01-11 最后登录2011-01-13 粉丝0 关注0 积分1分威望11点贡献值0点好评度0点原创分0分专家分0分加关注写私信	11楼^# 发布于：2011-01-11 13:14 iku
	回复(0) 喜欢(0)

pandaforum 驱动小牛注册日期2007-02-13 最后登录2011-09-06 粉丝0 关注0 积分728分威望282点贡献值1点好评度66点原创分0分专家分0分加关注写私信	12楼^# 发布于：2011-01-04 13:38 看看你的心得。
	回复(0) 喜欢(0)

q15838079260 驱动牛犊注册日期2010-12-09 最后登录2012-05-29 粉丝1 关注2 积分30分威望231点贡献值0点好评度0点原创分0分专家分0分加关注写私信	13楼^# 发布于：2010-12-20 19:41 大家一起学习
	回复(0) 喜欢(0)

firfor 驱动牛犊注册日期2009-11-10 最后登录2016-01-09 粉丝1 关注0 积分121分威望451点贡献值0点好评度0点原创分0分专家分1分加关注写私信	14楼^# 发布于：2010-05-11 16:53 回 27楼(foreverys) 的帖子我想是的一一对应的。在create成功后会记录下这一个fileobject而在cleanup close 中会在相应的链表中给释放掉。
	回复(0) 喜欢(0)

firfor 驱动牛犊注册日期2009-11-10 最后登录2016-01-09 粉丝1 关注0 积分121分威望451点贡献值0点好评度0点原创分0分专家分1分加关注写私信	15楼^# 发布于：2010-05-11 16:51 回 24楼(tonghai523) 的帖子这只是通读代码后的一点想法。很多都没有写，再者当时自己也不是很明白。也只能这样了。
	回复(0) 喜欢(0)

foreverys 驱动牛犊注册日期2009-12-30 最后登录2010-09-24 粉丝0 关注0 积分3分威望51点贡献值0点好评度0点原创分0分专家分0分加关注写私信	16楼^# 发布于：2010-05-07 10:19 Re:菜鸟请教:在sfilter中sfCreate与SfCleanupClose中的irp->FileObject是否一一对应谢谢楼主先下下来看看，刚好在学习文件过滤，呵呵
	回复(0) 喜欢(0)

cyndy_li 驱动牛犊注册日期2009-03-09 最后登录2010-04-29 粉丝0 关注0 积分5分威望71点贡献值0点好评度0点原创分0分专家分0分加关注写私信	17楼^# 发布于：2010-02-08 23:37 楼主学习好细致啊，赞，这两分值了不过我没有找到获取被创建的文件名的那个函数的说明
	回复(0) 喜欢(0)

achillowy 驱动牛犊注册日期2009-05-26 最后登录2010-02-18 粉丝0 关注0 积分16分威望171点贡献值1点好评度0点原创分0分专家分0分加关注写私信	18楼^# 发布于：2010-02-03 17:24 看了下有点看不懂
	回复(0) 喜欢(0)

tonghai523 驱动牛犊注册日期2007-07-30 最后登录2011-01-04 粉丝0 关注0 积分50分威望56点贡献值0点好评度5点原创分0分专家分0分加关注写私信	19楼^# 发布于：2010-01-25 15:04 太少了点吧，filemon那么多代码，你就这么点笔记
	回复(0) 喜欢(0)

您需要登录后才可以回帖，登录或者注册

第二次更新（下载不要积分啦！！）filemon学习笔记，绝对原创.

最新喜欢：