请问各位大虾。

打开文件的函数是ZwOpenFile，那删除一个文件的函数是什么呢？？
如果保存一个文件的时候函数有是什么呢？？各位能不能帮帮我呀！！！

ZwSetInformationFile删除

对的，我想也是这样。现在我想做一个防止文件被删除的驱动，我重新写了一个ZwSetInformationFile函数叫（HookZwSetInformationFile）然后判断如果要删除的文件名称是我要保护的文件的时候，我就不予执行真正的ZwSetInformationFile，可是现在怎样得到文件名称呢？？ZwSetInformationFile的参数中那个可以用来得到操作的文件名呢？？？请老大帮帮忙呀！！！

对的，我想也是这样。现在我想做一个防止文件被删除的驱动，我重新写了一个ZwSetInformationFile函数叫（HookZwSetInformationFile）然后判断如果要删除的文件名称是我要保护的文件的时候，我就不予执行真正的ZwSetInformationFile，可是现在怎样得到文件名称呢？？ZwSetInformationFile的参数中那个可以用来得到操作的文件名呢？？？请老大帮帮忙呀！！！

试试调用
ZwQueryInformationFile （FileInformationClass = FileNameInformation）

NTSTATUS HookZwSetInformationFile(
  IN HANDLE  FileHandle,
  OUT PIO_STATUS_BLOCK  IoStatusBlock,
  IN PVOID  FileInformation,
  IN ULONG  Length,
  IN FILE_INFORMATION_CLASS  FileInformationClass
)
{
NTSTATUS rc;
..
rc=(RealZwSetInformationFile)(FileHandle,IoStatusBlock,FileInformation,Length,FileInformationClass);
}

您的意思我我在我的替换函数中调用真正的ZwSetInformationFile函数前调用一下ZwQueryInformationFile 函数吗？这样来得到操作的文件名称，在进行判断如果不是要保护的文件的时候，就执行ZwSetInformationFile，否则跳过，是这样的吗？？？

谢谢您了,我的问题搞定了.

[编辑 -  1/31/04 by  zgc7622]