|
阅读：1858回复：4
如何拦截文件系统对CcReadFile,CcWriteFile,CcFastReadFile、CcFastCopyWrite等例程的调用?
通过Filemon在2000下可以实现对标准同步或异步文件读写操作进行拦截，比如IIRP_MJ_READ，RP_MJ_WRITE请求处理、FastIoRead,FastIoWrite等。文件系统对文件的读写有时也通过Ccxxx接口从缓存直接访问（file maping机制），2000下的文件读多数情况可能是如此，CcXXX类型接口是系统高速缓存的接口函数。
通过适当修改filemon初始化例程是否有可能实现对这些接口的拦截？ 都有哪些可能的实现对这些接口拦截的方法或相关的例子？ 各位大虾请帮帮忙，非常感谢和非常急的说！ |
|
|
沙发#
发布于：2002-06-06 17:39
这个问题我正在研究，可以沟通沟通。
|
|
|
|
板凳#
发布于：2002-06-06 19:38
use ring0 hook. see ntroot ,it has implement full sequence..
|
|
|
地板#
发布于：2002-07-17 15:14
据我试验所知：用file mapping访问文件会产生一个Flags包含IRP_MJ_PAGING_IO标记位的IRP_MJ_READ请求。问题是不清楚NTFS FSD的内存结构，不知道Section对象放在何处。哪位大虾指点指点？
|
|
|
地下室#
发布于：2002-07-22 17:29
use ring0 hook. see ntroot ,it has implement full sequence.. where can i find this example? thx! |
|
