请教，minifilter挂载卷的原理

类似于filemon对监控哪个硬盘分区的选择，用minifilter是怎么实现的呢？

请高手解答一下，不胜感激。

假设你要监控C盘：

1. ZwCreateFile或其它方式打开 C:\，得到对应的FILE_OBJECT；
2. FltGetVolumeFromFileObject 得到PFLT_VOLUME对象；
3. FltAttachVolume 挂接即可！

引用第1楼devia于2009-09-03 16:12发表的  :
假设你要监控C盘：

1. ZwCreateFile或其它方式打开 C:\，得到对应的FILE_OBJECT；
2. FltGetVolumeFromFileObject 得到PFLT_VOLUME对象；
3. FltAttachVolume 挂接即可！

谢谢您的解答。不是很懂，抱歉我是菜鸟。。。

以上操作是在Instancesetupcallback()中么？这个回调函数的说明就是“让开发者决定哪个卷需要绑定，哪个卷不需要”。

那更简单了，只需要在InstanceSetupCallback中返回合适的状态码即可，
如果要挂接就返回成功码，否则，返回STATUS_FLT_DO_NOT_ATTACH表示不挂接！

引用第3楼devia于2009-09-04 08:46发表的  :
那更简单了，只需要在InstanceSetupCallback中返回合适的状态码即可，
如果要挂接就返回成功码，否则，返回STATUS_FLT_DO_NOT_ATTACH表示不挂接！

非常感谢！

Instancesetupcallback()的两个参数，一个VolumeDeviceType，一个VolumeFilesystemType，但这两个参数无法确定具体的卷比如D盘或者新插入的U盘吧。

还请指点一下。