|
阅读：2097回复：6
请教各位大大一个问题，如何在过滤驱动中判断出文件的拷贝动作？
小弟初学文件过滤驱动开发，看了一些书籍资料，好像 IRP_MJ 中对文件操作的功能号只有ｒｅａｄ和ｗｒｉｔｅ，
那我如何能判断出文件操作的几个动作呢，比如拷贝，删除，移动等等。 万分感谢。。。。  |
|
|
沙发#
发布于：2010-06-09 17:15
really noboby knows?
i just want to know: which irp(s) will be created when a file was copyed ( or delete )? help me if you have any ideas. thnaks a lot |
|
|
板凳#
发布于：2010-06-09 18:07
数据拷贝是应用层的行为，
在驱动中表现如下： 打开文件A 读文件A, 关闭文件A, 打开文件B， 写文件B， 关闭文件B |
|
|
|
地板#
发布于：2010-06-09 20:08
移动和删除都是setinformation
拷贝是read/write |
|
|
|
地下室#
发布于：2010-06-10 11:05
不是有NT的源代码吗，你把那拷贝的代码搞出来，单步调试，看驱动里一步步都在做什么
不过，Vista以后，拷贝的函数好像重写了哦，木有源代码可分析啊 我认为：就算你搞清楚了拷贝也没用，人家另存，你能咋滴?不要浪费时间了 |
|
|
|
5楼#
发布于：2010-06-18 11:00
自己读然后再写，好像也木用了
|
|
|
|
6楼#
发布于：2010-07-02 21:47
回 4楼(looksail) 的帖子
请问哪里有源码，能发给我一份吗:lj5115lj@163.com |
|