|
阅读：1489回复：5
小弟在写文件系统过滤驱动,有没有办法获取到发出IRP的源进程名??
大虾救命阿
谢谢拉 [编辑 - 3/30/04 by skykill] [编辑 - 3/31/04 by skykill] |
|
|
沙发#
发布于：2004-04-06 11:25
参看FileMon
|
|
|
板凳#
发布于：2004-07-31 10:26
基本上没有用，很多是通过系统线程延迟写入的，这是侯进程名将是system
|
|
|
|
地板#
发布于：2004-08-02 09:18
在文件系统过滤driver中一般是可以的，就是当前进程。
|
|
|
地下室#
发布于：2004-08-21 10:55
怎么会没用呢,你直接拦IRP_READ,IRP_WRITE等，注意应该是CACHE方式的才行，非CACHE方式的就不一定了(那时可能就是你说的延迟写)，
|
|
|
|
5楼#
发布于：2004-09-02 17:48
Unless the driver dispatcher is running in the context of the IRP's originator process, the driver couldn't get the name of the process.
The context is determined by OS, not by your driver. Usually, the highest driver can get the process's name. And, some file operation dispatchers run in the context of the orginator (for the thread context relative consideration, like ACL, security....). |
|
|
