菜鸟问题：如何获得usb插入拔出消息？

  如题。文件系统过滤驱动能收到这个消息吗？能的话，是什么呢？

去看看sfilter的代码吧，可以通过注册文件系统注册变更通知回调函数来实现，也就是调用IoRegisterFsRegistrationChange

下面是引用joshua_yu于2005-07-28 08:54发表的:
去看看sfilter的代码吧，可以通过注册文件系统注册变更通知回调函数来实现，也就是调用IoRegisterFsRegistrationChange

说得不对
是IRP_MN_MOUNT_VOLUME和IRP_MN_USER_FS_REQUEST（至于minor func自己找）

usb拔出了，文件系统是可以获得这个消息的！不过你要hook IRP_MJ_PNP 对应的历程。子消息码为：
正常拔出：IRP_MJ_PNP 的IRP_MN_QUERY_REMOVE_DEVICE
非正常拔出9（硬拔）：IRP_MJ_PNP 的IRP_MN_SURPRISE_REMOVAL

下面是引用bmyyyud于2005-07-28 10:26发表的:

说得不对
是IRP_MN_MOUNT_VOLUME和IRP_MN_USER_FS_REQUEST（至于minor func自己找）

老大，如果你在DriverEntry中不调用IoRegisterFsRegistrationChange，单单注册IRP_MJ_FILE_SYSTEM_CONTROL处理例程以及处理IRP_MN_MOUNT_VOLUME是收不到U盘挂接请求的，这个我在Filemon中测试过。

下面是引用wywwwl于2005-07-28 11:05发表的:
usb拔出了，文件系统是可以获得这个消息的！不过你要hook IRP_MJ_PNP 对应的历程。子消息码为：
正常拔出：IRP_MJ_PNP 的IRP_MN_QUERY_REMOVE_DEVICE
非正常拔出9（硬拔）：IRP_MJ_PNP 的IRP_MN_SURPRISE_REMOVAL

这位老大的方法我测试了一下确实可以，不过首先还是需要attach到这个u盘上，这样还是存在怎样拦截u盘挂接请求的问题，这个恐怕hook IRP_MJ_PNP就不行了吧。

下面是引用joshua_yu于2005-07-28 18:34发表的:


老大，如果你在DriverEntry中不调用IoRegisterFsRegistrationChange，单单注册IRP_MJ_FILE_SYSTEM_CONTROL处理例程以及处理IRP_MN_MOUNT_VOLUME是收不到U盘挂接请求的，这个我在Filemon中测试过。

当然，你不上车，怎知道售票员是怎么买票的

小弟也有同样的一个问题，不过USB设备不是U盘，是自已开发的一个设备。