|
阅读：1370回复：4
文件过滤系统疑问-怎样获取产生IRP_MJ_WRITE的应用程序名！
在文件过滤驱动中，我监控IRP_MJ_WRITE，这时候我想知道是哪个应用程序产生的这个中断，
我用psgetcurrentprocess,为什么，真正写数据的时候我得不到应用程序名啊，例如：有个程序 叫test.exe,它从d盘拷贝数据到e盘，我监控e盘的IRP_MJ_WRITE，我怎么能够准确的知道，哪个 IRP_MJ_WRITE是test.exe,产生的呢，？希望大侠指导！[/size] |
|
最新喜欢： wingma...
|
|
沙发#
发布于：2007-03-06 08:36
似乎只能在IRP_MJ_CREATE中得到进程名,用链表在Create中记住进程名对应的FileObject,在IRP_MJ_Write中通过FileObject从链表中获得对应的进程名.
祝你好运 |
|
|
板凳#
发布于：2007-03-06 11:02
谢谢，搞定向你汇报！
|
|
|
地板#
发布于：2007-03-06 13:02
有做文件系统及其相关的兄弟，交流么，QQ:9984022
|
|
|
地下室#
发布于：2007-04-12 18:34
PEPROCESS curproc = PsGetCurrentProcess();
char *nameptr = (PCHAR)curproc + ProcessNameOffset; |
|