|
阅读：2266回复：4
监控文件变化
请教各位高手：
用过滤驱动监控指定目录内文件变化， 是向filemon那样过滤IRP_MJ_CREATE、IRP_MJ_SET_INFORMATION、IRP_MJ_WRITE等 还是用IRP_MJ_DIRECTORY_CONTROL的子功能代码IRP_MN_NOTIFY_CHANGE_DIRECTORY进行目录监视。 哪个更好，有什么区别？ 谢谢！！ |
|
|
沙发#
发布于：2009-03-01 11:00
我的意思是：
用FsRtlNotifyFullReportChange、FsRtlNotifyFullReportChange函数的方法 和过滤IRP_MJ_CREATE、IRP_MJ_SET_INFORMATION、IRP_MJ_WRITE的方法 哪种更好？ |
|
|
板凳#
发布于：2009-03-01 21:29
前一种可能有延迟，后一种更直接。但是前一种简单。
|
|
|
|
地板#
发布于：2009-03-03 01:07
I believe the first thing you need to do is get more details about requirements.
What do you really want to monitor? Do you want to know who CREATE/OPEN a file? Do you want to know who WRITE/READ a file? Do you want to know who DELETE a file? Do you want to keep track of file content change? ...... After figuring out all your requirements, you can easily decide which IRPs to intercept. |
|
|
地下室#
发布于：2009-03-04 17:39
我主要是想监控一个目录内文件的创建、删除、修改和重命名，我看了很多以前的帖子，是通过过滤 IRP的方式进行的，但是NT文件系统内幕上讲可以用FsRtlNotifyFullReportChange、FsRtlNotifyFullReportChange来过滤，所以我主要是想知道两种方式的区别和特点是什么？
|
|