是否可以在文件系統過濾器驅動程序中刪除IRP？

我有幾個簽名，我想建立一個文件系統過濾驅動程序，它可以檢查簽名的所有可能的操作。如果發現匹配結果爲，則過濾器驅動程序應該完全丟棄IRP數據包。是否可以在文件系統過濾器驅動程序中刪除IRP？

有沒有可能這樣做？

* drop *這個詞是不正確的。通過IoCompleteRequest函數，您應該*完成* irp要刪除的內容。 – Benjamin 2011-12-21 09:17:01

是。

您正在描述幾乎每個防病毒軟件包的功能。你需要刷新你的NT內核模式開發記錄，並熟悉File System MiniFilters。您還需要開始潛伏在OSR NTFSD listserv上。

過濾器驅動程序不能「完全刪除IRP」。它可以做的是在低級驅動程序看到它們之前完成它們，或者在IRP_MJ_CREATE的情況下，在後操作回調之前取消它們。

扣上來，你是在一個顛簸的騎:) :)

2011-12-20 22:48:08 Bukes

回答