是否可以在文件系统过滤器驱动程序中删除IRP？

我有几个签名，我想建立一个文件系统过滤驱动程序，它可以检查签名的所有可能的操作。如果发现匹配结果为，则过滤器驱动程序应该完全丢弃IRP数据包。是否可以在文件系统过滤器驱动程序中删除IRP？

有没有可能这样做？

* drop *这个词是不正确的。通过IoCompleteRequest函数，您应该*完成* irp要删除的内容。 – Benjamin 2011-12-21 09:17:01

是。

您正在描述几乎每个防病毒软件包的功能。你需要刷新你的NT内核模式开发记录，并熟悉File System MiniFilters。您还需要开始潜伏在OSR NTFSD listserv上。

过滤器驱动程序不能“完全删除IRP”。它可以做的是在低级驱动程序看到它们之前完成它们，或者在IRP_MJ_CREATE的情况下，在后操作回调之前取消它们。

扣上来，你是在一个颠簸的骑:) :)

2011-12-20 22:48:08 Bukes

回答