Mini Filter 操作消息的分析

最新推荐文章于 2025-03-04 15:56:38 发布

free2o

最新推荐文章于 2025-03-04 15:56:38 发布

阅读量1.7k

点赞数

分类专栏：操作系统

本文链接：https://blog.youkuaiyun.com/free2o/article/details/21988659

版权

在Windows Mini Filter驱动中，Create预操作时FsContext、FsContext2、Vpb和SectionObjectPointer均为0。但在PostOperation阶段，它们被初始化。同一文件的不同FILE_OBJECT中这些值相同。Create时PrivateCacheMap未赋有效值，而在后续Read操作中，SharedCacheMap才会有值。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Create ：

1. 在 Create preoperation 的时候， FsContext, FsContext2 ，Vpb, SectionObjectPointer 都是 0
2. 在 Create PostOperation 的时候， FsContext, FsContext2, Vpb, SectionObjectPointer 都被初始化成相应的数值
3. 同一个文件的不同 FILE_OBJECT 中的 FsContext, FsContext2, Vpb, SectionObjectPointer 都相同。
4. 在 Create 操作的时候 PrivateCacheMap 是0，还没有被赋有效值

Read：

第一个log：

FileObject is : 86909D18
FileObject->FsContext is : E18F30D0
FileObject->FsContext2 is : E20E2E00
FileObject->Vpb is : 86F2A7F0
FileObject->SectionObjectPointer is : 86A987F4
FileObject->SectionObjectPointer->DataSectionObject is : 86A98B20
FileObject->SectionObjectPointer-&