文件过滤系统驱动开发Filemon学习笔

　2007-12-30 21:37:20　来源：WEB开发网　闂傚倸鍊风欢姘缚瑜嶈灋闁圭虎鍠栫粻顖炴煥閻曞倹瀚�

闂傚倸鍊风粈渚€骞夐敓鐘插瀭闁汇垹鐏氬畷鏌ユ煙閹殿喖顣奸柛搴＄У閵囧嫰骞掗幋婵冨亾閻㈢ǹ纾婚柟鐐灱濡插牊绻涢崱妤冃℃繛宀婁簽缁辨捇宕掑鎵佹瀸闂佺懓鍤栭幏锟�

濠电姷鏁告慨顓㈠箯閸愵喖宸濇い鎾寸箘閹规洟姊绘笟鈧ḿ褍煤閵堝悿娲Ω閳轰胶鍔﹀銈嗗笂閼冲爼鍩婇弴銏＄厪闁搞儮鏅涙禒褏绱掓潏鈺佷槐闁轰焦鎹囬弫鎾绘晸閿燂拷闂傚倸鍊风欢姘缚瑜嶈灋闁圭虎鍠栫粻顖炴煥閻曞倹瀚�　　闂傚倸鍊烽懗鑸电仚缂備胶绮〃鍛村煝瀹ュ鍗抽柕蹇曞У閻庮剟姊虹紒妯哄妞ゆ劗鍘ч埥澶娢熼柨瀣偓濠氭⒑瑜版帒浜伴柛鎾寸☉閳绘柨顫濋懜纰樻嫼闂佸憡绋戦オ鏉戔枔閺冣偓缁绘稓浠﹂崒姘瀳闂佸磭绮幑鍥嵁鐎ｎ亖鏀介柟閭﹀墯椤斿倹淇婇悙顏勨偓鏍ь潖婵犳艾鍌ㄧ憸蹇涘箟閹绢喗鏅搁柨鐕傛嫹

核心提示： 上面创建设备对象的代码为：ntStatus = IoCreateDevice ( DriverObject,sizeof(HOOK_EXTENSION),&deviceNameUnicodeString,FILE_DEVICE_FILEMON,0,TRUE,&guiDevice );///

上面创建设备对象的代码为：ntStatus = IoCreateDevice ( DriverObject, 　　　　　　　　　　　　　　　　sizeof(HOOK_EXTENSION), 　　　　　　　　　　　　　　　　&deviceNameUnicodeString, 　　　　　　　　　　　　　　　　FILE_DEVICE_FILEMON, 　　　　　　　　　　　　　　　　0, 　　　　　　　　　　　　　　　　TRUE, 　　　　　　　　　　　　　　　　&guiDevice ); 　　// 　　// If successful, make a symbolic link that allows for the device 　　// object's access from Win32 programs 　　// 　　if(NT_SUCCESS(ntStatus)) { 　　　　// 　　　　// Mark this as our GUI device 　　　　// 　　　　((PHOOK_EXTENSION) guiDevice->DeviceExtension)->Type = GUIINTERFACE; 　　　　// 　　　　// Create a symbolic link that the GUI can specify to gain access 　　　　// to this driver/device 　　　　// 　　　　RtlInitUnicodeString (&deviceLinkUnicodeString, 　　　　　　　　　　　　　　　deviceLinkBuffer ); 　　　　ntStatus = IoCreateSymbolicLink (&deviceLinkUnicodeString, 　　　　　　　　　　　　　　　　　　　　 &deviceNameUnicodeString ); 　　　　if(!NT_SUCCESS(ntStatus)) { 　　　　　　DbgPrint (("Filemon.SYS: IoCreateSymbolicLink failed ")); 　　　　　　IoDeleteDevice( guiDevice ); 　　　　　　return ntStatus;　　　　　　　　　　}上面代码完成的功能为创建了用于与应用层交互的控制设备对象，名字在参数&deviceNameUnicodeString,中。设备对象创建成功后又调用IoCreateSymbolicLink创建了一个符号连接，以便于应用层交互。在入口点函数DriverEntry代码中，还有一处代码： ProcessNameOffset = FilemonGetProcessNameOffset();//为了得到当前进程名字。此函数体如下：ULONG FilemonGetProcessNameOffset( 　　VOID 　　) { 　　PEPROCESS　　　 curproc; 　　int　　　　　　 i; 　　curproc = PsGetCurrentProcess();//调用PsGetCurrentProcess取得KPEB基址　　//然后搜索KPEB，得到ProcessName相对KPEB的偏移量　　// Scan for 12KB, hoping the KPEB never grows that big! 　　// 　　for( i = 0; i < 3*PAGE_SIZE; i++ ) { 　　　　　　if( !strncmp( SYSNAME, (PCHAR) curproc + i, strlen(SYSNAME) )) { 　　　　　　return i; 　　　　} 　　} 　　// 　　// Name not found - oh, well 　　// 　　return 0;