kernel - 禁用 APC 时如何查询文件大小？

Question

在我的微过滤器的 PostCreate 期间，我必须使用全局推送锁来设计同步线程，并且我必须调用 FltQueryInformationFile 来查询文件大小。

然而，

1、我调用FltAcquirePushLockExclusive后，APC投递被禁用；

2、如果禁用了 APC 传递，那么 FltQueryInformationFile 将失败，因为它必须在 PASSIVE_LEVEL 调用并启用 APC。

在这种情况下，我应该如何查询文件大小？建立 IRP 有帮助吗？

提前致谢。

Answer 1

您可以使用它来获取文件大小

NTSTATUS
GetFileSize (
    _In_ PFLT_INSTANCE Instance,
    _In_ PFILE_OBJECT FileObject,
    _Out_ PLONGLONG Size
    )
/*++

Routine Description:

    This routine obtains the size.

Arguments:

    Instance - Opaque filter pointer for the caller. This parameter is required and cannot be NULL.

    FileObject - File object pointer for the file. This parameter is required and cannot be NULL.

    Size - Pointer to a LONGLONG indicating the file size. This is the output.

Return Value:

    Returns statuses forwarded from FltQueryInformationFile.

--*/
{
    NTSTATUS status = STATUS_SUCCESS;
    FILE_STANDARD_INFORMATION standardInfo;

    //
    //  Querying for FileStandardInformation gives you the offset of EOF.
    //

    status = FltQueryInformationFile( Instance,
                                      FileObject,
                                      &standardInfo,
                                      sizeof(FILE_STANDARD_INFORMATION),
                                      FileStandardInformation,
                                      NULL );

    if (NT_SUCCESS( status )) {

        *Size = standardInfo.EndOfFile.QuadPart;
    }

    return status;
}

Answer 2

这个问题很老了，但是如果其他人偶然发现它（就像我一样），他们可能想知道在这个实例中使用的函数是FsRtlGetFileSize