c# - 如何按进程访问内核操作

Question

上图是我在 Windows PE 环境下将图像应用到机器时的屏幕截图。如您所见，我已经过滤了Windows Sysinternals Process Monitor的结果，以便仅显示 Dism.exe 进程对 Win8 32 位映像的 ReadFile 操作。

我需要找到一种在没有.NET 框架的情况下使用C/C#/C++ 访问相同信息的方法（因为据说PE 环境中不存在.NET 框架）。我已经搜索、四处询问并再次搜索命名空间和类，这些命名空间和类可以让我从内核中提取这些信息而没有运气。

我最感兴趣的是能够访问您在图像中看到的值“偏移”。这个数字是文件上读取操作的位置偏移量，我需要这个值用于我需要制作的程序。

有人知道我怎样才能实现我的目标吗？这在 PE 环境中显然是可以做到的，因为 Process Monitor 做到了，那么我该如何做同样的事情呢？

Answer 1

您可能想查看文件微过滤器。Process Explorer 基本上会在您第一次启动时在系统上安装一个。无需重新启动即可安装和启动微型过滤器。

微型过滤器像任何其他设备驱动程序一样在内核中运行，您可以从那里监视任何文件活动（读取、写入、创建、删除、关闭、执行等）。您必须用 C 编写它。您可以还可以从 OSR 分发列表中获取信息。