1

我的微过滤驱动程序使用创建后回调将打开文件的路径传递给用户模式进程。微过滤器使用重解析点来识别需要处理的文件。

PFLT_FILE_NAME_INFORMATION pFNI = NULL;

DWORD FNIFlags = FLT_FILE_NAME_OPENED | 
                 FLT_FILE_NAME_QUERY_ALWAYS_ALLOW_CACHE_LOOKUP |
                 FLT_FILE_NAME_ALLOW_QUERY_ON_REPARSE;

NTSTATUS Status = FltGetFileNameInformation(Data, FNIFlags, &pFNI);
if (!NT_SUCCESS(Status))
{
    DBG_PRINT_ERROR("FltGetFileNameInformation failed: %#x", Status);
    __leave;
}

DBG_PRINT_INFO("Realize '%wZ'", pFNI->Name);

这可以正常工作，除非通过 NTFS 连接打开文件，如下所示：

mkdir c:\a
mkdir c:\b
echo "hello world" >c:\b\b.txt
# ...set reparse point metadata on b.txt
mklink /j c:\a\b c:\b
type c:\a\b\b.txt

type打开文件时，我的驱动程序会打印以下输出：

Realize '\Device\HarddiskVolume2\b\b.txt'

因此，在评估结点后，它看到的是文件的真实路径，而不是打开文件的路径。

问题是，我的程序依赖于在正在打开的文件的父目录之一中找到一个配置文件，而这个结点问题使我的程序错过了配置文件。

MSDN说FLT_FILE_NAME_OPENED返回“打开此文件的句柄时使用的名称”。我相信它应该因此给我\Device\HarddiskVolume2\a\b\b.txt而不是\Device\HarddiskVolume2\b\b.txt. 我错过了什么？

4

1 回答 1

1

除非文件被缓存，在这种情况下你会得到"resolved"。
我建议只使用FLT_FILE_NAME_OPENED摆脱其他两个标志。

查看Alex Carp 关于这些标志的这篇文章。

干杯，
加布里埃尔

于 2018-01-29T16:00:55.430 回答