Можно ли отбросить IRP в драйверах фильтра файловой системы?

Question

У меня есть пара подписей, и я хочу создать драйвер фильтра файловой системы который может проверить все возможные операции с подписями. Если совпадение найдено, чем Драйвер фильтра должен полностью отбросить пакет IRP.

Возможно ли это сделать?

Answer 1

Да.

Вы описываете, что делает каждый антивирусный пакет. Вам нужно освежить свои навыки разработки в режиме NT-kernel и ознакомиться с Файловая система MiniFilters . Вы также захотите начать скрываться в OSFS NTFSD listserv.

Драйвер фильтра не может "полностью сбросить IRP". Что он МОЖЕТ сделать, так это завершить их до того, как их увидят более низкие драйверы, или в случае IRP_MJ_CREATE отменить их перед обратным вызовом после операции.

Пристегнись, ты идешь на ухабистую поездку:)