Перехват IRP ядра Windows - PullRequest
Новая
       45

Перехват IRP ядра Windows

0 голосов
/ 02 июля 2019

Почему я вижу только IRP_MJ_PNP события при подключении / отключении / использовании различных USB-устройств?

Подавляющее большинство составляют

IRP_MJ_PNP - IRP_MN_QUERY_CAPABILITIES

Использование инструмента из здесь

Я подключаю эти устройства / драйверы: 

{
Reference count: 6
BLUETOOTH
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\BTHUSB

Reference count: 2
ACPI
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\RtkBtFilter

Reference count: 1
ACPI
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\ACPI

Reference count: 11
UNKNOWN
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\USBHUB3
\Device\USBPDO-3
}
Last error g: 0Last error h: 0Last error i: 01 : DEVICE LIST : STACK
{
Reference count: 4
UNKNOWN
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\USBHUB3

Reference count: 1
ACPI
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\ACPI

Reference count: 8
UNKNOWN
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\USBXHCI
\Device\USBPDO-0
}
Last error g: 0Last error h: 0Last error i: 02 : DEVICE LIST : STACK
{
Reference count: 4
UNKNOWN
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\USBXHCI
\Device\USBFDO-0

Reference count: 1
ACPI
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\ACPI

Reference count: 7
UNKNOWN
DEVICE_SECURE_OPEN
Dispatch table: 1111111111111111111111111111
\Driver\pci
\Device\NTPNP_PCI0003
}

которые получены путем перечисления первых 4 родителей GUID_CLASS_USB_DEVICE

Dispatch table: 1111111111111111111111111111 означает, что все 28 IRP помечены для перехвата.

Может быть, есть какой-то другой инструмент для перехвата IRP, с которым я могу проверить?

...