MiniFilter 架构的解析将从 (1) 初始化阶段的 Frame 初始化与卷抽象-设备栈附加，(2) Filter 注册, (3) Instance 实例化, (4) 回调函数触发等方面进行较为深入、细致的分析。

FltpFsNotificationActual 是 fltMgr.sys 在响应文件系统挂载事件时，自动为 Minifilter 创建实例并附加到卷设备栈的核心路径。这是 Minifilter 实现“挂载时自动绑定（Auto-Attach）”机制的底层实现。FltpFsNotificationActual 函数的触发时机如下：

fltMgr 在系统 Phase1 初始化阶段被加载，在完成自身初始化时会遍历当前已注册的所有文件系统，并为每个文件系统设备栈挂载设备对象，创建卷抽象与 frame 进行绑定。

KiStartSystemThread -> PspSystemThreadStartup -> Phase1Initialization -> IoInitSystem -> IoInitSystemPreDrivers -> IopInitializeBootDrivers -> IopInitializeBuiltinDriver -> FLTMGR!GsDriverEntry -> FLTMGR!DriverEntry -> FLTMGR!FltpAttachFrame -> FLTMGR!FltpFsNotificationActual -> FLTMGR!FltpAttachToFileSystemDevice -> FLTMGR!FltpAttachDeviceObject -> nt!IoAttachDeviceToDeviceStackSafe

filMgr 在初始化阶段，调用函数 FltpAttachFrame 创建一个 FrameZeroAltitude 的 frame。当后续注册 filter 时，fltMgr 会通过读取注册表中的 altitude 值来动态扩展 frame->AltitudeIntervalHigh。该函数内部调用 IoRegisterFsRegistrationChangeMountAware 向文件系统注册通知回调例程(FltpFsNotification)，当文件系统注册或注销时触发。接着，调用 IoGetDeviceObjectPointer 函数获取目标表设备栈顶层的设备对象(包括 "\\Device\\RawDisk" 和 "\\Device\\RawCdRom")，调用 FltpFsNotificationActual 函数(获取设备对象名并调用 FltpAttachToFileSystemDevic)执行附加。

函数 FltpAttachToFileSystemDevic 调用 FltpCreateVolumeDeviceObject 创建设备对象用于向目标设备栈中进行插入。

函数 FltpCreateVolumeDeviceObject 调用 IoCreateDevice 创建设备对象，并设置 device->DeviceExtension(_VOLUME_DEVICE_EXTENSION)。接着，调用函数 FltpInitVolume 初始化 volume 并与 frame 进行绑定(通过_VOLUME_DEVICE_EXTENSION)。

函数 FltpAttachDeviceObject 调用 IoAttachDeviceToDeviceStackSafe 进行设备栈插入。

调用 FltpDoFilterNotificationForNewVolume/FltpEnumerateFileSystemVolumes 将创建的设备对象插入文件系统设备栈。

(FltpEnumerateFileSystemVolumes)在 fltMgr 首次加载时，主动扫描当前系统中所有已挂载的磁盘设备，并尝试为每个磁盘设备关联 volume 抽象并将设备对象插入设备栈。

(FltpDoFilterNotificationForNewVolume)当一个新卷被挂载时，通知所有已注册的 minifilter，并为每个符合条件的 filter 创建新的实例并附加到该卷设备栈。通过遍历 frame->RegisteredFilters 查找所注册的 filter，调用 FltpEnumerateRegistryInstances 创建 instance 并与 volume 绑定。

DriverEntry 中设置 MajorFunction[IRP_MJ_FILE_SYSTEM_CONTROL] 为 FltpFsControl，包含对文件系统的控制操作，如卷挂载(IRP_MN_MOUNT_VOLUME)。 动态挂载到新卷的设备栈中，函数调用路径如下：

nt!IofCallDriver -> FLTMGR!FltpFsControl -> FLTMGR!FltpFsControlMountVolume -> FLTMGR!FltpAttachDeviceObject -> nt!IoAttachDeviceToDeviceStackSafe

函数 FltpFsControlMountVolume，

nt!IoRegisterFileSystem -> FLTMGR!FltpFsNotification -> FLTMGR!FltpFsNotificationActual -> FLTMGR!FltpAttachToFileSystemDevice -> FLTMGR!FltpAttachDeviceObject -> nt!IoAttachDeviceToDeviceStackSafe

函数 FltpFsNotification 的逻辑较为简单，调用 FltpFsNotificationActual 执行设备栈附加。

函数 FltRegisterFilter 用于向 MiniFiltter 注册 filter，除了初始化 _FLT_REGISTRATION 结构体中所设置的参数外，还包括：验证 filter 的安全性(FltpInitializeFilterVerifier)、根据注册表所设置的 altitude 按顺序插入 frame->RegisteredFilters 链表。

需要注意的是，_FLT_FILTER 结构体的大小会依据所注册回调函数数量而发生拓展。

函数 FltpGetInstanceAltitude 中，读取注册表中实例的键用于获取 Altitude。

内部调用 FltpOpenInstancesRegistryKey 打开对应的注册表键，路径为 \\Registry\\Machine\\System\\CurrentControlSet\\Services\\Instance.

查询名为 DEFAULTINSTANCE 的子键，接着查询该子键的 Altitude 值，并返回字符串格式。

这也解释了为什么 MiniFilter 驱动安装时的 INF 文件的重要性。
参见： 有偿求解决,文件过滤驱动函数FltRegisterFilter调用失败返回0xc0000034的问题

函数 FltpLinkFilterIntoFrame 依据 altitude 插入 frame->RegisteredFilters 链表。altitude 的值决定了 filter 在设备栈中的被调用顺序。

函数 FltStartFiltering 用于创建 instance 并于 volume 进行关联。当设置 InstanceSetupCallback 回调时的函数执行路径如下：

FltStartFiltering -> FltpDoVolumeNotificationForNewFilter -> FltpEnumerateRegistryInstances -> FltpCreateInstanceFromName -> FltpInitInstance -> FltpDoInstanceSetupNotification -> self_func

函数 FltpEnumerateRegistryInstances 通过查询注册表的 instance 子键数来决定所需创建 _FLT_INSTANCE 对象数量 (FltpOpenInstancesRegistryKey -> \\Registry\\Machine\\System\\CurrentControlSet\\Services\\Instance)。接着，调用 FltpCreateInstanceFromName 创建 instance 对象并与 volume 绑定。

instance 子键数量由 INF 文件进行定义。

虽然当前仅有一个 instance 子键，但上层调用函数 FltpEnumerateRegistryInstances 通过遍历当前 frame->AttachedVolumes 来为每个 volume 绑定 instance。因此，即使仅设置了一个 instance，需要为每个 volume 均绑定一个 instance 对象。

函数 FltpInitInstance 初始化 instance 并依据 MajorFunction 将回调插入 volume->Callbacks中：

函数 FltpNumCallbackNodes 获取当前 filter 的有效回调数。由于 filter 所注册的回调函数数量不固定，因此申请 _FLT_INSTANCE 结构体的内存时需要获取有效回调函数数量。fiilter->Operations 实际上指向一个 _FLT_OPERATION_REGISTRATION 数组，以 0x80 为结束标志。类似的，instance->CallbackNodes 提供了一个长度为 50 的 _CALLBACK_NODE 指针表用于快速索引，而 _CALLBACK_NODE 结构体紧随 instance。

函数 FltpDoInstanceSetupNotification 调用 filter->InstanceSetup 执行回调函数。

函数 FltpSetCallbacksForInstance 设置回调函数组。

按照 MajorFunction 将 instance 的回调插入 volume 中。

FltpCreate 函数中 ，通过 _DEVICE_OBJECT::_DRIVER_EXTENSION::_FLT_VOLUME 解析设备对象所属的卷，完成 _IRP_CALL_CTRL 结构体的初始化(将作为函数 FltpPassThroughInternal 的参数)。此处的 _DRIVER_EXTENSION 实际上是 FLTMGR!_VOLUME_DEVICE_EXTENSION，由驱动程序自行定义，用于存储驱动的私有数据。

结构体 _VOLUME_DEVICE_EXTENSION 的定义如下：

结构体 _IRP_CALL_CTRL 用于管理单个 IRP 在 MiniFilter 中的处理过程，包含当前 I/O 请求的上下文，其定义如下：

函数 FltpPassThroughInternal 和 FltpLegacyProcessingAfterPreCallbacksCompleted 内部调用 Pre/Post 回调函数。

回调函数被触发时的调用路径：

FltpPerformPreCallbacks 是 fltmgr.sys 内部用于按 Altitude 从高到低依次调用 Minifilter Pre-operation 回调的核心函数，是 Minifilter 实现“有序过滤”的执行中枢。它本身不派发 IRP 到文件系统，但决定了哪些过滤器有机会拦截或修改 I/O 请求。

_FLT_FILTER 是 Minifilter 驱动在 Filter Manager（fltMgr.sys）内部的核心表示对象，由 FltRegisterFilter 创建。每个 filter 可包含多个 instance 实例，但 instance 实例与 Volume 一一对应。

如有错误之处，还望指正。

[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！