-
-
[求助]IRP_MJ_CLOSE的问题
-
发表于:
2014-1-6 16:26
6294
-
各位前辈，大神，最近碰到一个情况，搞不明白，前来询问，还望大神们不吝赐教啊！废话不多说下面说问题：
首先R0下面的文件过滤驱动，需要在IRP_MJ_CLOSE中处理些问题，同时会用MmFlushImageSection刷缓存写进文件里。现在的情况是对于比较小的文件，貌似IRP_MJ_CREAT 和IRP_MJ_CLOSE的个数是对应的，缓存也可以清理干净。但是文件比较大(其实也不算很大八九百K)的时候貌似 IRP_MJ_CLOSE下发的次数少了一次，也就是最后一次没有下发这个IRP。所以导致了缓存清理不干净。一直也得不到文件锁，可以理解为貌似文件被占用了！
希望各位给些指点，比如有没有什么方法可以 解除占用释放FCB；或者其他的方法促使这个CLOSEIRP下发；或者有没有其他的思路给提示下吧 跪谢！！
[课程]FART 脱壳王！加量不加价！FART作者讲授！
