[求助]如何再minifilter中监听CD-Rom光盘插入退出事件？-编程技术-看雪-安全社区|安全招聘|kanxue.com

[求助]如何再minifilter中监听CD-Rom光盘插入退出事件？

发表于: 2020-7-31 02:33 3192

[求助]如何再minifilter中监听CD-Rom光盘插入退出事件？

blknit

2020-7-31 02:33

3192

最近在写一个minifilter，客户需要阻止光盘读取，但是光盘插入退出同一张光盘instanceSetup 都没有调用，IoRegisterPlugPlayNotification 也没有调用， IRP_MJ_FILE_SYSTEM_CONTROL 能获取退出事件IRP_MN_REMOVE_DEVICE（一连串），但加载事件有时有，有时没有， IRP_MJ_VOLUME_MOUNT 也没有调用，请问各位大牛如何正确监听光盘插入退出事件？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

最后于 2020-7-31 02:36 被blknit编辑，原因：

收藏・0

免费・0

支持

最新回复 (1)
wx_空气雪币： 174 活跃值： (108) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	wx_空气 2 楼只要有mount动作应该就会进入instanceSetup，我试过U盘是可以监控到的，进入后直接判断下FLTFL_INSTANCE_SETUP_NEWLY_MOUNTED_VOLUME标志，或者打个日志看下Flags的值，再或者试下U盘插拔看能过滤到不。 2020-9-3 17:49 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

blknit

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

最新回复 (1)
wx_空气雪币： 174 活跃值： (108) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	wx_空气 2 楼只要有mount动作应该就会进入instanceSetup，我试过U盘是可以监控到的，进入后直接判断下FLTFL_INSTANCE_SETUP_NEWLY_MOUNTED_VOLUME标志，或者打个日志看下Flags的值，再或者试下U盘插拔看能过滤到不。 2020-9-3 17:49 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复