能力值：
( LV12，RANK：385 )
|
-
-
2 楼
if (FlagOn(Data->Iopb->TargetFileObject->Flags, FO_VOLUME_OPEN)) {
}
|
能力值：
( LV1，RANK：0 )
|
-
-
3 楼
因为应用层的程序一般是CreateFile(符号链接)，IO管理器通过符号链接找到对应的设备名，然后IRP直接发到这个设备上。如果这个设备上没Attach过滤器，那么过滤器就截获不到这个请求。
IO管理发送的IRP_MJ_CREATE请求是把设备名去掉了，所以截获到打开设备请求的FileObject里的文件名是空，是正常的。 例如打开c:\1.txt, 截获到的打开请求里的FileObject的文件名是 \1.txt, 不含有设备名。
|
|
|
|
