我能捕捉到文件创建的操作吗？

Question

我不太懂英语。请理解我。:)

在驱动程序中，我想重定向创建文件的操作的文件路径。所以我决定用迷你车。我考虑了MSDN的simrep样例项目。然而，它只是呈现出一种类似于修复的路径。我的意思是，如果我将一个文件保存在C:\aaa\abc.txt中，那么该文件将保存在C:\bbb\abc.txt中。只是重定向而已！而且，尽管驱动程序将被分离和卸载，abc.txt文件将驻留在C:\bbb\abc.txt中。

然后，我想在回调例程句柄IRP_MJ_CREATE中捕获唯一的CAREATION操作。我知道IRP_MJ_CREATE的回调例程是通过打开和创建文件、设备等来调用的。

Answer 1

如果您指的是创建新文件，则可以在“预创建”中检查以下创建处理。

FILE_SUPERSEDED FILE_CREATE FILE_OVERWRITE FILE_OVERWRITE_IF

所有这些处理都是在创建新文件时发生的。