请问 IRP_MJ_CREATE 完成后如何获取 Ring3 应用程序即将得到的 HANDLE 值？

[xixiaoliu]

如题，有办法吗？

[MoXiaoRab]

你这个是磁盘过滤驱动？

[MoXiaoRab]

还是一个Hook函数中？

[StarsunYzL]

[Quote=引用 4 楼 xixiaoliu 的回复:]
我就是想拿到句柄之后查句柄表改 GrantedAccess。
不然，就算遍历，怎么知道这个句柄是我要的那个句柄呢？
[/Quote]

可以知道呀，先判断句柄类型是FileObject，然后判断ObjectName是不是等于你的驱动设备就行了\\Device\\xxx

[xixiaoliu]

[Quote=引用 7 楼 starsunyzl 的回复:]
可以知道呀，先判断句柄类型是FileObject，然后判断ObjectName是不是等于你的驱动设备就行了\\Device\\xxx
[/Quote]

哦，这样子啊。。。不过看起来遍历句柄表似乎还是不太直观。。。
算了，看来不做成过滤驱动好了

[xixiaoliu]

[Quote=引用 5 楼 tr0j4n 的回复:]
你这个是磁盘过滤驱动？
[/Quote]

我比较想做成文件系统过滤驱动

[StarsunYzL]

不知道有啥办法，不过非得在IRP_MJ_CREATE时获取吗？Ring3调用CreateFile成功后再把HANDLE通过DeviceIoControl传到驱动不行么~

[xixiaoliu]

虽然这样可以，但是这样应用程序就需要做这样一个特定的动作了。

我想写过滤驱动，在 Create 完成后应用程序得到 HANDLE 前对 HANDLE 进行一些操作，并且在任何（或指定的）应用程序中都能起作用。而不是自己编写特定的应用程序。

[StarsunYzL]

我觉得还是先确定一下返回给Ring3的HANDLE是不是在IRP_MJ_CREATE例程被调用之前就已经创建好了的，如果是在之后才创建的，那估计就不好弄了。如果是在之前，遍历当前进程的句柄表（PsGetCurrentProcess()->ObjectTable），然后判断句柄类型，可能能得到这个句柄，不过这些都是没有文档的东西，估计也不大好弄，其它更简单的方法等后面的高手来解答咯。

[xixiaoliu]

我就是想拿到句柄之后查句柄表改 GrantedAccess。
不然，就算遍历，怎么知道这个句柄是我要的那个句柄呢？