请教内核高手Tr0j4n，如何在驱动下截取到有新的盘符加入？

[C_S_DN_]

RT
用磁盘过滤？完全不对。我要监视有新磁盘的加入，就执行我的一些代码，在驱动下该怎么做呢？
能监视到各种类型的磁盘加入吗？不局限于USB设备

对Tr0j4n的内核实力有所耳闻，但未曾见过出招。还请不吝赐教

[C_S_DN_]

学习驱动2个多月，还未曾出成果，每思及此，伤心欲绝

[MoXiaoRab]

文件系统过滤驱动，绑定好FileSystem之后，写一个回调函数，在其中绑定FS CDO。IoRegisterFsRegistrationChange注册监视回调。
就这么简单

[C_S_DN_]

能稍微解释下原理吗？

[MoXiaoRab]

不知道你有没有看过SFilter的例子，里面其实已经说得很清楚了

当新的设备生成的时候，FS CDO会得到一个IRP_MJ_FILE_SYSTEM_CONTROL，小IRP为IRP_MN_MOUNT。
其实主要就是那个注册回调的API比较关键，没什么技术含量的

[MoXiaoRab]

这玩意没什么说头，《Windows 文件系统过滤驱动开发教程》里面都有讲过，SFilter也是现成的源代码。你自己去看看吧

[C_S_DN_]

高手讲话就是简略，我听得一头雾水

[MoXiaoRab]

额。。。回调函数就这样嘛

VOID
SfFsNotification (
IN PDEVICE_OBJECT DeviceObject,
IN BOOLEAN FsActive)
{
UNICODE_STRING name;
WCHAR nameBuffer[MAX_DEVNAME_LENGTH];
PAGED_CODE();
RtlInitEmptyUnicodeString( &name, nameBuffer, sizeof(nameBuffer) );
SfGetObjectName( DeviceObject, &name );
SF_LOG_PRINT( SFDEBUG_DISPLAY_ATTACHMENT_NAMES,
("SFilter!SfFsNotification: %s %p \"%wZ\" (%s)\n",
(FsActive) ? "Activating file system " : "Deactivating file system",
DeviceObject,
&name,
GET_DEVICE_TYPE_NAME(DeviceObject->DeviceType)) );
if (FsActive) {
SfAttachToFileSystemDevice( DeviceObject, &name );
} else {
SfDetachFromFileSystemDevice( DeviceObject );
}
}

文件系统过滤驱动我想你会写的咯，FastIo怎么写随你高兴了

调用注册就这样

status = IoRegisterFsRegistrationChange( DriverObject, SfFsNotification );

[C_S_DN_]

貌似很多函数和宏很陌生，不是API....GET_DEVICE_TYPE_NAME是什么，SfAttachToFileSystemDevice又是什么啊？

[MoXiaoRab]

杯具，SFilter里面都有的，你Google下都一堆。怎么这么懒~

[fangchao918628]

嘿嘿，来观摩！！

[fangchao918628]

顺便问下IoRegisterFsRegistrationChange 这是说当系统中有任何文件系统被激活和注销时才调用,
新的磁盘什么也没有，也会调用回调

[C_S_DN_]

搞定了，谢谢