请问怎样捕获WINDOWS的文件拷贝事件？

[natrium11]

用ICopyHook可以捕获文件夹操作事件，文件呢？哪位大侠知道？多谢！！！

[qydc]

在vxd中有文件hook（IFSMgr_InstallFileSystemApiHook），可以捕捉所有的文件读写操作

[boyren]

自己做一个API HOOK 吧：）

[natrium11]

不是吧？要写VXD？请问有没有简单一些的方法啊？多谢各位！

[natrium11]

我只要文件拷贝事件，如你把C:\WINDOWS 拷贝到D盘之类。

[natrium11]

to boyren：
Windows的explorer中copy，paste也是调用copyfile的是吧，那cut呢，是不是先copyfile再delete？

[Phourm]

不是
如果是在同一个驱动器下的move系统只改文件分驱表而没有文件数据的操作
不然就是copy+delete

[natrium11]

那是直接做还是调用movefile呢？如果是前者不就用不成API HOOK 了吗？

[natrium11]

而且，光用API HOOK 好象也不行，我是想用自己的代码来实现文件拷贝，这样可提供一些附加功能，如暂停。所以我不但要得到消息，还要取消掉WINDOWS的操作（如ICOPYHOOK中可以用返回值实现），大家看怎样实现？

加分了！

[thomas269]

也不是完全不行, 但要用一些只支援Win95/98的方法, 就是台灣的那個CIH的方法(但改良成WIN32API版本, 只用取RING0部分)
只要你知道當CopyFile時Windows called那個function, 就用LoadLibrary載用它的DLL, 再透過LoadLibrary返回的HMODULE來尋找CopyFile的Import Description, 把它的相對偏移量改變, 那麼以後call CopyFile時就變成Call你的function啦

怎樣改相對偏移量, 請參考:http://www.csdn.net/expert/topic/373/373655.shtm

但記得, 你的Hook Function必需放在DLL中.

那又如何改變相對偏移量, 那就要進入RING0了.

[natrium11]

但是那只是告诉我，我并不能取消掉WINDOWS的操作啊！

[natrium11]

但是我不能取消掉它的操作啊！

[natrium11]

唉，看来是不行了，只支持9X就没多大意义了。
不过也是，既然SHELL API不支持，也确实很难办。
给分吧，我只有另想办法了。

[horsehorse]

SDK本身提供了完善的文件操作监视功能：
FindFirstChangeNotification
FindNextChangeNotification
FindCloseChangeNotification
如果已经给分就算了，否则还可以详细点。

[natrium11]

SHIT，老是服务器错，分都不让我给！