U盘过滤驱动

2019-01-11 02:29:02 506 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Windows驱动开发：FsFilter FsFilter是Windows操作系统提供的一个驱动框架，它允许开发者参与到文件系统输入输出（I/O）操作过程中，通过在I/O栈中插入过滤器驱动，来捕捉和分析文件系统所进行的I/O操作。[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-whpH3nUe-1684511306274)(null)]当文件系统操作触发时，BaseFileSystem驱动程序将构造一个I/O栈数据结构，FsFilter驱动通过插入自己的驱动对象到I/O栈中来拦截I/O操作。阅读详情

小弟正在做一个U盘过滤驱动。
参考的是《Windows内核安全与驱动开发》一书中的DP（D盘还原驱动）驱动。是一个卷设备过滤驱动。
读取数据是时解密，写入数据时加密。
现在遇到一个问题：
在win7系统上，格式化为fat系统，则会导致数据被破坏。提示信息是“位置不可用无法访问E:\xxx\xx 文件或目录损坏切无法读取”文件夹打不开，exe无法运行。在xp系统上没问题。并且ntfs文件系统也没有这个问题。

代码：
static NTSTATUS ReadIrpComp(
PDEVICE_OBJECT dev,
PIRP Irp,
PVOID context
)
{
NTSTATUS ntStatus = STATUS_SUCCESS;
//irp stack指针
PIO_STACK_LOCATION Irpsp = NULL;
//irp中包括的数据地址
PBYTE sysBuf = NULL;
PBYTE orgBuf = NULL;
//irp中的数据长度
ULONG length = 0;
//irp要处理的偏移量
LARGE_INTEGER offset = { 0 };

//将传入的上下文参数转化为一个内核事件对象
//PKEVENT rEvent = (PKEVENT) context;

if (Irp->PendingReturned)
{
IoMarkIrpPending(Irp);
}

Irpsp = IoGetCurrentIrpStackLocation(Irp);

ntStatus = Irp->IoStatus.Status;
if (!NT_SUCCESS(ntStatus))
{
ntStatus = Irp->IoStatus.Status;
}

if (NULL == Irp->MdlAddress)
sysBuf = (PBYTE)Irp->UserBuffer;
else
sysBuf = (PBYTE)MmGetSystemAddressForMdlSafe(Irp->MdlAddress, NormalPagePriority);

offset = Irpsp->Parameters.Read.ByteOffset;
length = Irpsp->Parameters.Read.Length;

//申请内存
orgBuf = ExAllocatePool(NonPagedPool, length);
RtlZeroBytes(orgBuf, length);

XORtest(sysBuf, length, orgBuf);
RtlCopyMemory(sysBuf, orgBuf, length);

ExFreePool(orgBuf);

//设置这个对象，唤醒等待它的进程
//KeSetEvent(rEvent, IO_NO_INCREMENT, FALSE);
return STATUS_CONTINUE_COMPLETION;
}

...全文