c - 卷过滤器驱动程序不监视某些系统文件

Question

我正在开发一个上卷过滤器驱动程序，它监视一个扇区的写入/修改，然后在我自己的位图中设置该扇区的各个位。我正在使用 WDK 中提供的 diskperf 示例作为基础。

大多数情况下，一个扇区上的所有写入/修改都会受到监视，并设置相应的位。我的问题是我的过滤器驱动程序无法监控某些扇区，例如:$MFT、$MFTMirr 等

但它能够跟踪 $LogFile 的扇区。谁能告诉我需要设置什么样的属性或标志来处理所有类型的写入 IO，以便我的过滤器驱动程序可以跟踪所有扇区，包括 $MFT 等系统文件扇区和此类文件？

我们将不胜感激任何形式的帮助。提前致谢。

Answer 1

如果您的驱动程序是卷过滤器驱动程序，它应该获得该卷上的所有读/写。但是为 $Mft 或 $MftMirror 写入可能不会通过卷驱动程序。 NTFS 驱动程序可能通过私有(private) api 直接写入分区/磁盘，跳过卷堆栈。因此，您不会在驱动程序中看到写入。