基本思路其实不复杂，sfilter先创建一个control device object，用于接受应用程序的控制，然后创建多个device object，绑定到文件系统驱动的device object上（譬如NTFS，FAT，CDFS，等等），这里要注意不要绑到文件系统识别器（file system recognizer）上，它是用来加载真正的文件系统驱动程序的。
绑定完文件系统驱动的device object后，sfilter就可以收到发给各个文件系统驱动程序的irp了，这样你可以在windows要求文件系统装配各个卷的时候获得消息，然后你就可以得到文件系统为各个卷所创建的device object，然后再创建device object，绑定到这些volumn object上，下面的工作就是用你的FiDO过滤发往各个卷的irp，取得文件名称及其操作，进行判断，如果是对敏感文件的操作，fail掉该irp，这样就可以了。
第一步：创建CDO，这是在DriverEntry里：
NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING pRegistryPath)
{
……
// Create the Control Device Object(CDO). This object represents this
// driver. Note that it does not have a device extension.
RtlInitUnicodeString(&wstrName, L"//FileSystem//Filters//SFilter");
ntStatus = IoCreateDevice(pDriverObject,
0, //has no device extension
&wstrName,
FILE_DEVICE_DISK_FILE_SYSTEM,
FILE_DEVICE_SECURE_OPEN,
FALSE,
&gSFilterControlDeviceObject);
……
}
第二步，绑定各个文件系统的DO，这是在SfAttachToFileSystemDevice里完成的：
（这里有一个小tips，就是windows提供了一个函数IoRegisterFsRegistrationChange，用来注册文件系统的通知，这样当新的文件系统驱动程序load进来的时候你可以得到通知，有机会去绑定它，俺们不放过任何一个文件系统哈哈）
NTSTATUS SfAttachToFileSystemDevice(IN PDEVICE_OBJECT DeviceObject, IN PUNICODE_STRING DeviceName)
{
……
// We want to attach to this file system. Create a new device object we can attach with.
ntStatus = IoCreateDevice(gSFilterDriverObject,
sizeof(SFILTER_DEVICE_EXTENSION),
NULL,
DeviceObject->DeviceType,
0,
FALSE,
&newDeviceObject);
if(!NT_SUCCESS(ntStatus))
{
return ntStatus;
}
……
// Do the attachment
devExt = newDeviceObject->DeviceExtension;
ntStatus = SfAttachDeviceToDeviceStack(newDeviceObject,
DeviceObject,
&devExt->AttachedToDeviceObject);
if(!NT_SUCCESS(ntStatus))
{
goto ErrorCleanupDevice;
}
……
}
第三步：绑定完了文件系统，下面就是坐等irp上门报道了，因为是文件系统，所以我们只对IRP_MJ_FILE_SYSTEM_CONTROL消息感兴趣，对它的处理在SfFsControl里进行：
NTSTATUS SfFsControl(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
PIO_STACK_LOCATION irpSp = IoGetCurrentIrpStackLocation(Irp);
PAGED_CODE();
// Sfilter doesn't allow handles to its control device object to be created,
// therefore, no other operation should be able to come through.
ASSERT(!IS_MY_CONTROL_DEVICE_OBJECT(DeviceObject));
ASSERT(IS_MY_DEVICE_OBJECT(DeviceObject));
// Process the minor function code.
switch(irpSp->MinorFunction)
{
case IRP_MN_MOUNT_VOLUME:
return SfFsControlMountVolume(DeviceObject, Irp); //收到装配卷的请求
case IRP_MN_LOAD_FILE_SYSTEM:
return SfFsControlLoadFileSystem(DeviceObject, Irp);
case IRP_MN_USER_FS_REQUEST:
{
switch(irpSp->Parameters.FileSystemControl.FsControlCode)
{
case FSCTL_DISMOUNT_VOLUME:
{
PSFILTER_DEVICE_EXTENSION devExt = DeviceObject->DeviceExtension;
SF_LOG_PRINT(SFDEBUG_DISPLAY_ATTACHMENT_NAMES,
("SFilter!SfFsControl: Dismounting volume %p /"%wZ/"/n",
devExt->AttachedToDeviceObject,
&devExt->DeviceName));
break;
}
}
break;
}
}
// Pass all other file system control requests through.
IoSkipCurrentIrpStackLocation(Irp);
return IoCallDriver(((PSFILTER_DEVICE_EXTENSION)DeviceObject->DeviceExtension)->AttachedToDeviceObject, Irp);
}
最后一步就是挂接文件系统所装配的所有卷了，这里有两种，一是sfilter挂接到文件系统上去的时候，文件系统已经装配好的卷，还有就是之后装配的卷。后者我们可以在SfFsControlMountVolume里轻松搞定，前者就需要主动去枚举了，这个用SfEnumerateFileSystemVolumes来完成。就不贴代码了，sfilter里有，可以自己找来看。