Проблема с обнаружением операции копирования и перемещения файлов

[marat_]

Всем привет. Есть такая задача: отследить копирование и перемещение файлов. Поставил заглушки на ntopenfile, ntcreatefile. Отслеживаю открытие и создание файлов с разными флагами, но связать операции не получается. Есть идеи?

[marat_]

задачу скорректировал. для файла хранится набор различных (не системных, а определяемых пользователем) атрибутов. при копировании или перемещении этого файла необходимо все его атрибуты применить к новому. появилась идея отслеживать по содержимому вновь создающихся файлов (допустим считать контрольную сумму), при совпадении с нашим зарегистрированным подкачать атрибуты. но при активной загрузке системы (многочисленных операциях копирования\перемещения) получается полный ahtung! ранее была идея атрибуты свои хранить вместе с системными (переменная типа ULONG, где хранятся флаги скрытый\архивный и т.д.), но там уже нет "свободного" места. слышал, что в ntfs есть расширение атрибутов, но инфы не нашёл. сижу, думаю.

P.S. если у кого-нибудь есть книга NT File System Internals Rageev Negar, дайте ссылку, пожалуйста, а то уже несколько скачал, а там скан плохой, кусков текста на страницах не хватает. буду очень признателен.

[Ochkarik]

а может быть типа ReadDirectoryChangesW
и соответственно для нее NativeApi: ZwNotifyChangeDirectoryFile ?

PS
расширенные атрибуты - может ZwSetEaFile/ZwQueryEaFile? FILE_FULL_EA_INFORMATION? и т.п.

[marat_]

с directorynotifychange как раз и пробовал + findfirstchangenotification. событий слишком много, пока пройдёт проверка, общение с user-приложением - система вешается. а по EA-атрибутам гляну

[Chaa]

В NTFS в файле может храниться несколько потоков данных. Т.е. можно для ваших аттрибутов организовать отдельный поток данных в файле. Тогда атрибуты всегда будут в файле, если он будет перемещаться внутри NTFS-тома или между NTFS-томами. Также WinRAR поддерживает архивирование всех потоков в файле.

Насколько я знаю, это используется, например, в Kaspersky Antivirus, чтобы не проверять много раз один и тот же файл, если он не изменялся.

Код:

CreateFile("myfile.dat:myattributes", ...);

Здесь myfile.dat это имя файла, а myattributes имя вашего потока данных в файле.

[marat_]

уже скорее всего не в тему, т.к. из-за разногласий с уже имеющимся ПО решено подняться на уровень пользователя и оттуда производить действия над файлами. есть ли аналоги у seteafile/queryeafile в юзермоде? я не нашёл. по потокам смотрю, но у меня не компилится, требует какую-то dll, но название выводит непонятно (с вопросами). ищу инфу дальше. а здесь тему уже, наверное, можно закрывать. всем спасибо.

[Chaa]

Кратко про потоки можно посмотреть в MSDN в статье How To Use NTFS Alternate Data Streams http://support.microsoft.com/kb/105763.

Там же можно скачать программу Streams, которая позволяет посмотерть потоки в файлах http://www.microsoft.com/technet/sysinternals/FileAndDisk/Streams.mspx.

Еще можно попробовать из командной строки:

Код:

echo "Test" > "file.txt"
echo "Test with stream" > "file.txt:stream"

more < "file.txt"
more < "file.txt:stream"

[Ochkarik]

гы, прикольно)))

[marat_]

с потоками разобрался. собственный баг в настройках проекта отловил. всё работает, но только вопрос появился: может ли createfile при открытии потока уже занятого файла дать отказ? я думал, что нет, а система мне несколько раз отказывала в доступе на поток. может там какие-то хитрые флаги надо задавать?

[Chaa]

Насколько я понимаю, права доступа и блокировки одни для всех потоков в файле. Поэтому система может отказать в доступе к потоку.
Чтобы два приложения могли работать с одним файлом, надо в них аккуратно указывать параметры dwDesiredAccess и dwShareMode в вызове CreateFile.

Например, если оба приложения откроют файл с такими параметрами, то они оба смогут писать и читать этот файл.

Код:

CreateFile("myfile.dat:myattributes", GENERIC_READ | GENERIC_WRITE,
    FILE_SHARE_READ | FILE_SHARE_WRITE, ...);

Рекомендую еще почитать статью IPropertySetStorage-NTFS File System Implementation http://msdn2.microsoft.com/en-us/library/aa363858.aspx. Там немного и про блокировки написано. Если COM нравится больше, чем Win32 API, то лучше пользоваться IPropertySetStorage. Посмотреть можно в Проводнике, правой кнопкой на файле Word-а или Excel-я, выбрать Свойства, закладка Особые.

[marat_]

ага. понял. в ранних статьях по ntfs было разделение: права на файл отдельно, на потоки - отдельно... жаль... со своим приложением я разделяю права, а получить данные с потока, когда файл открыт другой программой иногда не получается. будем пробовать дальше...