Как отследить загрузку драйверов

[l_sunny]

Стоит задача определить время загрузки Windows, в том числе всех драйверов.
Ставлю загрузку своего драйвера самым первым (проверяю этот факт через программу LoadOrder [http://technet.microsoft.com/en-us/sysinternals/bb897416]),
потом пробую перехватить загрузку драйверов через CallBack функцию установленную через PsSetLoadImageNotifyRoutine.
Проблема в том что в перехватчик, установленный через PsSetLoadImageNotifyRoutine попадают только драйвера с флагом загрузки =1(SERVICE_SYSTEM_START),
а с флагом 0(SERVICE_BOOT_START) не отлавливаются!
Хотелось бы перехватить запуск всех драйверов, начиная с sptd.sys и acpi.sys, может есть ещё какие-нибудь способы?

P.S. Перехват NtLoadDriver через SST нежелателен, если вообще возможен на первоначальном этапе загрузки ОС.

[Ochkarik]

ну... во-первых есть готовые решения: bootvis (пользовался недавно - отличная вещь, и выполняет все что вам надо). в любом случае - попробуйте запустить)
а во вторых... может быть через какой нибудь готовый WMI это можно сделать?

попробуйте тут покопать...
Windows Hardware Developer Center > Learn > Systems > Performance

[l_sunny]

bootvis я тоже смотрел, смысл в том, чтобы сделать самому. Только непонятно как он работает, драйвера в нём вроде как нет, но DeviceIoControl пользуется, видимо он использует что-то уже встроенное в систему.

[Ochkarik]

l_sunny, bootvis помоему кроме времени загрузки еще  и продолжительность запуска как-то оценивал?
навряд ли это можно сделать только через отслеживание загрузки Image драйвера.

драйвер может в экзешник быть встроен. все утилиты от OCR так распространяются.
я бы посмотрел что они там вызывают. какие функции...
если есть встроенный драйвер - можно попытаться его образ записать и посмотреть какие функции он вызывает.

PSвозможно они там тупо время последнего доступа к файлу смотрят?)

[x64]

...может есть ещё какие-нибудь способы?

Попробуй FsRtlRegisterFileSystemFilterCallbacks().
Не уверен, что это будет работать на 100%, но стоит попробовать.
Колбек называется PreAcquireForSectionSynchronization, и не забудь написать каркас файлового фильтра.

Перехват NtLoadDriver через SST нежелателен, если вообще возможен на первоначальном этапе загрузки ОС.

Возможно, но бесполезно, т.к. к этому моменту файлы-образы boot-драйверов уже загружены в память и поставлены в очередь на инициализацию.

[l_sunny]

Колбек называется PreAcquireForSectionSynchronization, и не забудь написать каркас файлового фильтра.

Не делал раньше фильтры файловых систем. Попробовал сначала PreAcquireForSectionSynchronization запустить без фильтра,
функция выполнилась успешно,  но колбек не вызывается.
Видимо без фильтра не обойтись. Только каркас какого фильтра нужно сделать,
того который цепляется через IoAttachDeviceToDeviceStack (и к чему его тогда приаттачивать?)
или который регистрируется через FltRegisterFilter() как минифильтр?

[x64]

Видимо без фильтра не обойтись.

Да.

Только каркас какого фильтра нужно сделать,
того который цепляется через IoAttachDeviceToDeviceStack (и к чему его тогда приаттачивать?)
или который регистрируется через FltRegisterFilter() как минифильтр?

Если фильтр будет работать только на Windows XP SP2 и выше, то пиши сразу минифильтр, это проще. Сэмплы минифильтров есть в WDK в папке src\filesys\miniFilter. По поводу legacy-фильтров немного информации есть у меня в блоге здесь, сэмплы есть в более ранних WDK, например, в Windows Server 2003 DDK, скачать здесь.

[l_sunny]

Спасибо, буду разбираться. Только наверное минифильтры здесь не подойдут, ведь пока fltmgr.sys не загрузится их не подключить.

[x64]

Спасибо, буду разбираться. Только наверное минифильтры здесь не подойдут, ведь пока fltmgr.sys не загрузится их не подключить.

Верно, хотя он грузится достаточно рано, так что не знаю, попробуй. Вообще, с legacy-фильтрами та же проблема может быть, т.е. пока драйвер файловой системы не обозначил своё присутствие, ни хрена ты не узнаешь об открываемых/проецируемых файлах. Ну я уже сказал - пробуй.