ZwWriteFile в KMD

[SergeS]

Стоит задача в драйвере Filter вести log Read/Write и при этом сохранять всё из Kernel Mode, без помощи User Mode программы.
Распределение Read/Write я получаю в IRQL==DISPATCH_LEVEL,
копирую всё в буфер, а вот чтобы сохранить буфер при достаточном накоплении мне нужно использовать ZwWriteFile, которая должна вызываться при IRQL==PASSIVE_LEVEL.
Может кто с подобным сталкивался и сможет подсказать оптимальное решение.

[Amun Shu]

Хм... DPC рюхай - он для этого и был придуман если не ошибаюсь...

[SergeS]

Хм... DPC рюхай - он для этого и был придуман если не ошибаюсь...

Я бы порюхал, но если я не ошибаюсь DPC процедуры вызываются когда IRQL падает до DISPATCH_LEVEL, а не до PASSIVE_LEVEL.

[maaaaaad]

поток на PASSIVE, и синхронизация эвентом (к shared ring buffer логгера) DPC и потока на PASSIVE, я уже раза 3 видел что так действительно делают.


maaaad

[maaaaaad]

и никак иначе похоже это больше не решается

[SergeS]

поток на PASSIVE, и синхронизация эвентом (к shared ring buffer логгера) DPC и потока на PASSIVE, я уже раза 3 видел что так действительно делают.


maaaad

Thanks, может так и сделаю, а ещё попробую IoQueueWorkItem. Я так понял, что этой функцией можно поставить в очередь процедуры, которые нужно выполнить в PASSIVE_LEVEL. Получается что-то на подобие DPC. Поскольку Callback routine будет вызвана в отдельном системном контексте, MSDN пишет: "Drivers must not permanently reserve a work item for the driver’s use. Work items are designed for operations that complete quickly".  Ну если quickly тогда я предполагаю, что вызывать ZwWriteFile нужно асинхронно.
Но вот интересно как ZwWriteFile работает,
 если:
1. копирует мой буфер в свой
2. возвращает мне управление
3. сохраняет свой буфер в файл.
Вот так вроде бы и нормально.

Но не может ли быть, что она:
1. берет указатель на мой буфер
2. возвращает мне управление
3. сохраняет мой буфер в файл.
При таком раскладе асинхронное сохранение может породить множество проблем.

Кто знает каким способом работает ZwWriteFile в асинхронном режиме?

[TarasCo]

1)
Нормальным ходом будут создание своего потока, занятого записью лога на диск.  Также понадобитмся некоторый контейнер для данных ("труба") для обмена между процедурой, выполняемой на DISPATHC_LEVEL и вашим потоком. Контейнер придется защитить (с помощью спинлоков).  Использование своего потока по сравнению с системным рабочим кажется мне более предпочтительным.

2)Как работает ZwWriteFile
Все зависит от флагов, с которыми был открыт файл - драйвер может использовать промежуточный буфер, может не использовать (см. FILE_NO_INTERMEDIATE_BUFFERING). В любом случае, ничего делать с буфером до окончания операции  нельзя (неважно синхронно или асинхронно она выполняется). В этой связи, опять же отмечу преимущество отдельного потока - используйте в нем синхронную запись и не партесь

[SergeS]

Спасибо за исчерпывающий ответ.
Я уже сделал с использованием системного рабочего потока,
вроде бы всё работает хорошо.
Но если Вы считаете, что использование своего потока более предпочтительно, я сделаю второй вариант драйвера, как Вы советовали.