Как NTVDM пишет в файл?

[frozen]

Помоги решить проблему. Необходимо отследить запись на диск файла из досовской программы и проанализировать этот файл. Написал драйвер, поставил хук на ZwWriteFile. Запись через эту функцию не проходит, т.е. файл создается обычным ZwCreateFile, закрывается ZwClose, но пишется через что-то другое. Что это может быть за функция?
http://www.wasm.ru/forum//index.php?action=vthread&forum=4&topic=7349&page=-1

[Серж]

frozen, NtWriteFile

[maaaaad]

idiot

[Серж]

maaaaad, а жалко, что виртуально нельзя дать в морду.

[SlavaI]

В юзер моде по моему нет других ф-ций, только (Zw)NtWriteFile .  
Другое дело если ты в кернел моде хук поставид в таблице ф-ций, но и там только ZwWriteFile. Как вариант- проверь хук реально встал. На крайняк можно перехватить IRP_MJ_WRITE и FastIoWrite прямо на драйверах файловых систем.

[frozen]

Хук встал реально, (в таблице функций). Но, как я уже написал, запись не проходит через NtWriteFile.
Пришлось действительно перехватывать IRP. Просто интересно, что это за функция.
Кстати, я написал на Паскле прогу, которая создает файл и записывает в него строчу. Так вот, в ней тоже запись не проходит через NtWriteFile. Видимо, вся NTVDM так пишет.
Еще вопрос, как отследить момент монтирования файловой системы флоппи дисковода? Надо успеть приаттачится к устройству, до того как на него будет послан IRP?

[SlavaI]

 как отследить момент монтирования файловой системы флоппи дисковода

IoRegisterFsRegistrationChange

[ILIS]

NtVdmControl