Где IRP_MJ_CREATE

[zaynyatyi]

Доброго времени суток!

Подскажите... насколько я понял то при каждом вызове IRP_MJ_READ и IRP_MJ_WRITE должен быть вызов IRP_MJ_CREATE.

А через мой драйвер фильтр IRP_MJ_CREATE вообще не проскакивает (его нет ни в DispatchAny, нет и в случае регистрации отдельной функции для вызова).

Откуда брать имена обрабатываемых файлов...

Заранее спасибо

[Ochkarik]

не при каждом.
IRP_MJ_CREATE отсылается когда кто то открывает хендл вашего устройства. будь то CreateFile или еще как...
после этого могут сыпаться  IRP_MJ_READ и IRP_MJ_WRITE.
если вы гворите о драйвере-фильтре диска. то тема имен файлов уже поднималась. воспользуйтесь поиском.

[zaynyatyi]

c IRP_MJ_CREATE разобрался (подключался не к VOLUME, а к DISK)
Но вот по поводу имен файлов всё таки вопрос...
прописываю в обработчике IRP_MJ_CREATE

Код:

PIO_STACK_LOCATION stack = IoGetCurrentIrpStackLocation(Irp);
PFILE_OBJECT pfo = stack->FileObject;
ANSI_STRING strA;
RtlUnicodeStringToAnsiString(&strA, &(pfo->FileName), TRUE);

KdPrint((DRIVERNAME " - filename %s length %d unicode length %d\n", strA.Buffer, strA.Length, pfo->FileName.Length));
RtlFreeAnsiString(&strA);

filename пустая строка и обе длинны равны нулю. Причем всегда
Если тоже самое делаю в обработчике IRP_MJ_WRITE - то вылетает синий экран

Сделал всё согласно постам которые нашел на форуме.
Может завалялся где нибудь исходник sfilter? или там линкуется какая то библиотека для работы с файлами из драйвера?

[Ochkarik]

при IRP_MJ_CREATE возможно эти поля еще не инициализированы... не уверен, надо читать.
почему вылетает в IRP_MJ_WRITE - указатель сначала проверьте перед RtlUnicodeStringToAnsiString()
кроме того в той же ветке - что то про

Код:

	PFILE_OBJECT pFileObject = Irp->Tail.Overlay.OriginalFileObject;

	if (NULL == pFileObject)
	{
		pFileObject = irpSp->FileObject;
	}

	if (NULL == pFileObject && (Irp->Flags & IRP_ASSOCIATED_IRP) && (Irp->AssociatedIrp.MasterIrp))
	{
		pFileObject = Irp->AssociatedIrp.MasterIrp->Tail.Overlay.OriginalFileObject;
	}

написано...
ща еще посмотрю

[zaynyatyi]

Это я тоже пробовал
FileObject не NULL, а вот FileName.Buffer == NULL.

[Ochkarik]

Irp->Tail.Overlay.OriginalFileObject - этот не NULL?
или irpSp->FileObject - это?)

[zaynyatyi]

Irp->Tail.Overlay.OriginalFileObject не NULL так как в

Код:

if (NULL == pFileObject)
{
	pFileObject = irpSp->FileObject;
}

не заходит, но и irpSp->FileObject тоже не NULL (перебрал уже все возможные варианты)

[Ochkarik]

Irp->Tail.Overlay.OriginalFileObject - внутри что есть?

[zaynyatyi]

FileName пуст, RelatedFileObject тоже

[Ochkarik]

хм. еще вопрос... а когда вы его проверяете? там же может не один MJ_CREATE сваливаться?

[zaynyatyi]

один на каждую пачку IRP_MJ_READ, IRP_MJ_WRITE, etc

[Ochkarik]

флаг IRP_ASSOCIATED_IRP есть? Irp->AssociatedIrp.MasterIrp->Tail.Overlay.OriginalFileObject - там то же самое??

в стеке над вашим драйвером никого не стоит?

[zaynyatyi]

Над драйвером выше никого не стоит. Сейчас пора бежать попробую разобрать завтра через IRP_ASSOCIATED_IRP