minifilter 驱动开发总结
对于初次涉及驱动开发的朋友，首先说一下下开发前的心理建设，开发的耗时一般都很长，过程很繁琐，成就感真的就只有完成整个驱动后的那一会快感。着重说明这是一件单身汉干的事，不要老是想着对象，否则及其容易出问题，找不出来的那种，开玩笑哈，只是说驱动开发过程中面向过程的思想比较重。
好了，说正经的，单刀直入就从工程创建说起，零碎的东西就三言两语带过哈！
一般安装vs的时候，都不会去吧驱动模块相关的东西安装上，所以先看看你的vs安装模板没哈；
然后就是一顿操作了，新建项目->windows driver->filter driver:filesystem mini-filter...
工程创建成功后，会有3个文件：inf安装文件、版本资源文件和初始化的代码文件；
进入.c中就可以看到已经有一套简单的模板了，风格跟c语言一样， 后面的开发也几乎就是在这个模板上做。为了方便，还是拆成声明和实现文件比较好。
我这里就使用刚做的加密驱动做示例了。
然后目光就聚焦到
NTSTATUS DriverEntry (_In_ PDRIVER_OBJECT DriverObject,
_In_ PUNICODE_STRING RegistryPath )这个就是驱动的main函数了。
windows 生成的文件中很多东西都是放在全局的，但是很多东西大可不比如此，个人习惯也不喜欢变量放在全局。
所以首先就是把Callbacks 放到了DriverEntry 中，并去掉一些冗余的东西，后面有需要再添加。
Callbacks 就是注册操作回调的，通俗点说，就是要注册了，内核中的一些操作才会响应到注册的函数中。
其他的都可以先不动，然后后面有需要再添加或者修改。
成品如下：
NPAGED_LOOKASIDE_LIST Pre2PostContextList ;
NTSTATUS DriverEntry (_In_ PDRIVER_OBJECT DriverObject,
_In_ PUNICODE_STRING RegistryPath )
{
NTSTATUS status;
UNREFERENCED_PARAMETER( RegistryPath );
CurProcNameInit();
PT_DBG_PRINT( PTDBG_TRACE_ROUTINES,
("czEncDec!DriverEntry: Entered\n") );
ExInitializeNPagedLookasideList( &Pre2PostContextList, NULL, NULL, 0, sizeof( PRE_2_POST_CONTEXT ), 'ppBS', 0 );
const FLT_OPERATION_REGISTRATION fltCallbacks[] =
{
{ IRP_MJ_CREATE, FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO,// 0/*FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO*/,
PreCreate, PostCreate,NULL },
{ IRP_MJ_READ, 0/*FLTFL_OPERATION_REGISTRATION_SKIP_CACHED_IO*/,
PreRead, PostRead },
{IRP_MJ_WRITE,0/*FLTFL_OPERATION_REGISTRATION_SKIP_CACHED_IO*/, // 指定不应为缓存的I / O操作调用其预操作和后操作回调例程
PreWrite, PostWrite}, // 预操作 // 后操作
{ IRP_MJ_QUERY_INFORMATION, 0,
NULL, PostQueryInfo },
{ IRP_MJ_SET_INFORMATION, 0,
PreSetInfo, NULL },
{ IRP_MJ_CLOSE, FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO,
PreClose, NULL },
{ IRP_MJ_OPERATION_END }
};
CONST FLT_CONTEXT_REGISTRATION Context_Array[] = {
{ FLT_STREAM_CONTEXT, 0, CleanupContext, STREAM_CONTEXT_SIZE, STREAM_CONTEXT_TAG },
{ FLT_CONTEXT_END }
};
CONST FLT_REGISTRATION FilterRegistration = {
sizeof( FLT_REGISTRATION ), // Size
FLT_REGISTRATION_VERSION, // Version
0, // Flags
Context_Array, // Context
fltCallbacks, // Operation callbacks
czEncDecUnload, // MiniFilterUnload
czEncDecInstanceSetup, // InstanceSetup
czEncDecInstanceQueryTeardown, // InstanceQueryTeardown
czEncDecInstanceTeardownStart, // InstanceTeardownStart
czEncDecInstanceTeardownComplete, // InstanceTeardownComplete
NULL, // GenerateFileName
NULL, // GenerateDestinationFileName
NULL // NormalizeNameComponent
};
gud_init( DriverObject );
status = CreateCommunicationPort( FilterRegistration );
if ( !NT_SUCCESS( status ) ) {
DbgPrint( "FltStartFiltering failed (%08x)", status );
FltUnregisterFilter( gud->gFilterHandle );
return status;
}
return status;
}这里面有两个东西Context_Array和FilterRegistration。
Context_Array 是为了让打开的文件的流操作权限一致，毕竟是在弄加密驱动嘛，文件操作太多。
FilterRegistration注册关于驱动的信息。
然后吧，就是对应去处理preRead函数内部的响应操作了。
暂时写这么多吧，irp中的东西极多，各个驱动的要求区别也大，没想好怎么具体说明，想好了哆再写下一篇！~