在过滤驱动程序创建IRP查询文件信息

在开发Windows下文件系统过滤驱动程序时，我们经常需要先查询一下文件的属性信息，为了实现这个小目标，可以调用Windows Native API函数ZwQueryInformationFile并提供希望查询的文件信息类的名字及结构即可。

不过如果我们在驱动程序当中自己处理信息查询请求，可以避免IRP重入的问题。

1.自己创建文件信息查询IRPNTSTA TUSQueryFileInformation(PDEVICE_OBJECT DeviceObject,PFILE_OBJECT FileObject,FILE_INFORMA TION_CLASS FileInformationClass,PVOID FileInfo,ULONG FileInfoLength){PIRP Irp;KEVENT event;IO_STA TUS_BLOCK IoStatusBlock;PIO_STACK_LOCA TION IoStackLocation;//// Initialize the event//KeInitializeEvent(&event, NotificationEvent, FALSE);//// 分配一个IRP，用目标设备对象的StackSize作为新创建IRP的堆栈大小，这是// 标准的提供堆栈大小的方法。

//Irp = IoAllocateIrp(DeviceObject->StackSize, FALSE);if (!Irp)return FALSE;//// 设置IRP头的相关参数，由于我们采用IoAllocateIrp创建的IRP，因此很多// 域要自己设置，包括安装输入缓冲区，同步事件以及IRP标志字段，这个字段// 对文件信息查询没有太大的用处，对文件读写十分关键。

//Irp->AssociatedIrp.SystemBuffer = FileInfo;Irp->UserEvent = &event;Irp->UserIosb = &IoStatusBlock;Irp->Tail.Overlay.Thread = PsGetCurrentThread();Irp->Tail.Overlay.OriginalFileObject = FileObject;Irp->RequestorMode = KernelMode;Irp->Flags = 0;//// 设置IRP堆栈位置中的相关参数，最重要的是MajorFunction，它决定了这个// IRP的主要功能，另外Parameters.QueryFile.FileInformationClass定义了// 希望查询哪种文件信息。

//IoStackLocation = IoGetNextIrpStackLocation(Irp);IoStackLocation->MajorFunction = IRP_MJ_QUERY_INFORMA TION;IoStackLocation->DeviceObject = DeviceObject;IoStackLocation->FileObject = FileObject;IoStackLocation->Parameters.QueryFile.Length = FileInfoLength;IoStackLocation->Parameters.QueryFile.FileInformationClass = FileInformationClass;//// 安装IRP完成例程//IoSetCompletionRoutine(Irp, QueryFileInformationCompleted, 0, TRUE, TRUE, TRUE);(void) IoCallDriver(DeviceObject, Irp);//// 等待同步时间返回，我们在IRP的完成例程当中将事件置为信号态//KeWaitForSingleObject(&event, Executive, KernelMode, TRUE, 0);return( NT_SUCCESS( IoStatusBlock.Status ));}NTSTA TUSQueryFileInformationCompleted(PDEVICE_OBJECT DeviceObject,PIRP Irp,PVOID Context){//// Copy the status information back into the "user" IOSB.//*Irp->UserIosb = Irp->IoStatus;if( !NT_SUCCESS(Irp->IoStatus.Status) ) {DbgPrint(("QueryFileInformationCompleted ERROR ON IRP: %x\n", Irp->IoStatus.Status ));}//// 在完成例程中设置同步事件为信号态。

//KeSetEvent(Irp->UserEvent, 0, FALSE);//// 在完成例程里需要自己释放刚刚创建的IRP，因为I/O管理器不会为我们做这个工作//IoFreeIrp(Irp);//// 我们返回STA TUS_MORE_PROCESSING_REQUIRED，就是告诉I/O管理器这个IRP 还有其它// 的进程在访问，请不要将其删除，事实上这个IRP应该由我们自己来释放而不是I/O // 管理器，所以在自己创建的IRP的完成例程当中必须返回这个值。

另外，这个我们不// 能为这个IRP调用IoCompleteRequest。

//return STA TUS_MORE_PROCESSING_REQUIRED;}2.文件基本信息类在IFS中的定义如下：typedef struct _FILE_BASIC_INFORMA TION { // ntddk wdm nthal LARGE_INTEGER CreationTime; // ntddk wdm nthal LARGE_INTEGER LastAccessTime; // ntddk wdm nthal LARGE_INTEGER LastWriteTime; // ntddk wdm nthal LARGE_INTEGER ChangeTime; // ntddk wdm nthal ULONG FileAttributes; // ntddk wdm nthal} FILE_BASIC_INFORMA TION, *PFILE_BASIC_INFORMA TION; // ntddk wdm nthal该结构包含了文件的创建时间以及修改时间等等，另外，文件属性域FileAttributes包含了用来记录该文件的属性，包括是否系统文件、隐藏文件等等，这个字段可能是如下标记的组合：#define FILE_A TTRIBUTE_READONLY0x00000001 // 只读#define FILE_A TTRIBUTE_HIDDEN 0x00000002 // 隐藏#define FILE_A TTRIBUTE_SYSTEM 0x00000004 // 系统#define FILE_A TTRIBUTE_DIRECTORY0x00000010 // 目录#define FILE_A TTRIBUTE_ARCHIVE 0x00000020 // 流#define FILE_A TTRIBUTE_DEVICE 0x00000040 // 设备#define FILE_A TTRIBUTE_NORMAL 0x00000080 // 正常#define FILE_A TTRIBUTE_TEMPORARY0x00000100 // 临时#define FILE_A TTRIBUTE_SPARSE_FILE 0x00000200 // 稀疏文件#define FILE_A TTRIBUTE_REPARSE_POINT 0x00000400 //#define FILE_A TTRIBUTE_COMPRESSED 0x00000800 // 压缩#define FILE_A TTRIBUTE_OFFLINE 0x00001000 //#define FILE_A TTRIBUTE_NOT_CONTENT_INDEXED 0x00002000 //#define FILE_A TTRIBUTE_ENCRYPTED 0x00004000 // 加密，仅NTFS5以后有效#define FILE_A TTRIBUTE_V ALID_FLAGS 0x00007fb7#define FILE_A TTRIBUTE_V ALID_SET_FLAGS 0x000031a7所以我们可以通过测试成功打开的文件的基本信息中的属性字段就能够判断该文件的性质。

函数定义如下：NTSTA TUSQueryFileBasicInformation(PDEVICE_OBJECT DeviceObject,PFILE_OBJECT FileObject,PFILE_BASIC_INFORMA TION FileBasicInfo,ULONG FileInfoLength){return QueryFileInformation(DeviceObject,FileObject,FileBasicInformation,FileBasicInfo,FileInfoLength);}调用实例：FileBasicInfo = ExAllocatePoolWithTag(NonPagedPool, sizeof(FILE_BASIC_INFORMA TION), FIL TER_POOL_FLAG);if(!FileBasicInfo)FreeFullPathNameBuffer(AnsiPathName, fullPathName);ExFreePool(FileCtx);return CompleteRequest(Irp, STA TUS_INSUFFICIENT_RESOURCES, 0); }Status = QueryFileBasicInformation(hookExt->FileSystem,FileObject,FileBasicInfo,sizeof(FILE_BASIC_INFORMA TION));if(!NT_SUCCESS(Status)){ExFreePool(FileBasicInfo);Irp->IoStatus.Status = Status;IoCompleteRequest(Irp, IO_NO_INCREMENT);return Status;}if(FileBasicInfo->FileAttributes & FILE_A TTRIBUTE_SYSTEM){ExFreePool(FileBasicInfo);Irp->IoStatus.Status = STA TUS_SUCCESS;IoCompleteRequest(Irp, IO_NO_INCREMENT);return Status;}if(FileBasicInfo->FileAttributes & FILE_A TTRIBUTE_ENCRYPTED){ExFreePool(FileBasicInfo);Irp->IoStatus.Status = STA TUS_SUCCESS;IoCompleteRequest(Irp, IO_NO_INCREMENT);return Status;}if(FileBasicInfo->FileAttributes & FILE_A TTRIBUTE_DIRECTORY){ExFreePool(FileBasicInfo);Irp->IoStatus.Status = STA TUS_SUCCESS;IoCompleteRequest(Irp, IO_NO_INCREMENT);return Status;}ExFreePool(FileBasicInfo);3.标准文件信息定义如下：typedef struct _FILE_STANDARD_INFORMA TION { // ntddk wdm nthal LARGE_INTEGER AllocationSize; // ntddk wdm nthal LARGE_INTEGER EndOfFile; // ntddk wdm nthal ULONG NumberOfLinks; // ntddk wdm nthal BOOLEAN DeletePending; // ntddk wdm nthal BOOLEAN Directory; // ntddk wdm nthal} FILE_STANDARD_INFORMA TION, *PFILE_STANDARD_INFORMA TION; // ntddk wdm nthalAllocationSize是文件创建时或者文件修改以后文件系统为该文件分配的磁盘空间的大小，这个值一般是物理扇区大小的整数倍，并且比文件的实际大小要大，如果文件的实际大小超过这个值，则文件系统会自动将这个值扩大以满足文件增大的需要。