请教各位大大一个问题，如何在过滤驱动中判断出文件的拷贝动作？

zhang_shuai2005

请教各位大大一个问题，如何在过滤驱动中判断出文件的拷贝动作？ [复制链接]

小弟初学文件过滤驱动开发，看了一些书籍资料，好像　IRP_MJ　中对文件操作的功能号只有ｒｅａｄ和ｗｒｉｔｅ，

那我如何能判断出文件操作的几个动作呢，比如拷贝，删除，移动等等。

万分感谢。。。。

lishixin

过滤驱动里面能否判断出对应的动作是拷贝，删除 or 移动很成问题吧。

每一个动作都会有好几个IRP_MJ_READ/IRP_MJ_WRITE组成。你可能得记录某个文件对象的一系列动作之后方能判断对应的文件正在被拷贝还是在被删除。

文件过滤驱动比较复杂。OSR Online上面有非常多的相关文章，OSR在文件过滤驱动领域的研究非常深入。建议你去看看，应该有相关的资料说明如何判断文件动作。

anticrane

拷贝无法判断；删除和移动都是IRP_MJ_SET_INFORMATION请求，删除对应的类型是FileDispositionInformation，移动对应的类型是FileRenameInformation。

huishuijing

虽然问题没有解决。还是谢谢了