windows - pre-create-callback/post-create-callbackでのファイルの上書きを防止します

Question

PEファイルへの書き込みを防ぐことを目的としたミニフィルタードライバーを作成します。作成後のコールバックでファイルの内容を確認します。フォーマットが一致した場合は、を呼び出しFltCancelFileOpenて返そうとしますSTATUS_ACCESS_DENIED。

ただし、これは。でファイルを開くことでハイジャックされる可能性がありますCreateDisposition = FILE_OVERWRITE/FILE_OVERWRITE/FILE_SUPERSEDE。この場合、post-create-callbackを呼び出した時点で、ファイルはすでに切り捨てられています。

これを克服する方法は？

Answer 1

より良いオプションは、作成前のコールバックでチェックインし、既存のファイルへの書き込みアクセスでファイルを開くことを拒否することです。FLT_PREOP_COMPLETEpre-create から戻って で適切なエラーを設定することで、これを行うことができますCallbackData->IoStatus.Status。