挂钩磁盘写操作？ Win32/64

【问题标题】：Hooking Disk Write Operations ? Win32/64挂钩磁盘写操作？ Win32/64
【发布时间】：2011-11-29 13:12:54
【问题描述】：

有什么方法可以使用 Win32 API 来挂钩所有通过系统的磁盘写入，并接收正在修改的文件名？或者这是需要编写驱动程序的东西？

【问题讨论】：

【解决方案1】：

你不能在用户模式下这样做，它必须是内核模式，所以这意味着一个驱动程序。你需要一个File System Filter Driver。

【讨论】：

【解决方案2】：

如果您不关心截取实际数据，而只想知道哪些文件正在被修改/创建/删除，那么您可以使用ReadDirectoryChangesW API 从用户区获取该信息。但请注意，它是最难有效使用的函数之一，您应该熟悉 IOCP 才能正确使用它。

【讨论】：