文件过滤驱动的开发(上)

最近看了不少网友问关于文件系统监视的问题，大概分2类
1种是需要开发一个后台程序，监视整个文件系统的变动。比如说文件的产生、修改、移动、删除、拷贝，一旦有动作发生，监视程序能得到文件名、地址,动作的类型。这种比较简单，使用FindFirstChangeNotification就可以，大概的方法就是写个while(1)来WaitForMultipleObjects这个的返回值,代码后面给出
第2种就是文件操作的拦截了 ;) 上一种是发生在操作完了以后的，这种就是每次操作之前先经过我同意啦 哈哈哈
先说一下实现思路，如果做这个东西，filemon肯定要知道的了，另外就是准备下载win2000 ifs sdk和win2000 DDK，当然driverstudio2.7也需要哦。本篇的(下)将会详细介绍这个的开发for win9x/winnt/win2k/winxp/win2003。

现在将1的代码写出来，可能有点bug你自己调:
FindFirstChangeNotification函数创建一个更改通知句柄并设置初始更改通知过滤条件.
当一个在指定目录或子目录下发生的更改符合过滤条件时，等待通知句柄则成功。
原型为：
HANDLE FindFirstChangeNotification(
  LPCTSTR lpPathName,    //目录
  BOOL bWatchSubtree,    // 选项
  DWORD dwNotifyFilter   // 过滤条件
);

当下列情况之一发生时，WaitForMultipleObjects函数返回
1.一个或者全部指定的对象在信号状态(signaled state)
2.到达超时间隔

代码如下：
DWORD dwWaitStatus;                       
HANDLE dwChangeHandles[2];
 
//监视C:\WINDOWS目录下的文件创建和删除
 
dwChangeHandles[0] = FindFirstChangeNotification(
    "C:\\WINDOWS",                 // directory to watch
    FALSE,                         // do not watch the subtree
    FILE_NOTIFY_CHANGE_FILE_NAME); // watch file name changes
 
if (dwChangeHandles[0] == INVALID_HANDLE_VALUE)
    ExitProcess(GetLastError());
 
//监视C:\下子目录树的文件创建和删除
 
dwChangeHandles[1] = FindFirstChangeNotification(
    "C:\\",                        // directory to watch
    TRUE,                          // watch the subtree
    FILE_NOTIFY_CHANGE_DIR_NAME);  // watch dir. name changes
 
if (dwChangeHandles[1] == INVALID_HANDLE_VALUE)
    ExitProcess(GetLastError());
 
// Change notification is set. Now wait on both notification
// handles and refresh accordingly.
 
while (1)
{
 
    // Wait for notification.
 
    dwWaitStatus = WaitForMultipleObjects(2, dwChangeHandles,FALSE, INFINITE);
 
    switch (dwWaitStatus)
    {
        case WAIT_OBJECT_0:
 
            //在C:\WINDOWS目录中创建或删除文件 。
            //刷新该目录及重启更改通知(change notification).
 
            AfxMessageBox("刷新目录");
            if ( FindNextChangeNotification(dwChangeHandles[0]) == FALSE )
                ExitProcess(GetLastError());
            break;
 
        case WAIT_OBJECT_0 + 1:
        //在C:\WINDOWS目录中创建或删除文件 。
        //刷新该目录树及重启更改通知(change notification).
 
            AfxMessageBox("刷新目录树");
            if (FindNextChangeNotification(dwChangeHandles[1]) == FALSE)
             ExitProcess(GetLastError());
         break;
 
        default:
         ExitProcess(GetLastError());
    }
}

本文地址：http://com.8s8s.com/it/it26767.htm