[讨论]Windows缓存管理器如何区分被缓存的文件流-编程技术-看雪-安全社区|安全招聘|kanxue.com

[讨论]Windows缓存管理器如何区分被缓存的文件流

发表于: 2013-11-6 15:34 3778

[讨论]Windows缓存管理器如何区分被缓存的文件流

ajed

2013-11-6 15:34

3778

在文件系统过滤驱动里拦截读写IRP时，对于磁盘上的文件fileOnDisk_1，过滤驱动创建FCB1/CCB1，然后向下传递此IRP，当文件系统处理此IRP时，它是否还为此fileOnDisk_1创建另外的一个FCB2/CCB2？

因为文件系统是通过判断PrivateCacheMap是否为空来确定是否调用CcInitializeCacheMap来缓存fileOnDisk_1，那么在缓存管理器中标识一个对象具体是用哪个结构体来达到呢？缓存管理器怎样区分由过滤驱动发起的缓存对象和由文件系统发起的缓存对象呢？

[培训]科锐逆向工程师培训第53期2025年7月8日开班！

收藏・0

免费・0

支持