挂钩磁盘写入并获取正在写入的数据

Question

除了在写入或读取进程内存和搜索数据之后读取数据之外，有没有办法挂钩特定应用程序的磁盘写入并获取正在写入的数据？在将数据篡改到磁盘之前获取数据对我来说很重要。提前谢谢！

Answer 1

评论声誉太小，抱歉。

我会说（回应雷蒙德）迷你过滤器很适合你的要求。

Microsoft docs

FltGetRequestorProcessId应允许您按流程过滤。

您仍会看到每个请求都通过，只需匹配您感兴趣的pid。如果不是您的进程返回FLT_PREOP_SUCCESS_NO_CALLBACK，您将不再担心该请求。