要求Windows将数据写入磁盘的不同方法

Question

通常，当应用程序将其中一个文件写入磁盘时，文件修改的时间戳会更改。

有时候，在我的情况下，它是一个用ProvideX（我相信是商业基础衍生物）写的应用程序，修改后的时间戳在写入后不会改变。像MyTrigger这样的程序也不会在写入操作中出现，但Sysinternals ProcessMonitor会记录磁盘活动。

很明显，有不同的方法可以让windows执行写操作，然后可以用各种不同的方式来挂接或记录请求。

我需要能够挂接来自ProvideX应用程序的写入操作。任何指向窗口写入磁盘的不同方式的指针，以及可用于它们的钩子类型都将不胜感激。

由于

Answer 1

用户模式进程可以写入文件或者使用WriteFile的API函数或使用MMF，存储器映射文件API（的CreateFileMapping/MapViewOfFile /写入存储器块）。也许你的应用程序采用MMF方式。 MMF写入文件的方式与WriteFile API非常不同，但它们都导致相同的端点 - 将IRP发送到文件系统驱动程序。文件系统过滤器驱动程序（如Sysinternals使用的驱动程序）可以跟踪该IRP级别的写入请求。在技​​术上可以区分由MMF和WriteFile发起的写操作，因为发送了不同的IRP（涉及缓存和非缓存写入）。看来，Windows中的目录更改监视功能只跟踪一种IRP类型，这会导致MyTrigger错过更改。