Un controlador de filtro que está más alto en la jerarquía que un controlador del sistema de archivos se llama controlador de filtro del sistema de archivos(controlador de filtro del sistema de archivos). (Para los controladores de filtro, consulte el Capítulo 9.) Su capacidad para ver todas las solicitudes al sistema de archivos y modificarlas o ejecutarlas si es necesario, hace posible la creación de aplicaciones tales como servicios de replicación. archivos borrados, cifrado de archivos, copias de seguridad y licencias. Cualquier escáner antivirus comercial que escanea archivos sobre la marcha incluye un controlador de sistema de archivos que intercepta los IRP con los comandos IRP_MJ_CREATE emitidos cada vez que una aplicación abre un archivo. Antes de enviar dicho IRP al controlador del sistema de archivos al que se dirige este comando, el escáner antivirus verifica el archivo que se está abriendo en busca de virus. Si el archivo está limpio, el escáner antivirus pasa el IRP por la cadena, pero si el archivo está infectado, el escáner llama a su proceso de servicio para eliminar o desinfectar el archivo. Si el archivo no se puede desinfectar, el controlador del filtro rechaza el IRP (generalmente con un error de "acceso denegado") para evitar que el virus se active.

En esta sección, describimos cómo funcionan dos controladores de filtro del sistema de archivos específicos: Filemon y Restaurar sistema. Filemon es una utilidad para monitorear la actividad del sistema de archivos (desde el sitio wwwsystntemals.com), utilizado en muchos de los experimentos de este libro es un ejemplo de un controlador de filtro pasivo que no modifica el flujo de IRP entre las aplicaciones y los controladores del sistema de archivos. Restaurar sistema, una función introducida en Windows XP, utiliza un controlador de filtro del sistema de archivos para monitorear los cambios en los archivos clave del sistema y hacer una copia de seguridad de ellos para que estos archivos puedan revertirse al estado en el que estaban cuando se crearon los puntos de restauración.

NOTA Windows XP Service Pack 2 y Windows Server 2003 incluyen el Administrador de filtros del sistema de archivos (\ Windows \ System32 \ Drivers \ Fltmgr.sys) como parte del modelo de puerto de minipuerto para los controladores del filtro del sistema de archivos. Este componente también estará disponible para Windows 2000. El Administrador de filtros del sistema de archivos simplifica drásticamente el desarrollo del controlador de filtro al proporcionar una interfaz para los controladores del minipuerto de filtro al subsistema de E / S de Windows, así como servicios de soporte para consultar nombres de archivos, conectarse a volúmenes y interactuando con otros filtros. Los desarrolladores, incluido Microsoft, escribirán nuevos filtros del sistema de archivos basados ​​en la infraestructura proporcionada por el Administrador de filtros del sistema de archivos y migrarán los filtros existentes a él.

<= IRP_MJ_MAXIMUM_FUNCTION; ++i) { DriverObject->MajorFunction [i] = FsFilterDispatchPassThrough; ) DriverObject->

// // Datos globales FAST_IO_DISPATCH g_fastIoDispatch = (sizeof (FAST_IO_DISPATCH), FsFilterFastIoCheckIfPossible, ...); // // DriverEntry - Punto de entrada del controlador NTSTATUS DriverEntry (__ inout PDRIVER_OBJECT DriverObject, __in PUNICODE_STRING RegistryPath) (... // // Establecer tabla de despacho fast-io. // DriverObject->

Configuración de la rutina de descarga del conductor

// // DriverEntry - Punto de entrada del controlador NTSTATUS DriverEntry (__ inout PDRIVER_OBJECT DriverObject, __in PUNICODE_STRING RegistryPath) (... // // Establecer la rutina de descarga del controlador (solo con fines de depuración). // DriverObject->

< numDevices; ++i) { FsFilterDetachFromDevice(devList[i]); ObDereferenceObject(devList[i]); } KeDelayExecutionThread(KernelMode, FALSE, &interval); } }

IrpDispatch.c

Transferencia de envío

// // PassThrough IRP Handler NTSTATUS FsFilterDispatchPassThrough (__ en PDEVICE_OBJECT DeviceObject, __in PIRP Irp) (PFSFILTER_DEVICE_EXTENSION pDevExt = (PFSFILTER_DEVICE_EXTENSION) DeviceExtension-

Envío crear

// // IRP_MJ_CREATE IRP Handler NTSTATUS FsFilterDispatchCreate (__ en PDEVICE_OBJECT DeviceObject, __in PIRP Irp) (PFILE_OBJECT pFileObject = IoGetCurrentIrpStackLocation (Irp) FileO Dbject->

FastIo.c

// Macro para probar si la rutina de manejo de FAST_IO_DISPATCH es válida #define VALID_FAST_IO_DISPATCH_HANDLER (_FastIoDispatchPtr, _FieldName) \ (((_FastIoDispatchPtr)! = NULL) && \ (((_FastIoDISODIo) * + sizeof -> _ FieldName! = NULL))

Paso rápido de E / S

BOOLEANA FsFilterFastIoQueryBasicInfo (__ en PFILE_OBJECT FileObject, __in Espere booleano, __out PFILE_BASIC_INFORMATION Buffer, __out PIO_STATUS_BLOCK IoStatus, __in PDEVICE_OBJECT DeviceObject) (// // Pass través de la lógica para este tipo de I Fast / O // PDEVICE_OBJECT nextDeviceObject = ((PFSFILTER_DEVICE_EXTENSION) DeviceObject -> DeviceExtension) -> AttachedToDeviceObject; PFAST_IO_DISPATCH fastIoDispatch = nextDeviceObject-> DriverObject -> FastIoDispatch; if (VALID_FAST_IO_DISPATCH_HANDLER (fastIoDispatch, FastIoQuery)

Dispositivo de desconexión rápida de E / S

Notificación.c

AttachDetach.c

Adjuntando

Desprendiendo

void FsFilterDetachFromDevice (__ en PDEVICE_OBJECT DeviceObject) (PFSFILTER_DEVICE_EXTENSION pDevExt = (PFSFILTER_DEVICE_EXTENSION) DeviceObject-> DeviceExtension; IoDetachDevice (pDevExt->

// // Misc BOOLEAN FsFilterIsMyDeviceObject (__ en PDEVICE_OBJECT DeviceObject) (return DeviceObject->

Fuentes y archivo MAKE

Contenido del archivo de fuentes:

El archivo MAKE es estándar:

Descripción general de SC.EXE

Sc iniciar FsFilter

Detener el controlador del sistema de archivos

Sc detener FsFilter

Sc eliminar FsFilter

Guión resultante

Avanzando más

Conclusión

En nuestro tutorial, le proporcionamos pasos simples para crear un controlador de filtro del sistema de archivos. Le mostramos cómo instalar, iniciar, detener y desinstalar un controlador de filtro del sistema de archivos usando la línea de comandos. También se han discutido otros problemas del controlador del filtro del sistema de archivos. Hemos considerado la pila de dispositivos del sistema de archivos con filtros adjuntos y hemos discutido cómo monitorear la salida de depuración del controlador. Puede usar los recursos de este artículo como un esqueleto para desarrollar su propio controlador de filtro del sistema de archivos y modificar su comportamiento de acuerdo con su necesidades.

Referencias

1. Contenido para desarrolladores de sistemas de archivos o filtros de sistemas de archivos
2. muestra de sfilter DDK

Espero que haya disfrutado de nuestro tutorial de desarrollo de controladores de Windows. ¿Está listo para contratar a un equipo experimentado para que trabaje en su proyecto, como el desarrollo de controladores de filtro de sistema de archivos? ¡Solo contáctenos y le proporcionaremos todos los detalles!

Este tutorial le proporciona pasos fáciles de entender para el desarrollo de un controlador de filtro de sistema de archivos simple. El controlador de demostración que le mostramos cómo crear imprime los nombres de los archivos abiertos para depurar la salida.

Este artículo está escrito para ingenieros con experiencia básica en el desarrollo de controladores de dispositivos de Windows, así como conocimientos de C / C ++. Además, también podría ser útil para personas sin un conocimiento profundo del desarrollo de controladores de Windows.

Escrito por:
Sergey Podobriy,
Líder del equipo de conductores

¿Qué es el controlador de filtro del sistema de archivos de Windows?

Se llama a un controlador de filtro del sistema de archivos de Windows durante cada operación de E / S del sistema de archivos (crear, leer, escribir, renombrar, etc.). Por tanto, puede modificar el comportamiento del sistema de archivos. Los controladores de filtro del sistema de archivos son comparables a los controladores heredados, aunque requieren varios pasos de desarrollo especiales. El software de seguridad, copia de seguridad, instantáneas y anti-virus utiliza dichos controladores.

Desarrollo de un controlador de filtro de sistema de archivos simple

Antes de comenzar el desarrollo

Primero, para desarrollar un controlador de filtro de sistema de archivos, necesita el kit IFS o WDK del sitio web de Microsoft. También debe establecer la variable de entorno% WINDDK% en la ruta donde instaló el kit WDK / IFS.

Atención: Incluso el error más pequeño en un controlador de sistema de archivos puede causar BSOD o inestabilidad del sistema.

C Principal

Entrada del controlador del filtro del sistema de archivos

Es un punto de acceso para cualquier controlador, incluido el controlador de filtro del sistema de archivos. Lo primero que debemos hacer es almacenar DriverObject como una variable global (lo usaremos más adelante):

// // Datos globales PDRIVER_OBJECT g_fsFilterDriverObject = NULL; // // DriverEntry - Punto de entrada del controlador NTSTATUS DriverEntry (__ inout PDRIVER_OBJECT DriverObject, __in PUNICODE_STRING RegistryPath) (NTSTATUS status = STATUS_SUCCESS; ULONG i = 0; // ASSERT (FALSE); // Esto se romperá para depurar / almacenar nuestro objeto controlador. // g_fsFilterDriverObject = DriverObject; ...)

Configuración de la tabla de despacho de IRP

El siguiente paso en el desarrollo de un controlador de filtro de sistema de archivos es completar la tabla de distribución de IRP con punteros de función a los controladores de IRP. Tendremos un controlador de IRP de paso genérico en nuestro controlador de archivos que envía más solicitudes. También necesitaremos un controlador para IRP_MJ_CREATE para recuperar los nombres de los archivos abiertos. Consideraremos la implementación de controladores IRP más adelante.

// // DriverEntry - Punto de entrada del controlador NTSTATUS DriverEntry (__ inout PDRIVER_OBJECT DriverObject, __in PUNICODE_STRING RegistryPath) (... // // Inicializar la tabla de distribución del objeto del controlador. // para (i = 0; i<= IRP_MJ_MAXIMUM_FUNCTION; ++i) { DriverObject->MajorFunction [i] = FsFilterDispatchPassThrough; ) DriverObject-> MajorFunction = FsFilterDispatchCreate; ...)

Configuración de la tabla de despacho de E / S rápida

El controlador de filtro del sistema de archivos requiere una tabla de despacho de E / S rápida. No configurar esta tabla provocaría que el sistema colapsara. E / S rápida es una forma diferente de iniciar operaciones de E / S que es más rápida que IRP. Las operaciones de E / S rápidas siempre son síncronas. Si el controlador de E / S rápido devuelve FALSE, entonces no podemos usar E / S rápida. En en este caso, se creará el IRP.

// // Datos globales FAST_IO_DISPATCH g_fastIoDispatch = (sizeof (FAST_IO_DISPATCH), FsFilterFastIoCheckIfPossible, ...); // // DriverEntry - Punto de entrada del controlador NTSTATUS DriverEntry (__ inout PDRIVER_OBJECT DriverObject, __in PUNICODE_STRING RegistryPath) (... // // Establecer tabla de despacho fast-io. // DriverObject-> FastIoDispatch = & g_fastIoDispatch; .. .

Registro de notificaciones sobre cambios en el sistema de archivos

Mientras desarrollamos un controlador de filtro del sistema de archivos, debemos registrar una notificación sobre los cambios en el sistema de archivos. Es crucial rastrear si el sistema de archivos está siendo activado o desactivado para poder adjuntar / desconectar nuestro controlador de filtro del sistema de archivos. A continuación, puede ver cómo rastrear los cambios del sistema de archivos.

// // DriverEntry - Punto de entrada del controlador NTSTATUS DriverEntry (__ inout PDRIVER_OBJECT DriverObject, __in PUNICODE_STRING RegistryPath) (... // // Rutina de devolución de llamada registrada para cambios en el sistema de archivos. // status = IoRegisterFsRegistrationChange (DriverObject) if FsFCallbackChange ! NT_SUCCESS (estado)) (estado de retorno;) ...)

Configuración de la rutina de descarga del conductor

La parte final de la inicialización del controlador del sistema de archivos es establecer una rutina de descarga. Esta rutina le ayudará a cargar y descargar el controlador del filtro del sistema de archivos sin necesidad de reiniciar. No obstante, este controlador sólo se vuelve realmente descargable con fines de depuración, ya que es imposible descargar los filtros del sistema de archivos de forma segura. No se recomienda realizar la descarga en el código de producción.

// // DriverEntry - Punto de entrada del controlador NTSTATUS DriverEntry (__ inout PDRIVER_OBJECT DriverObject, __in PUNICODE_STRING RegistryPath) (... // // Establecer la rutina de descarga del controlador (solo con fines de depuración). // DriverObject-> DriverUnload = FsFilterUnload; return STATUS_SUCCESS;)

Implementación de descarga del controlador del sistema de archivos

La rutina de descarga del controlador limpia los recursos y los desasigna. El siguiente paso en el desarrollo del controlador del sistema de archivos es anular el registro de la notificación de cambios en el sistema de archivos.

// // Descargar rutina VOID FsFilterUnload (__ en PDRIVER_OBJECT DriverObject) (... // // Rutina de devolución de llamada no registrada para cambios en el sistema de archivos. // IoUnregisterFsRegistrationChange (DriverObject, FsFilterNotificationCallback); ...)

Después de anular el registro de la notificación, debe recorrer los dispositivos creados y desconectarlos y eliminarlos. Luego, espere cinco segundos hasta que se hayan completado todos los IRP pendientes. Tenga en cuenta que esta es una solución solo de depuración. Funciona en la mayor cantidad de casos, pero no hay garantía de que funcione en todos.

// // Descargar rutina VOID FsFilterUnload (__ en PDRIVER_OBJECT DriverObject) (... for (;;) (IoEnumerateDeviceObjectList (DriverObject, devList, sizeof (devList), & numDevices); if (0 == numDevices) (break;) numDevices min (numDevices, RTL_NUMBER_OF (devList)); para (i = 0; i< numDevices; ++i) { FsFilterDetachFromDevice(devList[i]); ObDereferenceObject(devList[i]); } KeDelayExecutionThread(KernelMode, FALSE, &interval); } }

IrpDispatch.c

Transferencia de envío

La única responsabilidad de este controlador de IRP es pasar las solicitudes al siguiente controlador. El siguiente objeto de controlador se almacena en la extensión de nuestro dispositivo.

// // PassThrough IRP Handler NTSTATUS FsFilterDispatchPassThrough (__ en PDEVICE_OBJECT DeviceObject, __in PIRP IRP) (PFSFILTER_DEVICE_EXTENSION pDevExt = (PFSFILTER_DEVICE_EXTENSION) DeviceObject-> DeviceExtension; IoSkipCurrentIrpStackLocation (IRP); retorno IoCallDriver (pDevExt-> AttachedToDeviceObject, IRP);)

Envío crear

Cada operación de creación de archivo invoca este controlador de IRP. Después de tomar un nombre de archivo de PFILE_OBJECT, lo imprimimos en la salida de depuración. Después de eso, llamamos al controlador de paso a través que hemos descrito anteriormente. ¡Observe que existe un nombre de archivo válido en PFILE_OBJECT solo hasta que finaliza la operación de creación de archivo! También existen aperturas relativas y aperturas por id. recursos del partido, puede encontrar más detalles sobre la recuperación de nombres de archivos en esos casos.

// // IRP_MJ_CREATE IRP Handler NTSTATUS FsFilterDispatchCreate (__ en PDEVICE_OBJECT DeviceObject, __in PIRP Irp) (PFILE_OBJECT pFileObject = IoGetCurrentIrpStackLocation (Irp) "DbetCtackLocalización (Irp)" DbetCtack) "

FastIo.c

Dado que no todas las rutinas de E / S rápidas deben ser implementadas por el sistema de archivos subyacente, tenemos que probar la validez de la tabla de despacho de E / S rápidas para el siguiente controlador usando la siguiente macro:

// Macro para probar si la rutina de manejo de FAST_IO_DISPATCH es válida #define VALID_FAST_IO_DISPATCH_HANDLER (_FastIoDispatchPtr, _FieldName) \ (((_FastIoDispatchPtr)! = NULL) && \ (((_FastIoDISODIo) * + sizeof -> _ FieldName! = NULL))

Paso rápido de E / S

A diferencia de las solicitudes de IRP, el paso de solicitudes de E / S rápidas requiere una gran cantidad de código porque cada función de E / S rápida tiene su propio conjunto de parámetros. A continuación, puede encontrar un ejemplo de una función de transferencia común:

BOOLEANA FsFilterFastIoQueryBasicInfo (__ en PFILE_OBJECT FileObject, __in Espere booleano, __out PFILE_BASIC_INFORMATION Buffer, __out PIO_STATUS_BLOCK IoStatus, __in PDEVICE_OBJECT DeviceObject) (// // Pass través de la lógica para este tipo de I Fast / O // PDEVICE_OBJECT nextDeviceObject = ((PFSFILTER_DEVICE_EXTENSION) DeviceObject -> DeviceExtension) -> AttachedToDeviceObject; PFAST_IO_DISPATCH fastIoDispatch = nextDeviceObject-> DriverObject -> fastIoDispatch; if (VALID_FAST_IO_DISPATCH_HANDLER (fastIoDispatch, FastIoQueryBasicObjeto) FALSO;)

Dispositivo de desconexión rápida de E / S

Desconectar dispositivo es una solicitud de E / S rápida específica que debemos manejar sin llamar al siguiente controlador. Deberíamos eliminar nuestro dispositivo de filtro después de desconectarlo de la pila de dispositivos del sistema de archivos. A continuación, puede encontrar un código de ejemplo que demuestra cómo administrar fácilmente esta solicitud:

VOID FsFilterFastIoDetachDevice (__ en PDEVICE_OBJECT SourceDevice, __in PDEVICE_OBJECT TargetDevice) (// Separar del objeto de dispositivo de volumen del sistema de archivos. // IoDetachDevice (TargetDevice); IoDeleteDevice (SourceDevice); IoDeleteDevice)

Notificación.c

el sistema de archivos común consta de dispositivos de control y dispositivos de volumen. Los dispositivos de volumen están conectados a la pila de dispositivos de almacenamiento. Un dispositivo de control se registra como un sistema de archivos.

Se invoca una devolución de llamada para todos los sistemas de archivos activos cada vez que un sistema de archivos se registra o anula su registro como activo. Este es un gran lugar para adjuntar o desconectar nuestro dispositivo de filtro del sistema de archivos. Cuando el sistema de archivos se activa, lo conectamos a su dispositivo de control (si no está ya conectado) y enumeramos sus dispositivos de volumen y los conectamos también. Mientras desactivamos el sistema de archivos, examinamos su pila de dispositivos de control, buscamos nuestro dispositivo y lo desconectamos. La desconexión de los dispositivos de volumen del sistema de archivos se realiza en la rutina FsFilterFastIoDetachDevice que describimos anteriormente.

// // Esta rutina se invoca siempre que un sistema de archivos se ha registrado o // se ha desregistrado como un sistema de archivos activo. VOID FsFilterNotificationCallback (__ en PDEVICE_OBJECT DeviceObject, __in BOOLEAN FsActive) (// // Maneja la conexión / desconexión del sistema de archivos dado. // if (FsActive) (FsFilterAttachToFileSystemDevice (DeviceObject);) elseetbjectFrom

AttachDetach.c

Este archivo contiene rutinas de ayuda para adjuntar, desconectar y verificar si nuestro filtro ya está adjunto.

Adjuntando

Para adjuntar, necesitamos llamar a IoCreateDevice para crear un nuevo objeto de dispositivo con extensión de dispositivo, y luego propagar los indicadores de objeto de dispositivo desde el objeto de dispositivo que estamos tratando de adjuntar (DO_BUFFERED_IO, DO_DIRECT_IO, FILE_DEVICE_SECURE_OPEN). Luego llamamos a IoAttachDeviceToDeviceStackSafe en un bucle con retraso en caso de falla. Nuestra solicitud de adjunto puede fallar si el objeto del dispositivo no ha terminado de inicializarse. Esto puede suceder si intentamos montar el filtro de solo volumen. Después de adjuntar, guardamos el objeto de dispositivo "adjunto a" en la extensión del dispositivo y borramos el indicador DO_DEVICE_INITIALIZING. A continuación puede ver la extensión del dispositivo:

// // Estructuras typedef struct _FSFILTER_DEVICE_EXTENSION (PDEVICE_OBJECT AttachedToDeviceObject;) FSFILTER_DEVICE_EXTENSION, * PFSFILTER_DEVICE_EXTENSION;

Desprendiendo

Desmontar es bastante simple. Desde la extensión del dispositivo, obtenemos el dispositivo al que nos adjuntamos y luego llamamos a IoDetachDevice e IoDeleteDevice.

void FsFilterDetachFromDevice (__ en PDEVICE_OBJECT DeviceObject) (PFSFILTER_DEVICE_EXTENSION pDevExt = (PFSFILTER_DEVICE_EXTENSION) DeviceObject-> DeviceExtension; IoDetachDevice (pDevoExtOb-> AttachedTextObject)

Comprobando si nuestro dispositivo está conectado

Para verificar si estamos conectados a un dispositivo o no, tenemos que iterar a través de la pila de dispositivos usando IoGetAttachedDeviceReference e IoGetLowerDeviceObject, luego buscar nuestro dispositivo allí. Podemos identificar nuestro dispositivo comparando el objeto del controlador del dispositivo con el de nuestro controlador uno (g_fsFilterDriverObject).

// // Misc BOOLEAN FsFilterIsMyDeviceObject (__ en PDEVICE_OBJECT DeviceObject) (return DeviceObject-> DriverObject == g_fsFilterDriverObject;)

Fuentes y archivo MAKE

La utilidad que crea el controlador, utiliza fuentes y archivos Makefile. Estos archivos contienen la configuración del proyecto y los nombres de los archivos de origen.

Contenido del archivo de fuentes:

TARGETNAME = FsFilter TARGETPATH ​​= obj TARGETTYPE = DRIVER DRIVERTYPE = FS SOURCES = \ Main.c \ IrpDispatch.c \ AttachDetach.c \ Notification.c \ FastIo.c

El archivo MAKE es estándar:

Incluya $ (NTMAKEENV) \ makefile.def

La línea de comando de compilación del proyecto makefile de MSVC es:

Llame a $ (WINDDK) \ bin \ setenv.bat $ (WINDDK) chk wxp cd / d $ (ProjectDir) build.exe –I

Cómo instalar un controlador de filtro del sistema de archivos

Descripción general de SC.EXE

Usaremos sc.exe (sc - control de servicio) para administrar nuestro controlador. Podemos utilizar esta utilidad de línea de comandos para consultar o modificar la base de datos de servicios instalados. Se envía con Windows XP y superior, o puede encontrarlo en Windows SDK / DDK.

Instalar el controlador del filtro del sistema de archivos

Para instalar el controlador del filtro del sistema de archivos, llame a:

Sc crear tipo FsFilter = filesys binPath = c: \ FSFilter.sys

Esto creará una nueva entrada de servicio con el nombre FsFilter con un tipo de servicio de sistema de archivos y una ruta binaria de c: \ FsFilter.sys.

Inicie el controlador del filtro del sistema de archivos

Para iniciar el controlador del filtro del sistema de archivos, llame a:

Sc iniciar FsFilter

Se iniciará el servicio FsFilter.

Detener el controlador del sistema de archivos

Para detener el controlador del filtro del sistema de archivos, llame a:

Sc detener FsFilter

Se detendrá el servicio FsFilter.

Desinstalar el controlador del filtro del sistema de archivos

Para desinstalar el controlador del filtro del sistema de archivos, llame a:

Sc eliminar FsFilter

Este comando indica al administrador del servicio que elimine la entrada del servicio con el nombre FsFilter.

Guión resultante

Podemos poner todos esos comandos en un solo archivo por lotes para facilitar las pruebas de controladores. A continuación se muestran los contenidos de nuestro archivo de comando Install.cmd:

Sc crear FsFilter tipo = filesys binPath = c: \ FsFilter.sys sc iniciar FsFilter pausar sc detener FsFilter sc eliminar FsFilter pausar

Ejecución de una muestra del controlador de filtro del sistema de archivos

Ahora vamos a mostrar cómo funciona el filtro del sistema de archivos. Para este propósito, usaremos Sysinternals DebugView para Windows para monitorear la salida de depuración, así como el árbol de dispositivos OSR para ver dispositivos y controladores.

Primero, construyamos el controlador. Después de eso, copiaremos el archivo FsFilter.sys resultante y el script Install.cmd en la raíz de la unidad C.

Controlador de filtro del sistema de archivos y el script de instalación en la unidad C.

Ahora ejecutaremos Install.cmd, que instala e inicia el controlador del sistema de archivos, y luego espera la entrada del usuario.

El controlador del filtro del sistema de archivos se ha instalado e iniciado correctamente.

Ahora deberíamos iniciar la utilidad DebugView.

¡Por fin, podemos ver qué archivos se abrieron! Esto significa que nuestro filtro funciona. Ahora deberíamos ejecutar la utilidad del árbol de dispositivos y ubicar nuestro controlador allí.

Nuestro controlador de filtro en el árbol de dispositivos.

Hay varios dispositivos creados por nuestro controlador. Abramos el controlador NTFS y echemos un vistazo al árbol de dispositivos:

Nuestro filtro está adjunto a NTFS.

Estamos adjuntos ahora. Echemos un vistazo a otros sistemas de archivos:

Nuestro filtro también se adjunta a otros sistemas de archivos.

Finalmente, podemos presionar cualquier tecla para continuar con nuestro script de instalación, deteniendo y desinstalando el controlador.

Nuestro controlador de filtro del sistema de archivos se ha detenido y desinstalado.

Podemos presionar F5 para actualizar la lista del árbol de dispositivos:

Nuestros dispositivos de filtrado ya no están en el árbol de dispositivos.

Nuestro controlador de filtro del sistema de archivos ha desaparecido y el sistema está funcionando como antes.

Avanzando más

El controlador de filtro del sistema de archivos descrito anteriormente es muy simple y carece de una serie de funciones, necesarias para un controlador común. La idea de este artículo era mostrar la forma más sencilla de crear un controlador de filtro del sistema de archivos, por lo que describimos este proceso de desarrollo simple y fácil de entender. Puede escribir un controlador IRP_MJ_FILE_SYSTEM_CONTROL propio para rastrear los volúmenes recién llegados.

Y sin esperar la continuación que prometiste, As, decidí instalar de forma independiente este programa antivirus en la computadora de mi casa, pero encontré algunas ambigüedades. El instalador lo descargó en el sitio web oficial www.avast.com/ru, luego instaló este programa en la computadora de su hogar, y resulta que aún debe registrarse. Hice frente a esto, ahora no puedo descifrar la configuración. Específicamente, me interesa la función Sandbox o sandbox, mucha gente está hablando de eso ahora, este es un tipo de entorno virtual en el que puedes ejecutar cualquier programa sospechoso sin miedo a infectar todo el sistema en caso de algo. Entonces, está en la configuración, pero no entiendo si funciona o no. Y todavía no puedo encontrar una función tan útil como Escanear al inicio, dicen que este es un muy buen remedio para los banners de ransomware, y si está habilitado, Avast verifica los archivos de arranque antes de cargar Windows. Apreciaría cualquier ayuda. Maksim.

Cómo instalar el antivirus Avast gratuito

Este artículo está escrito como continuación del artículo Cuál es el mejor antivirus, donde hemos resuelto la pregunta sobre qué principio prácticamente todos los productos antivirus, tanto de pago como gratuitos, construyen su protección. ¿En qué se diferencian entre sí, así como mucho más, por ejemplo, cuál es la mejor manera de construir una defensa de su computador de casa de virus y qué programas, además del antivirus, deberían utilizarse para ello. Aquí consideraremos la cuestión de cómo descargar y Instalar en pc antivirus gratis Avast... Analizaremos la configuración básica del programa, su mantenimiento, escaneo en busca de virus, etc.

Nota: Amigos, si por alguna razón desean eliminar el programa antivirus Avast, utilicen. Un buen resumen de los antivirus gratuitos y de pago le espera en nuestro artículo ""

Básicamente, la protección de nuestro programa antivirus Avast se basa en una Protección Residente muy poderosa. Esto sucede con la ayuda de una especie de medios de pantalla. En otras palabras, los módulos del programa están constantemente presentes en la RAM y monitorean todo lo que sucede en la computadora.
Por ejemplo, la pantalla del sistema de archivos es la principal herramienta de protección y monitorea todas las operaciones que ocurren con sus archivos. Cortafuegos: supervisa la actividad de la red y detiene los virus que intentan atravesar Internet. Pantalla de correo: sigue Por correo electrónico y, naturalmente, comprueba todas las letras que llegan a su computadora. Otro programa, Avast, tiene un análisis heurístico bastante avanzado, efectivo contra rootkits.

¡Aquí tienes un antivirus gratuito para ti!

Antes de instalar AVAST! Antivirus gratis, debes saber que solo puedes usarlo en casa. Puede descargar el antivirus en el sitio web. www.avast.com/ru... Si tiene algún problema para descargar el antivirus Avast, descárguelo en el distribuidor oficial de Avast, en:

www.avsoft.ru/avast/Free_Avast_home_edition_download.htm
Pues descargaremos nuestro antivirus en la web oficial
www.avast.com/en-us/free-antivirus-download. Por favor seleccione Antivirus gratis y haga clic en descargar,

en la ventana de Bienvenida a los usuarios de Avast Free Antivirus que aparece, haga clic en el botón Descargar ahora.

Descargado, ejecuta el instalador del programa. A partir de la séptima versión, se puede elegir entre la instalación habitual y la instalación como segundo antivirus. Si tiene Kaspersky instalado como su primer antivirus, es posible que haya un conflicto.

Puede elegir la instalación rápida.

Si necesitas un navegador Google Chrome, revisa la caja. La instalación se lleva a cabo en uno o dos minutos.
Instalación completa. Pulsamos listo.

Muchas personas, una vez en la ventana principal del programa, se sorprenden de que el antivirus AVAST deba registrarse, pero este es realmente el caso. El registro es muy sencillo. Haga clic para registrarse.

Elegir la protección básica AVAST! Antivirus gratis.

Rellenamos un formulario muy sencillo. Pulsamos el registro para obtener una licencia gratuita.

Nuestra versión del antivirus está registrada, se enviará una carta similar al buzón.

Inmediatamente, se nos ofrece cambiar temporalmente a la versión de Internet Security durante 20 días, después de este período, si lo desea, puede volver a la versión gratuita gratuita o comprar la versión de Internet Security. ¿Con qué tendrías que comparar? ¡Usa la versión de AVAST primero! Antivirus gratuito, puede actualizar a la versión de pago en cualquier momento. Haga clic en la cruz en la esquina superior derecha y cierre esta ventana.

Después de 365 días, deberá volver a registrarse y listo. Como puede ver, descargar e instalar el antivirus gratuito Avast no es, en principio, difícil y tampoco es difícil registrarlo.

Puede decir que todo es muy conveniente y comprensible, incluso un principiante puede descubrir todos los controles. Ahora amigos, atención, por defecto el programa está muy bien configurado, pero hay algunos ajustes que merecen su atención. Avast se actualiza automáticamente, generalmente inmediatamente después de encender la computadora e iniciar el sistema operativo.

Si lo desea, puede verificar si hay actualizaciones en el sitio web oficial en cualquier momento. Seleccione Software de actualización de mantenimiento. También puede actualizar el módulo de detección y escaneo de virus.

Hay varias formas de escanear su computadora en busca de virus. Haga clic en el botón Escanea tu computadora... Y elige la opción que quieras, por ejemplo
Escaneo exprés- Se analizarán los objetos de inicio y todas las áreas de la partición del sistema operativo donde habitualmente anidan los virus.
Escaneo completo de la computadora(Sin comentarios)
Escaneo de medios extraíbles- se escanean sus unidades flash, discos duros USB, etc.
Seleccione una carpeta para escanear, usted mismo elige la carpeta para analizar la presencia de virus.

O puede hacer clic con el botón derecho en cualquier carpeta y seleccionar Escanear en el menú desplegable y esta carpeta se analizará en busca de virus.

Escaneando al cargar el SO. Si, por ejemplo, tiene que navegar por Internet durante mucho tiempo, puede habilitar la verificación de los archivos de inicio por adelantado en el próximo inicio del sistema. Avast verificará todos los archivos relacionados con la carga normal del sistema, sin pasar por Windows, personalmente, no he notado tal función en ningún otro lugar excepto Avast. Una muy buena herramienta que ayuda contra los banners de ransomware, aunque no en el 100% de los casos.

Ventana de Avast antivirus, antes del inicio principal de Windows.

Sandbox automático (" AutoSandbox"). Ejecuta aplicaciones sospechosas en un entorno virtual que está naturalmente separado del sistema normal. ¡En nuestra versión gratuita de AVAST! Antivirus gratuito, solo se iniciarán aquellas aplicaciones que Avast considere sospechosas, si el programa resulta ser malicioso, la ventana del programa simplemente se cerrará. Las versiones pagas de AVAST! Pro Antivirus y AVAST! Internet Security, puede ejecutar cualquier aplicación en este entorno usted mismo, como desee.

Bloquear determinados sitios web por su dirección. Puede utilizar esta función como herramienta de control parental.

Todo lo demás está disponible en la ventana. Pantallas en vivo y la ventana Ajustes... Podemos decir que el usuario promedio debería estar satisfecho con la configuración predeterminada, si no entiende algo, escriba.

El Administrador de filtros del sistema de archivos de Windows o el Administrador de filtros del sistema de archivos de Windows es el proceso que se instala con la extensión de archivo del sistema fltmgr.sys. Este proceso es un componente central de su sistema operativo Windows. Sistema y no debe terminarse o no debe permitirse que se ejecute cada vez que Windows se carga durante el inicio. El archivo tiene la responsabilidad principal de asegurarse de que todos los archivos que se instalarán en la computadora se almacenen en sus directorios correspondientes. Si este archivo falta o está dañado, lo más probable es que aparezca la pantalla azul de la muerte; según lo experimentado por los usuarios. En otros casos, Windows no se cargará por completo. El reinicio solo no resuelve el problema si el archivo realmente falta o no se puede ubicar al inicio. El error seguirá apareciendo hasta que se solucione el problema. El archivo fltmgr.sys que es compatible con Windows XP o Windows 7 tiene un tamaño aproximado de 124,800 bytes. El archivo se almacena en el directorio del sistema de su sistema operativo.

¿Cómo puedo detener fltmgr.sys y debería hacerlo?

La mayoría de los procesos que no son del sistema que se están ejecutando se pueden detener porque no están involucrados en la ejecución de su sistema operativo. fltmgr.sys... es usado por Microsoft Windows, Si te apagas fltmgr.sys, es probable que se inicie de nuevo más tarde, ya sea después de que reinicie su computadora o después de que se inicie una aplicación. Para detener fltmgr.sys, permanentemente necesitas desinstalar la aplicación que ejecuta este proceso que en este caso es Microsoft Windows, desde su sistema.

Después de desinstalar aplicaciones, es una buena idea escanear su registro de Windows en busca de rastros de aplicaciones. Reviver de registro de ReviverSoft es una gran herramienta para hacer esto.

¿Es un virus u otro problema de seguridad?

Veredicto de seguridad de ReviverSoft

Por favor revise fltmgr.sys y envíeme una notificación una vez que lo haya
sido revisado.

¿Qué es un proceso y cómo afectan a mi computadora?

Un proceso que suele formar parte de una aplicación instalada, como Microsoft Windows, o su sistema operativo que es responsable de ejecutar las funciones de esa aplicación. Algunas aplicaciones requieren que tengan procesos en ejecución todo el tiempo para que puedan hacer cosas como buscar actualizaciones o notificarle cuando recibe un mensaje instantáneo. Algunas aplicaciones mal escritas tienen muchos procesos que se ejecutan y que pueden no ser necesarios y consumen una valiosa potencia de procesamiento dentro de su computadora.

¿Se sabe que fltmgr.sys es perjudicial para el rendimiento de mi computadora?

No hemos recibido ninguna queja acerca de que este proceso tenga un impacto superior al normal en el rendimiento de la PC. Si ha tenido malas experiencias con él, háganoslo saber en un comentario a continuación y lo investigaremos más a fondo.