Проблемка. Надо перехватывать сообщение об удалении или изменении файла. И вообще всего что связано файлами (сохранение и т.п.)

Сколько вообще различных сообщений связанных с файлами и директориями (именно все виды чтения создания, редактирования удаления)
И как их перехватывать?

Спасибо!

Здравствуйте, HighVoltage, Вы писали:

HV>Проблемка. Надо перехватывать сообщение об удалении или изменении файла. И вообще всего что связано файлами (сохранение и т.п.)

HV>Сколько вообще различных сообщений связанных с файлами и директориями (именно все виды чтения создания, редактирования удаления)
HV>И как их перехватывать?

А какая платформа? Насколько я понимаю, универсального кросплатформенного решения не существует.

Здравствуйте, Zigmar, Вы писали:

Z>А какая платформа? Насколько я понимаю, универсального кросплатформенного решения не существует.

winXP,2k3.

Здравствуйте, HighVoltage, Вы писали:

HV>Проблемка. Надо перехватывать сообщение об удалении или изменении файла. И вообще всего что связано файлами (сохранение и т.п.)

ReadDirectoryChangesW()/FindFirstChangeNotification()/FindNextChangeNotification()/FindCloseChangeNotification()

Здравствуйте, HighVoltage, Вы писали:

HV>Проблемка. Надо перехватывать сообщение об удалении или изменении файла. И вообще всего что связано файлами (сохранение и т.п.)
HV>Сколько вообще различных сообщений связанных с файлами и директориями (именно все виды чтения создания, редактирования удаления)
HV>И как их перехватывать?

FindFirstChangeNotification() возвращает хэндл синхрообъекта, который переходит в сигнальное состояние при заявленных изменениях. (Чтение, естественно, не считается изменением).
Ждёшь его с помощью WaitFor...;
Вычитываешь все изменения с FindNextChangeNotification (пока не сделаешь это, он будет пребывать в сигнальном состоянии);
Получаешь подробности об изменениях с ReadDirectoryChange;
и снова ждёшь...
А в конце закрываешь хэндл с помощью FindCloseChangeNotification (а не CloseHandle).

Ну а чтобы мониторить, кто что читает — это уже надо драйвер писать, наверное.

Здравствуйте, Кодт, Вы писали:

К>Здравствуйте, HighVoltage, Вы писали:

HV>>Проблемка. Надо перехватывать сообщение об удалении или изменении файла. И вообще всего что связано файлами (сохранение и т.п.)
HV>>Сколько вообще различных сообщений связанных с файлами и директориями (именно все виды чтения создания, редактирования удаления)
HV>>И как их перехватывать?

К>FindFirstChangeNotification() возвращает хэндл синхрообъекта, который переходит в сигнальное состояние при заявленных изменениях. (Чтение, естественно, не считается изменением).
К>Ждёшь его с помощью WaitFor...;
К>Вычитываешь все изменения с FindNextChangeNotification (пока не сделаешь это, он будет пребывать в сигнальном состоянии);
К>Получаешь подробности об изменениях с ReadDirectoryChange;
К>и снова ждёшь...
К>А в конце закрываешь хэндл с помощью FindCloseChangeNotification (а не CloseHandle).

К>Ну а чтобы мониторить, кто что читает — это уже надо драйвер писать, наверное.

Спасибо.

А на иполнение? Ведь тот же AVP или NOD32 видят когда я даже хочу открыть файл. или читаю, и проверяют их перед тем как дать мне их запустить (прочитать), если включен режим проверки файлов.

Здравствуйте, SchweinDeBurg, Вы писали:

SDB>Здравствуйте, HighVoltage, Вы писали:

HV>>Проблемка. Надо перехватывать сообщение об удалении или изменении файла. И вообще всего что связано файлами (сохранение и т.п.)

SDB>ReadDirectoryChangesW()/FindFirstChangeNotification()/FindNextChangeNotification()/FindCloseChangeNotification()



10х )))
краткость сестра таланта, и мачеха гонорара

HV>А на иполнение? Ведь тот же AVP или NOD32 видят когда я даже хочу открыть файл. или читаю, и проверяют их перед тем как дать мне их запустить (прочитать), если включен режим проверки файлов.

Ты скажи сразу — тебе нужен серьёзный метод получения уведомлений, или так, поиграться просто?
И поддержка каких ОС нужна?

А>Ты скажи сразу — тебе нужен серьёзный метод получения уведомлений, или так, поиграться просто?
А>И поддержка каких ОС нужна?

Да, 1-е. Серьозный метод получения уведомлений.
Win XP/2K/2k3.
Я думаю там всё эдентично.

HV>Да, 1-е. Серьозный метод получения уведомлений.

Тогда однозначно — писать драйвер.

Для мониторинга операций с файлами — драйвер-фильтр файловой-системы. Это не сложно.
Для мониторинга созданий процессов (aka запуска исполняемых файлов) — PsSetLoadImageNotifyRoutine() и PsSetCreateProcessNotifyRoutine() Kernel API.

HV>Win XP/2K/2k3.

См. выше. Такое решение как раз будет переносимым.

HV>Я думаю там всё эдентично.

Так, как обрисовал тебе я, — да.

Здравствуйте, Аноним, Вы писали:

HV>>Да, 1-е. Серьозный метод получения уведомлений.

А>Тогда однозначно — писать драйвер.

А>Для мониторинга операций с файлами — драйвер-фильтр файловой-системы. Это не сложно.
А>Для мониторинга созданий процессов (aka запуска исполняемых файлов) — PsSetLoadImageNotifyRoutine() и PsSetCreateProcessNotifyRoutine() Kernel API.

HV>>Win XP/2K/2k3.

А>См. выше. Такое решение как раз будет переносимым.

HV>>Я думаю там всё эдентично.

А>Так, как обрисовал тебе я, — да.

Уважаю спасибо. Но возникает следующий вопрос, по драйверу, что где и как? Имею ввиду МАТ Часть и сопутствующие советы если не сложно и можно)

HV>Уважаю спасибо.

Пожалуйста. Kernel-программерофф не так уж много, так что я только рад буду, если кто-то решиться-таки освоить это.

HV>Но возникает следующий вопрос, по драйверу, что где и как?

Спроси в подфоруме "Низкоуровневое программирование" на RSDN. Мне сейчас некогда — скоро проект сдавать

HV>сопутствующие советы если не сложно и можно)

Советы от меня и других участиков форума получишь, когда начнёшь задавать более конкретные вопросы.

Здравствуйте, Аноним, Вы писали:

HV>>Уважаю спасибо.

А>Пожалуйста. Kernel-программерофф не так уж много, так что я только рад буду, если кто-то решиться-таки освоить это.

HV>>Но возникает следующий вопрос, по драйверу, что где и как?

А>Спроси в подфоруме "Низкоуровневое программирование" на RSDN. Мне сейчас некогда — скоро проект сдавать

HV>>сопутствующие советы если не сложно и можно)

А>Советы от меня и других участиков форума получишь, когда начнёшь задавать более конкретные вопросы.

Спасибо. Будем грызть. )

Здравствуйте, HighVoltage, Вы писали:
HV>Да, 1-е. Серьозный метод получения уведомлений.
Кстати, стопроцентной гарантии перехвата событий всё равно нет — это в конечном счёте функция файловой системы. Например, если какой-то диск примаутчен через CIFS, то нотификации будет только если сервер поддерживают этот протокол.С помошью драйвера упомянутого в теме, можно точно отследить только изменения на локальной машине, и то я не уверен что всегда.

Здравствуйте, HighVoltage, Вы писали:

HV>Проблемка. Надо перехватывать сообщение об удалении или изменении файла. И вообще всего что связано файлами (сохранение и т.п.)
читаю форум за посл месяц — каждые 30-50 вопросов — Ваш.
Re: Отсаживание удаляемых файлов. Что посоветуете?

Автор: Valery A. Boronin
Дата: 23.05.07

Re: Перехват аналога API MoveFile-какую информацию ловить?

Автор: Valery A. Boronin
Дата: 23.05.07

дальше может быть сами по форуму пройдетесь? или сразу в поиск в профильный форум как правильно аноним уже отправил. file system filter driver — поиск по этим словам

HV>Сколько вообще различных сообщений связанных с файлами и директориями (именно все виды чтения создания, редактирования удаления)
see IRP_MJ_XXX + FastIo ф-ии
при установленном IFS Kit или WDK примеры лежат тут <DDK>\src\filesys\filter

HV>И как их перехватывать?
выше