TP的踩坑实录：MiniFilter的卸载问题

你与明日 · 发表于 2021-3-24 14:47:16

谢谢分享,最近搞filter踩了很多坑,看看楼主怎么写的

wgy0323 · 发表于 2021-4-16 14:41:00

感谢分享！

ttff · 发表于 2021-5-4 16:12:01

感谢分享

maktom · 发表于 2021-6-18 16:34:03

xuexi

kernel_test · 发表于 2021-8-3 10:59:12

瞅瞅看看看

小猪猪 · 发表于 2022-10-27 20:21:18

前排学习

IBinary · 发表于 2022-11-30 17:10:41

想通信设置Minifilter卸载. 而不提供卸载回调是不是不行....

Tesla.Angela · 发表于 2022-12-2 13:41:02

IBinary 发表于 2022-11-30 17:10
想通信设置Minifilter卸载. 而不提供卸载回调是不是不行....

对。

即使是普通驱动，如果你把DriverUnload例程设置为NULL，那么都无法被ZwUnloadDriver卸载。

IBinary · 发表于 2022-12-3 18:47:18

Tesla.Angela 发表于 2022-12-2 13:41
对。

即使是普通驱动，如果你把DriverUnload例程设置为NULL，那么都无法被ZwUnloadDriver卸载。 ...

谢谢解惑.最近遇到个问题就是 minifilter如果不设置unload域.也无法被卸载. . 如果服务stop的时候会先调用到 minifilter的unload 如果没设置就不会走. 如果设置了DriverUnload那么先走minifilter的unload再走Drverunload.
我在DriverUnload中主动调用了一下 fltUnload.(关闭port 关闭client 关闭句柄) 然后驱动服务就先是 stop_pending... win7会显示. win10没事. 但还是显示服务占用. 恼火.

IBinary · 发表于 2022-12-3 18:49:30

IBinary 发表于 2022-12-3 18:47
谢谢解惑.最近遇到个问题就是 minifilter如果不设置unload域.也无法被卸载. . 如果服务stop的时候会先调 ...

我的需求就是不支持驱动卸载,而通过用户发控制码下来.然后在设置DriverUnload域.这时候才能被卸载.
用VS直接生成Minifilter框架. DriverUnload主动设置为NULL. minifilter也设置为NULL. 驱动就不支持卸载了.
然后后面又设置上DriverUnload. 是可以被卸载了. 很坑....(老驱动是wdk7600)

帐号		自动登录	找回密码
密码			加入我们