【发布时间】：2011-06-02 18:19:54
【问题描述】：
Sysinternals 的进程监视器如何像它一样监视文件 IO 活动？如果启用高级信息，您可以看到以前显示为 CreateFile 的调用现在显示为 IRP_MJ_CREATE，这表明它挂钩了一些相当低级的东西。有谁知道它的挂钩/它是如何工作的？
【问题讨论】：
-
据我了解，使用/需要内核模式驱动程序来执行 Process Monitor 的工作。
-
我在哪里可以学习如何写一个？
-
进程监视器不需要安装，所以如果它真的安装了过滤器驱动程序或其他东西，我会感到惊讶。至于你的问题，你可以在哪里学习。想了解自己，但到目前为止我看过这本书：amazon.com/Windows-System-Internals-Classic-Reprints/dp/… 这可能会有所启发
标签： filesystems io monitoring procmon