研究过filemon的进来帮个忙！

问题： 研究过filemon的进来帮个忙！
描述:

有关filemon的几个问题问一下：（回答几个是几个）谢谢！
1、DriverEntry函数中FilemonGetProcessNameOffset函数为何要和System进程做比较。
2、IoCreateDevice的参数Exclusive： Reserved for system use. Drivers set this parameter to FALSE. 为何filemon中设置为TRUE？
3、
//
// The special file system hook devices
// 
PDEVICE_OBJECT NamedPipeHookDevice = NULL;
PDEVICE_OBJECT MailSlotHookDevice = NULL;
这两个全局变量的作用是什么？
4、关于数据结构的介绍，GUIINTERFACE, STANDARD, NPFS, MSFS。以及\Device\NamedPipe和\Device\MailSlot的介绍？
5、ExAllocateFromNPagedLookasideList是作什么用的？
6、ExInitializeNPagedLookasideList函数中的’mlif’是什么意思？
7、#define HASHOBJECT(_fileobject) (((ULONG)_fileobject)>>5)%NUMHASH是什么意思？PFILE_OBJECT的fileobject在此处是什么？
8、对文件系统驱动的调用是I/O管理器发起的还是高速缓存管理器发起的？
9、既然I/O管理器可以越过文件系统驱动直接调用fast I/O path那么在文件系统驱动中设置fast I/O path又有什么用呢？

---

解决方案1:

2、IoCreateDevice的参数Exclusive： Reserved for system use. Drivers set this parameter to FALSE. 为何filemon中设置为TRUE？
如果为TRUE，就是说任何时候，只能打开一个设备句柄。
3、命名管道和mail slot是干什么的？
一种通信方式，看<WINDOWS网络编程》，WINDOWS把MAIL SLOT当作一种文件对象。

解决方案2:

2、IoCreateDevice的参数Exclusive： Reserved for system use. Drivers set this parameter to FALSE. 为何filemon中设置为TRUE？
看的什么DDK？我看的是MSDN2003。
他娃写错了三
3、命名管道和mail slot是干什么的？一种通讯方式
5. 驱动常用得链表
6.先是fast io,若false再是  read write IRP

解决方案3:

1、DriverEntry函数中FilemonGetProcessNameOffset函数为何要和System进程做比较。
DriverEntry是在system进程，当然找system
2、IoCreateDevice的参数Exclusive： Reserved for system use. Drivers set this parameter to FALSE. 为何filemon中设置为TRUE？
看的什么DDK？
3、
//
// The special file system hook devices
// 
PDEVICE_OBJECT NamedPipeHookDevice = NULL;
PDEVICE_OBJECT MailSlotHookDevice = NULL;
这两个全局变量的作用是什么？
看名字都能知道，一个是hook命名管道的，一个是hook mail slot的呗
4、关于数据结构的介绍，GUIINTERFACE, STANDARD, NPFS, MSFS。以及\Device\NamedPipe和\Device\MailSlot的介绍？
kao
5、ExAllocateFromNPagedLookasideList是作什么用的？
kao too，看DDK
6、ExInitializeNPagedLookasideList函数中的’mlif’是什么意思？
kao three， 看DDK
7、#define HASHOBJECT(_fileobject) (((ULONG)_fileobject)>>5)%NUMHASH是什么意思？PFILE_OBJECT的fileobject在此处是什么？
hash表怎么弄的，不知道就看数据结构，绝对有讲hash（哈希表）
8、对文件系统驱动的调用是I/O管理器发起的还是高速缓存管理器发起的？
9、既然I/O管理器可以越过文件系统驱动直接调用fast I/O path那么在文件系统驱动中设置fast I/O path又有什么用呢？
不知道说的什么意思

解决方案4:

呵呵，看不懂，就帮你顶一下吧！