Función FltGetCopyInformationFromCallbackData (fltkernel.h)

Artículo
02/29/2024

La rutina FltGetCopyInformationFromCallbackData recupera información de copia de los datos de devolución de llamada, si están presentes. La información de copia está en la extensión IRP para llamadas de lectura y escritura procedentes de NtCopyFileChunk.

Sintaxis

NTSTATUS FLTAPI FltGetCopyInformationFromCallbackData(
  [in]  PFLT_CALLBACK_DATA Data,
  [out] PCOPY_INFORMATION  CopyInformation
);

Parámetros

[in] Data

Puntero a una estructura de FLT_CALLBACK_DATA que contiene los datos de devolución de llamada.

[out] CopyInformation

Puntero a una estructura de COPY_INFORMATION en la que se escribirá la información de copia.

Valor devuelto

FltGetCopyInformationFromCallbackData devuelve STATUS_SUCCESS cuando se ha realizado correctamente o un código de error como el siguiente.

Código de error	Significado
STATUS_INVALID_PARAMETER	Los datos de devolución de llamada no son para una operación IRP.
STATUS_NOT_FOUND	La extensión IRP de información de copia no se estableció en irP.

Comentarios

Las operaciones de lectura o escritura de confianza de NtCopyFileChunk tendrán lo siguiente:

El modo de solicitante del IRP establecido en KernelMode.
Una extensión IRP con un tipo IopCopyInformationType e información sobre la operación de copia.

Los filtros no tienen acceso directamente a las extensiones IRP, pero pueden comprobar la presencia de la extensión de copia y obtener información de copia llamando a FltGetCopyInformationFromCallbackData.

Consulte Escenarios de copia de archivos en modo kernel y detección de escenarios de archivos de copia para obtener más información.