estrutura FILTER_INITIALIZATION_DATA (ntdddump.h)

Artigo
02/29/2024

O driver de filtro preenche uma estrutura FILTER_INITIALIZATION_DATA e a retorna ao driver de despejo de memória.

Sintaxe

typedef struct _FILTER_INITIALIZATION_DATA {
  ULONG        MajorVersion;
  ULONG        MinorVersion;
  PDUMP_START  DumpStart;
  PDUMP_WRITE  DumpWrite;
  PDUMP_FINISH DumpFinish;
  PDUMP_UNLOAD DumpUnload;
  PVOID        DumpData;
  ULONG        MaxPagesPerWrite;
  ULONG        Flags;
  PDUMP_READ   DumpRead;
} FILTER_INITIALIZATION_DATA, *PFILTER_INITIALIZATION_DATA;

Membros

MajorVersion

Defina como um dos seguintes valores de versão principal:

DUMP_FILTER_MAJOR_VERSION_1 (0x1)

DUMP_FILTER_MAJOR_VERSION (0x2)

MinorVersion

Defina como DUMP_FILTER_MINOR_VERSION.

DumpStart

Um ponteiro para a rotina de inicialização do despejo. Essa rotina é chamada quando o despejo de memória é iniciado.

DumpWrite

Um ponteiro para a rotina de gravação. Essa rotina é chamada antes de cada solicitação de gravação de despejo de memória.

DumpFinish

Um ponteiro para a rotina de término do despejo. Essa rotina é chamada quando o despejo de memória é concluído.

DumpUnload

Um ponteiro para a rotina de descarregamento de despejo. Essa rotina é chamada antes que o driver seja descarregado.

DumpData

O driver de filtro pode passar um ponteiro para dados de contexto internos nesse membro. Esse ponteiro é passado de volta para o driver de filtro em uma estrutura FILTER_EXTENSION durante cada retorno de chamada.

MaxPagesPerWrite

O número máximo de páginas para cada solicitação de leitura ou gravação de despejo.

Flags

Um conjunto de sinalizadores para inicialização do filtro de despejo. Esse valor é definido como 0 ou o seguinte:

Valor	Significado
DUMP_FILTER_FLAG_SYSTEM_SUPPORT_READ	O filtro de despejo dá suporte a leituras de filtragem e uma rotina de retorno de chamada de leitura é definida para DumpRead. Esse sinalizador tem suporte a partir de Windows 8.
DUMP_FILTER_CRITICAL	Falha na inicialização do filtro imediatamente se a rotina DriverEntry do driver de filtro de despejo não retornar STATUS_SUCCESS. Esse sinalizador tem suporte a partir de Windows 8.

DumpRead

Um ponteiro para a rotina de leitura. Essa rotina é chamada após cada solicitação de leitura de despejo de memória. Esse membro está disponível a partir de Windows 8.

Comentários

Para que um driver de filtro de despejo dê suporte à filtragem de leitura, as seguintes configurações são necessárias:

O sinalizador DUMP_FILTER_FLAG_SYSTEM_SUPPORT_READ é definido em Sinalizadores.
MajorVersion é definido como DUMP_FILTER_MAJOR_VERSION = 2.
O ponteiro DumpRead é definido como a rotina de leitura do driver de filtro de despejo.

Se qualquer um desses membros não estiver definido, o driver de filtro de despejo será marcado como sem dar suporte a leituras de despejo pela pilha de carimbo de memória.