首先啊，我想着就在应用层去做呗，因为驱动层我确实也没接触过，于是乎我就去一股脑去百度看了看有没有前人的案例参考参考，搜了后发现有修改注册表，组策略，还有windows自带的api（setupapi.h），我寻思注册表和组策略肯定不如api来的灵活，老板要求最好是有类似于白名单，根据策略去选择是否禁用这个u盘或者说别的存储设备，后续要是还需要别的拓展也方便一些，我就踏上了试错路。大概初步我的设计思路就是，我只要可以获取设备插入的信息，我就直接让该设备弹出，最多就是加个白名单去判断一下。因为是踩坑经历，我这里直接上部分代码了，因为多次修改多次测，备注搞忘掉了，有兴趣的可以把代码扔到ai里让它帮你分析一下就可以啦特意封装成类了，因为需求稍微变动，因为我这个没有界面嘛，所以要和公司内网的网页端通信，这样老板就可以躺在老板椅上打开网页随意管控咯，采用的udp通信哈，这个通信代码我就不贴了，就是单纯的简单通信，想试试的同学可以类调用Initialize方法就可以，采用的是监视WM_DEVICECHANGE消息。然后这个只解决了弹出u盘，坑的点就来了，如果是移动硬盘，我自己测试时候成功是能成功，但是要好久才能被弹出，部分电脑还弹不出，估计等弹出来机密文件都被带走咯，然后还有个问题就是，进程被结束了怎么搞，我做成服务，服务也可被结束，于是乎我就开始研究怎么样才能不被坏小子结束我的程序，后来我采用守护线程+dll注入的形式，把我的程序直接注入到explorer.exe资源管理器进程里，然后守护线程酷酷干。
由于之前没有接触过驱动这一块，主要老听别人说驱动很难很麻烦就没接触，现在光脚不怕穿鞋，冲就完了！！！
1.首先先搭个双机调试环境，我这虚拟机win7，win10都有，在虚拟机里记得把驱动签名禁用一下，然后就只需要vs弄一下驱动环境，这个就不多说了，百度都有
2.当有了驱动环境之后呢就创建这个
3.虚拟机里要有个DebugView和驱动的加载工具，方便你调试嘛。ok这样准备工作就完成了在入口注册了MiniFilter后，我们主要关注点是FLT_REGISTRATION的结构体，具体可以看微软的官方文档768K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9k6h3q4J5L8W2)9J5k6h3#2A6j5%4u0G2M7$3!0X3N6q4)9J5k6h3y4G2L8g2)9J5c8Y4A6Z5i4K6u0V1j5$3&6Q4x3V1k6%4K9h3&6V1L8%4N6K6i4K6u0V1K9r3q4J5k6s2N6S2M7X3g2Q4x3V1k6V1M7X3W2$3k6i4u0K6i4K6u0r3k6r3c8A6i4K6u0r3k6X3I4@1K9$3g2J5L8X3g2D9i4K6u0r3L8Y4y4Q4x3X3c8X3L8s2c8C8k6i4u0F1k6h3I4Q4x3X3c8Q4y4h3k6X3L8s2c8Q4y4h3k6J5k6h3N6A6M7%4c8J5j5i4c8A6L8$3^5`.我这里用的是InstanceSetupCallback的回调，因为我想拦截移动存储设备的插入，这个回调处理是比较好的，当卷挂载时会响应这个回调。这里回调里的思路是，首先第一步先获取卷的属性，然后去查看设备路径是否包含HarddiskVolume或者CdRom，这两个是u盘移动硬盘或者光驱等会显示的路径名，当然本地磁盘也会有这个，所以根据DeviceIoRequest去二次确认是否为移动存储设备，如果你需要根据u盘的序列号去做筛查也可以放在这个回调里去做，不过你需要提前通信得到被允许的序列号，此时就可以判断出这个挂载的移动存储设备是不是需要禁用的，你就可以进行选择附加，再去做后续的禁用读写操作，我这里是直接拒绝挂载的操作，直接删除目标卷的盘符符号，IoDeleteSymbolicLink这个函数就可以做到哈我这里用的是ObRegisterCallbacks是个笨办法，因为我需要通信，就让应用层顺便把自身pid传上来了剩下的就比较简单啦，就是纯体力活，就是通信既要和驱动层通信，还要和网页后端通信，调试测试也是比较麻烦，但是这个方法比刚开始的写的强很多！我这里就把最后的驱动代码作为附件上传吧，代码没有封装，写的比较乱哈，有兴趣的可以研究研究哈！#ifndef USB_EJECT_SERVICE_H
---
来源: 看雪论坛
原文链接: https://bbs.kanxue.com/thread-285447.htm