在内核驱动程序中使用Windows过滤平台

Question

我们最近为我们的驱动程序添加了Windows过滤平台功能。

我们设法从wfp中获得了我们所需的信息，没有问题，但问题在于引导过程中 - 因为我们添加了wfp功能，使用驱动程序的计算机无法启动 - 它们发生死锁（计算机的“卡在启动画面中）。

我们认为它可能是因为我们的驱动程序仅依赖于FltMgr，并且可能在加载wfp框架之前加载（TcpStack？）。

我的问题是 - 有没有办法问服务经理或任何其他权威是否加载了wfp框架？甚至更远 - 什么是驱动程序wfp是依赖于？ （所以我可以检查它们是否在开始使用前加载）

Answer 1

这是我在DriverEntry中所做的。

// 
// Wait for the WFP engine to be ready. 
// 

FWPM_SERVICE_STATE bfeState; 

bfeState = FwpmBfeStateGet0(); 
if (bfeState != FWPM_SERVICE_RUNNING) 
{ 
    WaitTime.QuadPart = (-5000000); // wait 500000us (500ms) relative 
    do { 
     KeDelayExecutionThread (KernelMode, FALSE, &WaitTime); 
     bfeState = FwpmBfeStateGet0(); 
     WaitCycles--; 
    } while (bfeState != FWPM_SERVICE_RUNNING && WaitCycles > 0); 
} 

if (bfeState != FWPM_SERVICE_RUNNING) 
{ 
    // log and error handling 
}