FSD HOOK與SSDT HOOK恢復簡單思路

FSD 解釋： File System Driver文件系統 驅動程序，分爲本地FSD和遠程FSD。 (1) 本地FSD：允許用戶訪問本地計算機上的數據 ——本地FSD負責向I/O管理器註冊自己，當開始訪問某個卷時，I/O管理器調用FSD來進行卷識別。 ——完成卷識別後，本地FSD創建一個設備對象以表示所裝載的文件系統。 ——I/O管理器通過卷參數塊（VPB）在存儲管理器創建的卷設備對象和FSD創

>>阅读原文<<