IRP_MJ_CREATE 调度例程

Windows 安全检查的主要部分发生在 IRP_MJ_CREATE 调度例程内。 这是因为大部分 Windows 安全模型都与访问验证相关。 访问验证结果作为由于此操作而创建的句柄的一部分进行存储。 针对此时计算的权限验证后续操作。

如果在打开文件或目录后文件的访问权限发生更改，则IRP_MJ_CREATE操作期间提供的原始访问权限将继续有效。 这些访问权限与句柄相关联，因此，只要句柄保留，通过句柄授予的访问权限就会控制后续操作。

本节包括下列主题：

检查IRP_MJ_CREATE上的遍历特权

检查IRP_MJ_CREATE的其他特殊情况

在 IRP_MJ_CREATE 上添加审核

管理IRP_MJ_CREATE上的访问控制列表

在 IRP_MJ_CREATE 上为新文件分配安全性

处理IRP_MJ_CREATE上的配额