希望在有人删除我的过滤器时收到通知

Question

我有 WFP 驱动程序，我在其中过滤网络事件，使用 FwpmFilterAdd 添加文件管理器，但 someone/an 应用程序可能使用 FwpmFilterDeleteByKey0 删除我的过滤器。我想收到关于我的过滤器删除的通知。 可以吗？

我可以看到 API 用于用户模式跟踪 FwpmFilterSubscribeChanges0 但没有找到内核模式

Answer 1

经过大量的 msdn 研究，我发现 FWPS_CALLOUT0_ 成员 NotifyFN 帮助我们获取过滤器 add/delete 通知。