文件过滤驱动拦截的IRP主要包括以下几个：
IRP_MJ_CREATE，文件创建操作，文件的任何操作，都是从这里开始的。
IRP_MJ_CLEANUP，文件的HANDLE句柄全部关闭会触发这个消息
IRP_MJ_CLOSE，文件对象 FILE_OBJECT引用减为0，文件对象即将被删除时触发。
IRP_MJ_READ、IRP_MJ_WRITE， 文件的读写操作
IRP_MJ_QUERY_INFORMATION 查询文件信息，比如文件创建修改时间，文件大小等等。
IRP_MJ_SET_INFORMATION 设置文件信息，比如删除文件，重名文件，更改文件大小等等。
IRP_MJ_DIRECTORY_CONTROL 查询某个目录下的文件和子目录信息。
还有几个也需要处理的，如果不处理可能某些文件操作不正常。
IRP_MJ_QUERY_VOLUME_INFORMATION ，查询目录所在的卷设备信息。
IRP_MJ_QUERY_SECURITY 查询安全信息，在win7系统得处理这个，否则exe程序无法执行。
（还包括其他需要处理的IRP）。
看起来处理的IRP不算多，我当初也是这么想的，可是处理的细节却挺多。
（查看 WDK的实例里边的 fastfat目录 ，微软实现FAT32文件系统的源代码，那里边除了代码还是代码，而且还是异常的多）
我在前几篇文章中讲过虚拟磁盘驱动， 虚拟磁盘驱动加载的时候，会在Windows磁盘管理器出现一个新的磁盘，把这个磁盘分区格式化之后，可以正常的把他当成一个真正的磁盘来操作，可以在上边存放，删除文件目录等。
这些操作，经过Windows系统重重解析处理，最后会转换成对虚拟磁盘驱动单纯的对磁盘扇区的偏移读写操作，
然后把对扇区的偏移读写，通过多种途径比如是一个真正的文件，保存起来。操作这个虚拟磁盘，最终就变成操作一个单纯文件。
类似的概念，比如 Windows自带的vhd或vhdx格式的虚拟磁盘文件。
http://blog.csdn.net/fanxiushu/article/details/43636575