Windows Minifilter驱动无法通过sc/net命令停止的问题及原因探究

问题还原 #

用Visual Studio的KMDF模板创建驱动项目，手动添加FltRegisterFilter等Minifilter核心函数，按照官方文档修改INF文件后，驱动能通过sc start或net start正常启动，但尝试停止时服务状态变为NOT_STOPPABLE，fltmc unload也无法卸载驱动，只能删服务重启电脑。移除INF里的PnpLockdown=1后，服务初始显示STOPPABLE，但执行sc stop后还是会变成NOT_STOPPABLE。直到注释DriverEntry里的WdfDriverCreate等WDF初始化代码，问题才解决，而微软官方的Minifilter示例根本没有这些WDF函数。

核心原因 #

Minifilter框架和KMDF框架是两套独立的驱动体系，生命周期管理逻辑冲突：

• Minifilter属于文件系统过滤驱动，由Filter Manager（fltmgr.sys）全权负责加载、卸载和状态管理，自带完整的回调机制（比如注册过滤实例、处理卸载请求），不需要依赖KMDF的对象模型。
• KMDF模板默认会初始化WDF驱动对象，它对服务停止请求有自己的处理逻辑。当你同时初始化WDF和注册Minifilter时，两个框架的生命周期管理会打架：WDF会拦截服务停止请求，而Minifilter的卸载需要Filter Manager发起，两者逻辑不兼容，最终导致驱动陷入无法停止的状态。
• 微软官方Minifilter示例不用KMDF，就是因为Minifilter框架本身已经覆盖了驱动生命周期的所有需求，额外引入KMDF完全是画蛇添足，还会引发冲突。

解决办法 #

1. 换用正确的模板：直接用Visual Studio里的「Windows Filter Driver」模板创建项目，这个模板是专门为Minifilter设计的，自带正确的初始化逻辑，不需要手动加WDF代码。
2. 改造现有项目：彻底移除所有WDF相关代码和配置：
   • 删除DriverEntry中的WdfDriverCreate调用及相关WDF初始化代码
   • 移除代码中对WDF头文件的引用
   • 修改INF文件，删掉所有KMDF相关的配置段（比如[KmdfService]），只保留Minifilter所需的配置（比如ServiceType=2、StartType=3）

额外注意 #

Minifilter的卸载要按顺序来：先执行fltmc unload <你的过滤名称>让Filter Manager清理过滤实例，再执行sc stop <服务名>停止服务。如果反过来操作，很容易导致Filter Manager无法正常清理，驱动就会停不下来。

内容的提问来源于stack exchange，提问作者user3365407