gpt4 book ai didi

c - Winapi:获取具有特定文件句柄的进程

转载 作者:可可西里 更新时间:2023-11-01 09:32:28 30 4
gpt4 key购买 nike

目前我有一个带有文件过滤驱动的软件,在软件安装过程中,驱动以服务方式启动:

CreateService(serviceManager, name, displayName,
SERVICE_START | DELETE | SERVICE_QUERY_STATUS | SERVICE_STOP,
SERVICE_FILE_SYSTEM_DRIVER, SERVICE_AUTO_START, SERVICE_ERROR_IGNORE,
path, NULL, NULL, NULL, NULL, NULL);

路径是C:\Program Files(x86)\TSU\driver\TSUfsd.sys .

我遇到的问题是在卸载软件的过程中。当软件试图删除 TSUfsd.sys 时,它让我访问被拒绝文件。

我检查了该软件如何删除驱动程序,结果发现它使用 DeleteService 删除了它。函数,并等待服务从 SERVICE_STOP_PENDING 更改其状态至 SERVICE_STOPPED如果一段时间后没有发生,它会获得服务 PID并用 ProcessTerminate 杀死它然后尝试使用 rmdir /S /Q C:\Program Files(x86)\TSU\ 删除文件.

我试图找到可能拥有文件句柄的进程(使用 Process Explorer),但找不到任何文件。然后我想也许服务还活着,所以我输入了 sc query TSUfsd但服务也不见了。

我也尝试过更改权限并向我的用户授予完全权限,但仍然出现同样的错误。

所以我的问题是:

  1. 是否有任何其他方法来检查哪个进程(或其他任何进程)可以保留文件?

  2. 我还注意到,每当我尝试使用 Cygwin( rm TSUfsd.sys ) 删除文件时,它都会毫无问题地删除文件。使用 cmd( del /f <filename> ) 和使用 cygwin 删除文件有什么区别?

最佳答案

对于此任务,从 Windows Vista 开始特别存在 FileProcessIdsUsingFileInformation FILE_INFORMATION_CLASS .

因此我们需要使用 FILE_READ_ATTRIBUTES 打开文件(即使有人使用 0 共享模式打开文件也是可能的。如果我们无权访问文件(通过 DACL ) 但具有对父目录的读取权限)。并调用NtQueryInformationFile使用 FileProcessIdsUsingFileInformation。返回时,我们得到了 FILE_PROCESS_IDS_USING_FILE_INFORMATION 结构(在 wdm.h 中定义),其中 ProcessId 列表包含此文件(打开文件句柄或映射部分)。说如果这个文件是exe/dll——我们在它加载的地方得到了进程ID)。每个 id 的打印过程名称也很好:

volatile UCHAR guz = 0;

NTSTATUS PrintProcessesUsingFile(HANDLE hFile)
{
NTSTATUS status;
IO_STATUS_BLOCK iosb;

ULONG cb = 0, rcb = FIELD_OFFSET(FILE_PROCESS_IDS_USING_FILE_INFORMATION, ProcessIdList[64]);

union {
PVOID buf;
PFILE_PROCESS_IDS_USING_FILE_INFORMATION ppiufi;
};

PVOID stack = alloca(guz);

do
{
if (cb < rcb)
{
cb = RtlPointerToOffset(buf = alloca(rcb - cb), stack);
}

if (0 <= (status = NtQueryInformationFile(hFile, &iosb, ppiufi, cb, FileProcessIdsUsingFileInformation)))
{
if (ppiufi->NumberOfProcessIdsInList)
{
PrintProcessesUsingFile(ppiufi);
}
}

rcb = (ULONG)iosb.Information;

} while (status == STATUS_INFO_LENGTH_MISMATCH);

return status;
}

NTSTATUS PrintProcessesUsingFile(POBJECT_ATTRIBUTES poa)
{
IO_STATUS_BLOCK iosb;
HANDLE hFile;
NTSTATUS status;
if (0 <= (status = NtOpenFile(&hFile, FILE_READ_ATTRIBUTES, poa, &iosb, FILE_SHARE_VALID_FLAGS, 0)))
{
status = PrintProcessesUsingFile(hFile);
NtClose(hFile);
}

return status;
}

NTSTATUS PrintProcessesUsingFile(PCWSTR FileName)
{
UNICODE_STRING ObjectName;
NTSTATUS status = RtlDosPathNameToNtPathName_U_WithStatus(FileName, &ObjectName, 0, 0);
if (0 <= status)
{
OBJECT_ATTRIBUTES oa = { sizeof(oa), 0, &ObjectName };
status = PrintProcessesUsingFile(&oa);
RtlFreeUnicodeString(&ObjectName);
}

return status;
}

NTSTATUS PrintProcessesUsingFile(PFILE_PROCESS_IDS_USING_FILE_INFORMATION ppiufi)
{
NTSTATUS status;

ULONG cb = 0x8000;

do
{
status = STATUS_INSUFFICIENT_RESOURCES;

if (PVOID buf = new BYTE[cb])
{
if (0 <= (status = NtQuerySystemInformation(SystemProcessInformation, buf, cb, &cb)))
{
union {
PVOID pv;
PBYTE pb;
PSYSTEM_PROCESS_INFORMATION pspi;
};

pv = buf;
ULONG NextEntryOffset = 0;

do
{
pb += NextEntryOffset;

ULONG NumberOfProcessIdsInList = ppiufi->NumberOfProcessIdsInList;

PULONG_PTR ProcessIdList = ppiufi->ProcessIdList;
do
{
if (*ProcessIdList++ == (ULONG_PTR)pspi->UniqueProcessId)
{
DbgPrint("%p %wZ\n", pspi->UniqueProcessId, &pspi->ImageName);
break;
}
} while (--NumberOfProcessIdsInList);

} while (NextEntryOffset = pspi->NextEntryOffset);
}

delete [] buf;
}

} while (status == STATUS_INFO_LENGTH_MISMATCH);

return status;
}

关于c - Winapi:获取具有特定文件句柄的进程,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/47507578/

30 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com