文件删除

最新推荐文章于 2022-11-13 11:05:09 发布
最新推荐文章于 2022-11-13 11:05:09 发布
阅读量367 收藏
点赞数
文章标签： 操作系统
原文链接：http://www.cnblogs.com/xmcc/archive/2012/04/30/2472072.html
版权

操作系统内部文件删除的步骤：

　　删除的操作，第一步是打开文件，打开文件的时候必须设置为可以删除。如果打开失败，则直接导致无法删除文件。第二步设置文件属性为用于删除，第三步关闭文件即可。关闭的时候，文件被系统删除。 这里的“删除”并非把文件删除到回收站，而是彻底的就爱那个文件清除，文件删除到回收站只是一种改名操作。

I、打开文件 IoCreateFile

完成例程 
NTSTATUS 
SetInformationCompletion( 
                            IN PDEVICE_OBJECT DeviceObject, 
                            IN PIRP Irp, 
                            IN PVOID Context 
                            ) 
{ 
    Irp->UserIosb->Status = Irp->IoStatus.Status; 
    Irp->UserIosb->Information = Irp->IoStatus.Information; 

    KeSetEvent(Irp->UserEvent, IO_NO_INCREMENT, FALSE); 

    IoFreeIrp(Irp); 
    return STATUS_MORE_PROCESSING_REQUIRED; 
} 
/************************************************************************/
/*       根据文件路径打开文件 并获取相应的文件句柄                                                               */
/************************************************************************/
HANDLE 
OpenFile( 
            IN PCWSTR FileName, 
            IN ACCESS_MASK DesiredAccess, 
            IN ULONG ShareAccess 
            ) 
{ 
    NTSTATUS            ntStatus; 
    UNICODE_STRING      uniFileName; 
    OBJECT_ATTRIBUTES  objectAttributes; 
    HANDLE              ntFileHandle; 
    IO_STATUS_BLOCK    ioStatus; 

    //确保IRQL在PASSIVE_LEVEL上
    if (KeGetCurrentIrql() > PASSIVE_LEVEL) 
    { 
        KdPrint(("Do Not At PASSIVE_LEVEL!\n"));
        return 0; 
    } 

    RtlInitUnicodeString(&uniFileName, FileName); 
//初始化对象属性 
    InitializeObjectAttributes(&objectAttributes, &uniFileName, 
        OBJ_KERNEL_HANDLE | OBJ_CASE_INSENSITIVE, NULL, NULL); 
    ntStatus = IoCreateFile(&ntFileHandle, 
        GENERIC_READ|SYNCHRONIZE, 
        &objectAttributes, 
        &ioStatus, 
        0, 
        FILE_ATTRIBUTE_NORMAL, 
        FILE_SHARE_READ|FILE_SHARE_WRITE|FILE_SHARE_DELETE, 
        FILE_OPEN, 
        0, 
        NULL, 
        0, 
        CreateFileTypeNone, 
        NULL, 
        IO_NO_PARAMETER_CHECKING); 

    if (!NT_SUCCESS(ntStatus)) 
    { 
        KdPrint(("IrpCreateFile: IoCreateFile 0x%X.\n",ntStatus));
        return 0; 
    } 

    return ntFileHandle; 
} 
BOOLEAN 
DeleteFile( 
              IN HANDLE  FileHandle 
              ) 
{ 
    NTSTATUS ntStatus = STATUS_SUCCESS;
    PFILE_OBJECT fileObject;
    PDEVICE_OBJECT DeviceObject;
    PIRP Irp;
    KEVENT SycEvent ;
    FILE_DISPOSITION_INFORMATION FileInformation;
    IO_STATUS_BLOCK ioStatus;
    PIO_STACK_LOCATION irpSp;
    PSECTION_OBJECT_POINTERS pSectionObjectPointer; 

    // 获取文件对象
    ntStatus = ObReferenceObjectByHandle ( FileHandle, DELETE,
        *IoFileObjectType, KernelMode, (PVOID*)&fileObject, NULL) ;
    if ( !NT_SUCCESS(ntStatus) )
    {
        DbgPrint ( "ObReferenceObjectByHandle error!" ) ;
        return FALSE;
    }

    // 获取与指定文件对象相关联的设备对象
    DeviceObject = IoGetRelatedDeviceObject ( fileObject ) ;

    // 创建IRP
    Irp = IoAllocateIrp ( DeviceObject->StackSize, TRUE ) ;
    if (Irp == NULL)
    {
        ObDereferenceObject ( fileObject ) ;
        DbgPrint ( "FD_DeleteFile IoAllocateIrp error" ) ;
        return FALSE;
    }

    // 初始化同步事件对象
    KeInitializeEvent ( &SycEvent, SynchronizationEvent, FALSE ) ;

    FileInformation.DeleteFile = TRUE;

    // 初始化IRP
    Irp->AssociatedIrp.SystemBuffer = &FileInformation;
    Irp->UserEvent = &SycEvent;
    Irp->UserIosb = &ioStatus;
    Irp->Tail.Overlay.OriginalFileObject = fileObject;
    Irp->Tail.Overlay.Thread = (PETHREAD)KeGetCurrentThread();
    Irp->RequestorMode = KernelMode;

    // 设置IRP堆栈
    irpSp = IoGetNextIrpStackLocation(Irp);
    irpSp->MajorFunction = IRP_MJ_SET_INFORMATION;
    irpSp->DeviceObject = DeviceObject;
    irpSp->FileObject = fileObject;
    irpSp->Parameters.SetFile.Length = sizeof(FILE_DISPOSITION_INFORMATION);
    irpSp->Parameters.SetFile.FileInformationClass = FileDispositionInformation;
    irpSp->Parameters.SetFile.FileObject = fileObject;

    // 设置完成例程
    IoSetCompletionRoutine ( Irp, SetInformationCompletion, NULL, TRUE, TRUE, TRUE ) ;

    // 如果没有这3行，就无法删除正在运行的文件
    pSectionObjectPointer = fileObject->SectionObjectPointer;
    pSectionObjectPointer->ImageSectionObject = 0;
    pSectionObjectPointer->DataSectionObject = 0;
/*

强制删除文件的思路很简单，把SECTION_OBJECT_POINTERS结构的DataSectionObject和 ImageSectionObject两个域清空即可删除正在运行的文件。
如果不清空就不能删除运行中的文件。正在运行的文件的这两个域值不为0而文件系 统正在根据这两个域决定该文件是否可以删除。如果文件系统检测这两个值为0，
就理解为文件没有被使用，可以删除。接下去，就是直接发IRP。

*/
    // 派发IRP
    IoCallDriver ( DeviceObject, Irp ) ;

    // 等待IRP完成
    KeWaitForSingleObject ( &SycEvent, Executive, KernelMode, TRUE, NULL);

    // 递减引用计数
    ObDereferenceObject ( fileObject ) ;

    return TRUE ;

}

 

NTSTATUS
IoCreateFile(
    __out PHANDLE FileHandle,//返回的文件句柄
    __in  ACCESS_MASK DesiredAccess,//访问权限，FILE_READ_ATTRIBUTES

    __in  POBJECT_ATTRIBUTES ObjectAttributes,
    __out PIO_STATUS_BLOCK IoStatusBlock,
    __in_opt PLARGE_INTEGER AllocationSize,
    __in  ULONG FileAttributes,
    __in  ULONG ShareAccess,
    __in  ULONG Disposition,
    __in  ULONG CreateOptions,
    __in_opt PVOID EaBuffer,
    __in  ULONG EaLength,
    __in  CREATE_FILE_TYPE CreateFileType,
    __in_opt PVOID InternalParameters,
    __in  ULONG Options
    );

 ObjectAttributes 为文件属性

//初始化对象属性
 InitializeObjectAttributes(&objectAttributes, &uniFileName,  OBJ_KERNEL_HANDLE | OBJ_CASE_INSENSITIVE, NULL, NULL);

uniFileName 为输入的文件名 绝对路径 "\\??\\C:\\test.exe"（或者"\\DosDevice\\C:\\test.exe"）

至此生成文件句柄，再根据文件句柄获取文件对象FileObject

// 获取文件对象
 ntStatus = ObReferenceObjectByHandle ( FileHandle, DELETE,
  *IoFileObjectType, KernelMode, (PVOID*)&fileObject, NULL) ;

FileHandle ：IoCreateFile生成的文件句柄

IoFileObjectType：为系统的全局变量

fileObject：生成的文件对象

// 获取与指定文件对象相关联的设备对象
 DeviceObject = IoGetRelatedDeviceObject ( fileObject ) ;

 // 创建IRP
 Irp = IoAllocateIrp ( DeviceObject->StackSize, TRUE ) ;

// 初始化同步事件对象

 KeInitializeEvent ( &SycEvent, SynchronizationEvent, FALSE ) ;

 FileInformation.DeleteFile = TRUE;

///

// 初始化IRP

 Irp->AssociatedIrp.SystemBuffer = &FileInformation;

 Irp->UserEvent = &SycEvent;

 Irp->UserIosb = &ioStatus;

 Irp->Tail.Overlay.OriginalFileObject = fileObject;

 Irp->Tail.Overlay.Thread = (PETHREAD)KeGetCurrentThread();

 Irp->RequestorMode = KernelMode;

 // 设置IRP堆栈

 irpSp = IoGetNextIrpStackLocation(Irp);

 irpSp->MajorFunction = IRP_MJ_SET_INFORMATION;  

irpSp->DeviceObject = DeviceObject;

 irpSp->FileObject = fileObject;

 irpSp->Parameters.SetFile.Length = sizeof(FILE_DISPOSITION_INFORMATION);

 irpSp->Parameters.SetFile.FileInformationClass = FileDispositionInformation;

 irpSp->Parameters.SetFile.FileObject = fileObject;

 // 设置完成例程

 IoSetCompletionRoutine ( Irp, SetInformationCompletion, NULL, TRUE, TRUE, TRUE ) ;

///

 pSectionObjectPointer = fileObject->SectionObjectPointer;
 pSectionObjectPointer->ImageSectionObject = 0;
 pSectionObjectPointer->DataSectionObject = 0;
强制删除文件的思路很简单，把SECTION_OBJECT_POINTERS结构的DataSectionObject和 ImageSectionObject两个域清空即可删除正在运行的文件。
如果不清空就不能删除运行中的文件。正在运行的文件的这两个域值不为0而文件系 统正在根据这两个域决定该文件是否可以删除。如果文件系统检测这两个值为0，
就理解为文件没有被使用，可以删除。接下去，就是直接发IRP。

收尾工作

IoCallDriver ( DeviceObject, Irp ) ;

 // 等待IRP完成

 KeWaitForSingleObject ( &SycEvent, Executive, KernelMode, TRUE, NULL);

 // 递减引用计数  

ObDereferenceObject ( fileObject ) ;

///

 

转载于:https://www.cnblogs.com/xmcc/archive/2012/04/30/2472072.html

weixin_34111819
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
文件强删
逆向学习
09-22 1015
文章目录前言内核层强删一个文件的思路一，需要打开这个文件。二，被其它程序独占的话如何解决？三，如果该文件正在运行的话如何解决？四，构建IRP删除文件。局限性扩展——其他方法局限性扩展——其他方法 前言 本人是驱动新手，因为秋招的一些方面的原因，我最近才进行驱动方面的学习。学了一段时间后了解了一个内核强删文件的方法。 内核层强删一个文件的思路 当病毒或者木马等进行了SSDT HOOK了一些API之后...
串口之CreateFile 函数详解
一蓑烟雨任平生 也无风雨也无晴
08-18 2万+
HANDLE CreateFile( LPCTSTR lpFileName, //指向文件名的指针 DWORD dwDesiredAccess, //访问模式（写/读） DWORD dwShareMode, //共享模式 LPSECURITY_ATTRIBUTES lpSecurityAttributes, //指向安全属性的指针 DWORD dwCreationDi
文件操作
shawn的专栏
05-28 801
<br />基本用法：<br />http://blog.csdn.net/yingfox/archive/2007/12/06/1921600.aspx<br /> <br />个人写的代码：<br />#include <stdio.h> #include <stdlib.h> #include <windows.h> int main() { char szFileName[MAX_PATH]; ZeroMemory(szFileName, MAX_PATH); strcpy
操作系统之文件的基本操作
linjianshaonian_的博客
11-13 927
2.用户进程表可以有多个，其中由于对文件读写指针和访问权限不同而被放在表项之中，另外有系统表索引号，用来指向系统的打开文件表中的某一个表项，表示用户对指向的文件进行某些操作；3.用户进程的读写指针记录了该进程对用户的读写操作进行到的位置，不同用户的读写指针进行到的位置不一样，因此不同进程的读写指针也不一样；在正式开始读文件的时候，记事本进程已经有了该文件对应的表项，因此记事本进程只需要知道要读的文件对应的文件编号就可以了；2.根据用户提供的文件的路径，os一层层的查找目录，找到文件对应的目录项；
windows32 api文件操作
她的吻让他
07-06 8121
                                              本文有大量链接引用.如触犯了您的利益请下方留言前言熟悉的文件打开操作有open、fopen、createfile、CFile类他们的关系（论坛上出现过的问题）：CFile 或者 C++的fstrem或者C lib fopen，终究都会调用Win32 APICreateFileCreateFile是操作系统提...
顽固文件删除 killbox
12-22
【顽固文件删除 Killbox】是一款专业的文件强制删除工具，主要针对那些常规方式无法正常删除的顽固型文件。在日常使用计算机时，有时我们会遇到某些文件由于正在被其他程序占用，或者拥有管理员权限，导致普通的方式...
重复文件删除工具重复文件删除工具
01-18
在IT领域，重复文件删除是优化存储空间和提高系统效率的一种常见操作。本文将深入探讨“重复文件删除工具”的工作原理、实现方式以及SHA256哈希算法在其中的作用。 重复文件删除工具的主要功能是查找并清理硬盘上...
秋天一键批量重复文件删除V1.01
04-13
《秋天一键批量重复文件删除V1.01》是一款实用的工具软件，专注于帮助用户高效地处理电脑中的重复文件问题。这款应用基于Qt框架开发，提供了简洁易用的界面和强大的功能，使得用户无需复杂的操作就能完成批量查找并...
重复文件删除工具，亲测可用
05-23
本文将深入探讨如何使用“重复文件删除工具”来优化存储空间，并分享一些亲测可行的方法。 重复文件删除工具是一种专门用于查找并删除系统中相同内容的文件的软件。这些工具通过比较文件的哈希值（一种独特的数字...
重复文件删除器
10-26
"重复文件删除器"是一款基于MFC（Microsoft Foundation Classes）框架设计的应用程序，主要用于查找并删除指定文件夹下的重复文件。MFC是微软提供的一种C++类库，它为开发者提供了一种创建Windows应用程序的标准化...
文件自删除的一些资料与实现
商少
10-04 928
原文链接https://blogs.msdn.microsoft.com/oldnewthing/20160108-00/?p=92821MSDN 上关于 FILE_FLAG_DELETE_ON_CLOSE 的描述       当文件的所有句柄都被关闭的时候，文件立马被删除，包括这个函数返回的句柄以及其它的打开的句柄以及复制的句柄。        如果已经存在了这个文件的一个打开的句柄，这个函数调
java 映射文件加锁_java-在Windows中使用SHARE属性对文件进行内存映射(因此未锁定文件以防删除)...
weixin_29131709的博客
03-02 141
如前所述,如果通过2种方式创建的部分(文件映射)没有SEC_IMAGE属性,则可以删除映射文件：@eryksun>使用FILE_FLAG_DELETE_ON_CLOSE标志打开文件-该文件是在关闭所有句柄后立即删除包括指定的句柄以及任何其他打开或重复的句柄处理.或者我们可以使用NtOpenFile或NtCreateFile呼叫带有标志FILE_DELETE_ON_CLOSE.>致电Zw...
IoCreateFile也可以用ZwCreateFile，及二者区别
一介码农，热爱金融。
10-18 1465
在内核中我们进行文件操作，可以使用IoCreateFile也可以用ZwCreateFile。 但究竟这两者有什么差别呢？下面是这两个函数的格式如下： NTSTATUS IoCreateFile( OUT PHANDLE FileHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes, OU
打开被独占的文件方法（三） -- 使用直接硬盘访问读取文件
anhkgg的专栏
04-27 3084
打开被独占的文件方法（三） -- 使用直接硬盘访问读取文件 2010年06月08日 星期二 11:41 来自：http://hi.baidu.com/wsh_chb/blog/item/60556ea1f6787d86471064a8.html 使用直接硬盘访问读取文件 “直接访问硬盘”这个想法当然很酷，但很快DOS编程爱好者们就会失望，这里没有硬件操作，因为
c盘中可以删除的文件有哪些？
热门推荐
fei2636的博客
05-18 7万+
win7系统很占用空间，所以说，如果你的c盘空间不够强大的话，是无法承载win7系统的，但是即便是安装了win7系统，我们也可以对c盘的空间进行优化，下面小编就来告诉大家，c盘中可以删除的文件有哪些?　　打开c盘，我们可以看到里面的组织构架，里面的文件其实很多都与电脑的系统相关，可是不能随便删除的哦，我们可以找到下面的这三个文件!　　第一个文件，Documentsand Settings文件。这个...
文件、目录无法删除的解决办法
sku
04-19 5065
无法删除？ 文件被其它程序占用会出现无法删除的情况，在 Windows10 以前有一款很流行的工具 Unlocker 用于文件和目录的解锁操作，解除占用，用于删除顽固文件。 不过在 Windows10 上，可以利用系统自带的任务管理器轻松查看、终止占用文件的程序。 具体操作 打开任务管理器，切换到性能选项卡，在底部找到性能监视器。 在性能监视器中切换到CPU选项卡，底部关联句柄中...
FileShare枚举的使用(文件读写锁)
weixin_34096182的博客
04-20 252
开发过程中，我们往往需要大量与文件交互，但往往会出现很多令人措手不及的意外，所以对普通的C#文件操作做了一次总结，问题大部分如下： 1：写入一些内容到某个文件中，在另一个进程/线程/后续操作中要读取文件内容的时候报异常，提示System.IO.IOException: 文件“XXX”正由另一进程使用，因此该进程无法访问此文件。 2：在对一个文件进行一些操作后（读/写），随后想追加依然报Sys...
linux 文件删除
最新发布
05-10
在 Linux 中，文件删除通常使用 rm 命令来实现。rm 命令用于删除文件或目录，语法格式如下： ``` rm [OPTION]... FILE... ``` 其中，FILE 是要删除的文件或目录的名称。如果要删除多个文件或目录，可以在命令中...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值