Cygwin:打开句柄时删除文件

Cygwin: Deleting file when handle is opened

本文关键字：删除 文件 句柄 Cygwin      更新时间：2023-10-16

我有一个我想删除的文件，它的句柄由系统进程持有，所以每次我尝试删除它时，它都会Access denied但出于某种原因cygwin能够删除它。

我已经下载了coreutils并调查了rm可执行文件的源代码，发现它使用unlink函数来实现它。我创建了一个使用相同功能的小测试程序，但它无论如何都给了我Access denied。

然后我找到了这篇文章，这家伙描述了cygwin如何能够删除以下文件：

Cygwin始终使用所有共享标志打开文件 设置，因此由 Cygwin 进程打开的文件不应导致共享 在另一个公开调用中违规。 例外是第一个 NtOpenFile in unlink_nt，它打开文件时FILE_SHARE_DELETE 只是为了找到 如果文件在其他地方有打开的句柄，则输出。 在这种情况下，它会得到 STATUS_SHARING_VIOLATION，下一个 NtOpenFile 将打开文件 设置了所有共享标志，unlink_nt将尝试删除文件或 重命名它，或将其移动到回收站，具体取决于其路径。

这是有道理的，所以我开始实现同样的事情。这是我的代码：

HANDLE file;
PIO_STATUS_BLOCK stat;
UNICODE_STRING myUnicodeStr;
RtlInitUnicodeString(&myUnicodeStr, L"C:\Program Files (x86)\TSU\bin\TSU.sys");
POBJECT_ATTRIBUTES attr;
InitializeObjectAttributes (attr, &myUnicodeStr, OBJ_OPENIF, NULL, NULL);
NtOpenFile(&file, MAXIMUM_ALLOWED, attr, NULL, FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE, FILE_DELETE_ON_CLOSE);
NtClose(file);

如您所见，我正在尝试打开设置共享标志的文件，并且也使用FILE_DELETE_ON_CLOSE因为我关闭了句柄并希望之后将其删除。

由于某种原因，我遇到的问题是Segmentation Fault(我正在使用cygwin win10)。很少的调试表明由于某种原因InitializeObjectAttributes功能存在问题。

附言我知道当文件的句柄被其他进程持有时，删除文件不是最好的解决方案，但主要目标是以这种方式模仿rm.exe的行为。希望你能帮到忙。谢谢。

在 Windows 下并不总是可以删除文件。 例如，当某些进程将此文件映射为图像时

如果尝试删除带有rm.exe的正在运行的EXE文件 - 它首先使用DesiredAccess = DELETE、ShareAccess = FILE_SHARE_DELETE和OpenOptions = FILE_OPEN_FOR_BACKUP_INTENT调用ZwOpenFile。 这没关系。 比调用ZwSetInformationFileFileDispositionInformation-FILE_DISPOSITION_INFORMATIONDeleteFile设置为TRUE。此调用失败，状态为STATUS_CANNOT_DELETE。

文件系统返回STATUS_CANNOT_DELETE完全来自以下位置：

//  Make sure there is no process mapping this file as an image.
if (!MmFlushImageSection( &Fcb->NonPaged->SectionObjectPointers,
MmFlushForDelete )) {
DebugTrace(-1, Dbg, "Cannot delete user mapped imagen", 0);
return STATUS_CANNOT_DELETE;
}

比rm.exe再次尝试打开文件，已经有OpenOptions = FILE_OPEN_FOR_BACKUP_INTENT | FILE_DELETE_ON_CLOSE选项。 但是这个调用当然会失败，STATUS_CANNOT_DELETE相同。 现在从这一点开始错误：

//  If the user wants to delete on close, we must check at this
//  point though.
//
if (FlagOn(*DesiredAccess, FILE_WRITE_DATA) || DeleteOnClose) {
Fcb->OpenCount += 1;
DecrementFcbOpenCount = TRUE;
if (!MmFlushImageSection( &Fcb->NonPaged->SectionObjectPointers,
MmFlushForWrite )) {
Iosb.Status = DeleteOnClose ? STATUS_CANNOT_DELETE :
STATUS_SHARING_VIOLATION;
try_return( Iosb );
}
}

在此rm 之后.exe再次使用FileRenameInformation调用ZwSetInformationFile- 其中RootDirectory从FILE_RENAME_INFORMATION指向卷(文件所在的位置)根(所以像DeviceHarddiskVolume<N>和FileName指向回收站中的某个路径。 结果文件实际上移动了，但未删除。RM.exe欺骗你

相关文章：