Question

我知道 GetFinalPathNameByHandle 可用于获取符号链接或重新分析点的目标，但有些情况下不需要使用它：

如果目标不可用，不存在或无法打开，则符号链接上的 CreateFile 将失败，因此无法获取路径。
如果我指出一个符号链接＆＃34; a＆＃34;提交＆＃34; b＆＃34;并创建一个符号链接＆＃34; b＆＃34;提交＆＃34; c＆＃34;，该功能跟随整个链，返回＆＃34; c＆＃34;。
当我已经掌握了实际符号链接的句柄时，该函数没用多少。

似乎 DeviceIoControl 可以与FSCTL_GET_REPARSE_POINT一起使用来获取文件的实际重新分析数据，但这会得到REPARSE_DATA_BUFFER，我将不得不解析那个。

我不知道系统如何实际处理重新分析点，但我认为目标位置是一段应该在某个时刻可用的信息。例如，dir命令可以正确显示任何重新分析点的目标路径......我已经看到它只处理符号链接和挂载点（交汇点）。

Answer 1

系统如何实际处理重新分析点

这是在文件系统和文件系统过滤器驱动程序中完成的。结果取决于调用FILE_FLAG_OPEN_REPARSE_POINT中使用的CreateFile选项（或NT调用中的FILE_OPEN_REPARSE_POINT）。

指定FILE_FLAG_OPEN_REPARSE_POINT时 - 文件系统绕过文件的正常重新分析点处理，并尝试按原样直接打开重新分析点文件。

如果未指定FILE_OPEN_REPARSE_POINT标志 - 文件系统尝试打开重新分析点所指向的文件（如果fs理解重新分析点的格式 - 仅限主要的Microsoft重新分析点）

保存在重新分析点的数据格式为REPARSE_DATA_BUFFER（Microsoft重新分析点格式）或REPARSE_GUID_DATA_BUFFER - 需要在开始时查找ReparseTag。

确定重新分析点标记是否与Microsoft拥有的标记相对应，我们使用IsReparseTagMicrosoft宏。

测试/打印重新分析点数据的代码：

volatile UCHAR guz;

ULONG TestReparsePoint(PCWSTR FileName)
{
    HANDLE hFile = CreateFile(FileName, 0, FILE_SHARE_VALID_FLAGS, 0, OPEN_EXISTING, 
        FILE_FLAG_OPEN_REPARSE_POINT|FILE_FLAG_BACKUP_SEMANTICS, 0);

    if (hFile == INVALID_HANDLE_VALUE) 
    {
        return GetLastError();
    }

    union {
        PVOID pv;
        PULONG ReparseTag;
        PREPARSE_DATA_BUFFER prdb;
        PREPARSE_GUID_DATA_BUFFER prgdb;
    };

    PVOID stack = alloca(guz);

    ULONG cb = 0, rcb = sizeof(REPARSE_DATA_BUFFER) + 0x100, BytesReturned;

    ULONG dwError;

    do 
    {
        if (cb < rcb) cb = RtlPointerToOffset(pv = alloca(rcb - cb), stack);

        if (DeviceIoControl(hFile, FSCTL_GET_REPARSE_POINT, 0, 0, pv, cb, &BytesReturned, 0))
        {
            dwError = NOERROR;

            if (IsReparseTagMicrosoft(*ReparseTag))
            {
                char cc[16];
                LPCSTR name;

                switch (*ReparseTag)
                {
                case IO_REPARSE_TAG_SYMLINK:
                    name = " SYMLINK";
                    stack = prdb->SymbolicLinkReparseBuffer.PathBuffer;
                    break;
                case IO_REPARSE_TAG_MOUNT_POINT:
                    name = " MOUNT_POINT";
                    stack = prdb->MountPointReparseBuffer.PathBuffer;
                    break;
                default:
                    sprintf(cc, " %08x", prdb->ReparseTag);
                    name = cc;
                }

                DbgPrint(" %s->%.*S <%.*S>\n", name, 
                    prdb->MountPointReparseBuffer.SubstituteNameLength >> 1,
                    RtlOffsetToPointer(stack, prdb->MountPointReparseBuffer.SubstituteNameOffset),
                    prdb->MountPointReparseBuffer.PrintNameLength >> 1,
                    RtlOffsetToPointer(stack, prdb->MountPointReparseBuffer.PrintNameOffset)
                    );
            }
            else
            {
                PGUID g = &prgdb->ReparseGuid;
                DbgPrint(" tag=%x {%08x-%04x-%04x-%02x%02x-%02x%02x%02x%02x%02x%02x} size=%x\n", *ReparseTag, 
                    g->Data1, g->Data2, g->Data3, 
                    g->Data4[0],g->Data4[1],g->Data4[2],g->Data4[3],g->Data4[4],g->Data4[5],g->Data4[6],g->Data4[7],
                    prgdb->ReparseDataLength);

            }
            break;
        }

        rcb = IsReparseTagMicrosoft(*ReparseTag) 
            ? REPARSE_DATA_BUFFER_HEADER_SIZE + prdb->ReparseDataLength 
            : REPARSE_GUID_DATA_BUFFER_HEADER_SIZE + prgdb->ReparseDataLength;

    } while((dwError = GetLastError()) == ERROR_MORE_DATA);

    CloseHandle(hFile);

    return dwError;
}

Answer 2

可以使用REPARSE_DATA_BUFFER来阅读Microsoft重新分析点数。 MS open protocol specification也可能有用。

只有了解格式才能解析其他基于GUID的标记。

从符号链接/重新分析点

2 个答案: