Question

我有一个我想要删除的文件，它的句柄由系统进程保存，所以每当我尝试删除它时它会给Access denied但是由于某种原因，cygwin能够删除它。 / p>

我已经下载了coreutils并调查了rm可执行文件的源代码，发现它使用unlink函数来实现它。我创建了一个使用相同功能的小测试程序，但无论如何它都给了我Access denied。

然后我找到了这个article，并且man描述了cygwin如何能够删除以下文件：

Cygwin始终使用所有共享标志打开文件设置，因此由Cygwin进程打开的文件不应导致共享在另一个公开电话中违规。唯一的例外是第一个NtOpenFile 在unlink_nt中，它只用FILE_SHARE_DELETE打开文件才能找到如果文件在其他地方有一个打开的句柄。在那种情况下，它得到一个STATUS_SHARING_VIOLATION，下一个NtOpenFile将打开该文件所有共享标志设置，unlink_nt将尝试删除该文件或根据路径重命名，或将其移动到回收站。

这是有道理的，所以我开始实现同样的事情。这是我的代码：

HANDLE file;
PIO_STATUS_BLOCK stat;

UNICODE_STRING myUnicodeStr;
RtlInitUnicodeString(&myUnicodeStr, L"C:\\Program Files (x86)\\TSU\\bin\\TSU.sys");

POBJECT_ATTRIBUTES attr;
InitializeObjectAttributes (attr, &myUnicodeStr, OBJ_OPENIF, NULL, NULL);

NtOpenFile(&file, MAXIMUM_ALLOWED, attr, NULL, FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE, FILE_DELETE_ON_CLOSE);

NtClose(file);

正如您所看到的那样，我尝试打开设置了共享标志的文件并使用了FILE_DELETE_ON_CLOSE，因为我关闭了句柄，之后我希望将其删除。

由于某些原因，我遇到的问题是Segmentation Fault（我使用的是cygwin win10）。由于某种原因，很少有调试表明问题出现在InitializeObjectAttributes函数中。

P.S 我知道删除文件的最佳解决方案是当其他进程处理时，但主要目标是以这种方式模仿rm.exe的行为。希望你能帮忙。感谢。

Answer 1

Windows下的

并不总是可以删除文件。例如，某些进程将此文件映射为图像

如果尝试使用 rm.exe 删除正在运行 EXE 文件 - 它首先使用DesiredAccess = DELETE调用ZwOpenFile， ShareAccess = FILE_SHARE_DELETE和OpenOptions = FILE_OPEN_FOR_BACKUP_INTENT。还行吧。比调用FileDispositionInformation ZwSetInformationFile而DeleteFile来自FILE_DISPOSITION_INFORMATION设置为 TRUE 。此调用失败，状态为STATUS_CANNOT_DELETE。

文件系统完全从this位置返回STATUS_CANNOT_DELETE：

        //  Make sure there is no process mapping this file as an image.

        if (!MmFlushImageSection( &Fcb->NonPaged->SectionObjectPointers,
                                  MmFlushForDelete )) {

            DebugTrace(-1, Dbg, "Cannot delete user mapped image\n", 0);

            return STATUS_CANNOT_DELETE;
}

比 rm.exe 再次尝试使用OpenOptions = FILE_OPEN_FOR_BACKUP_INTENT | FILE_DELETE_ON_CLOSE选项打开文件。但是这个调用当然失败了STATUS_CANNOT_DELETE。现在来自this点的错误：

// If the user wants to delete on close, we must check at this // point though. // if (FlagOn(*DesiredAccess, FILE_WRITE_DATA) || DeleteOnClose) { Fcb->OpenCount += 1; DecrementFcbOpenCount = TRUE; if (!MmFlushImageSection( &Fcb->NonPaged->SectionObjectPointers, MmFlushForWrite )) { Iosb.Status = DeleteOnClose ? STATUS_CANNOT_DELETE : STATUS_SHARING_VIOLATION; try_return( Iosb ); } }

在此 rm.exe 之后再次使用FileRenameInformation调用ZwSetInformationFile - 其中RootDirectory从FILE_RENAME_INFORMATION指向卷（位于哪个文件上））root（所以像\Device\HarddiskVolume<N>\和FileName指向回收站中的某个路径。结果文件实际上已移动但未删除。 rm.exe 欺骗你

Cygwin：打开句柄时删除文件

1 个答案: