Question

我有以下问题。我开发了一个将设置保留在首选项文件中的应用程序。在某个时间点，这些文件之一将被删除。无法从我的应用程序中删除该文件。

如何理解Windows下哪个进程删除了硬盘驱动器上的文件？

编辑：问题很少出现。我正在寻找一个可以作为服务或其他方式运行的程序，因此我可以为该应用程序做一个补丁，如果有人删除文件并写出完成的过程，则可以在运行时进行监视。

Answer 1

如果可以使用C＃解决方案，则可以使用Microsoft.Diagnostics.Tracing.TraceEvent nuget包装。它是ETW（Event Tracing for Window s）事件的包装。

发生的事情是Windows内核跟踪所有内容，您可以实时获取这些跟踪。但是有时很难将它们关联起来。

在您的情况下，您正在照顾文件删除事件，但是不幸的是，这些事件没有附加任何过程信息，因此我使用了另一个事件。这是一些示例代码：

using System;
using Microsoft.Diagnostics.Tracing.Parsers;
using Microsoft.Diagnostics.Tracing.Session;

namespace TraceDeletes
{
    class Program
    {
        static void Main(string[] args)
        {
            if (TraceEventSession.IsElevated() != true)
            {
                Console.WriteLine("To turn on ETW events you need to be Administrator, please run from an Admin process.");
                return;
            }

            // we're watching that particular file
            string filePath = @"C:\temp\New Text Document.txt";
            ulong fileKey = 0;
            string processName = null;
            using (var session = new TraceEventSession("whatever"))
            {
                // handle console CTRL+C gracefully
                Console.CancelKeyPress += (sender, e) => session.Stop();

                // we filter on events we need
                session.EnableKernelProvider(
                    KernelTraceEventParser.Keywords.DiskFileIO |
                    KernelTraceEventParser.Keywords.FileIOInit);

                // this event has no process information
                session.Source.Kernel.FileIOFileDelete += data =>
                {
                    if (data.FileKey == fileKey)
                    {
                        Console.WriteLine(data.FileName + " was deleted by " + processName);
                        fileKey = 0;
                        processName = null;
                    }
                };

                // this event has process information (id, name)
                // it happens before delete, of course
                // we remember the FileKey
                session.Source.Kernel.FileIOQueryInfo += data =>
                {
                    if (string.Compare(data.FileName, filePath, StringComparison.OrdinalIgnoreCase) == 0)
                    {
                        fileKey = data.FileKey;
                        processName = data.ProcessName;
                    }
                };

                // runs forever, press CTRL+C to stop
                session.Source.Process();
            }
        }
    }
}

如果创建该“ C：\ temp \ New Text Document.txt”文件并使用Windows资源管理器将其删除，则应该看到以下内容：

C:\temp\New Text Document.txt was deleted by explorer

注意：ETW当然可以与其他语言一起使用，但是使用此.NET库要容易得多。

Answer 2

Microsoft的Sysinternals应该可以为您提供帮助。

https://docs.microsoft.com/en-us/sysinternals/downloads/

在“文件和磁盘实用程序”下查找。有一些实用程序可以向您显示哪个进程访问/修改了给定文件。

Answer 3

可能正在使用带有以下参数的流程监控器« operation ：SetDispositionInformationFile，结果：成功，详细信息：路径上的“删除：正确”»。

更多详细信息如下：here和here

Answer 4

您可以开发服务并使用FileSystemWatcher并监视Deleted Event。 FileSystemWatcher.Deleted Event

如何了解哪个进程删除了硬盘驱动器上的文件

4 个答案: