Winapi：获取拥有特定文件句柄的进程

Question

Winapi：获取拥有特定文件句柄的进程

4

目前我有一款软件，其中包含一个文件过滤驱动程序。在安装软件时，该驱动程序会以服务的方式启动：

CreateService(serviceManager, name, displayName,
                          SERVICE_START | DELETE | SERVICE_QUERY_STATUS | SERVICE_STOP,
                              SERVICE_FILE_SYSTEM_DRIVER, SERVICE_AUTO_START, SERVICE_ERROR_IGNORE,
                                  path, NULL, NULL, NULL, NULL, NULL);

其中路径是C:\Program Files(x86)\TSU\driver\TSUfsd.sys。

我在卸载软件时遇到了问题。当软件试图删除TSUfsd.sys文件时，它会给我访问被拒绝的提示。

我查看了软件如何删除驱动程序，发现它使用DeleteService函数将其删除，并等待服务从SERVICE_STOP_PENDING状态更改为SERVICE_STOPPED状态。如果在一段时间后没有发生这种情况，它将获取服务的PID，并使用ProcessTerminate将其结束，然后尝试使用rmdir /S /Q C:\Program Files(x86)\TSU\删除该文件。

我尝试查找可能持有文件句柄的进程（使用Process Explorer），但没有找到任何进程。然后我想也许服务仍然存活，所以我键入了sc query TSUfsd，但服务也消失了。

我还尝试更改权限并授予我的用户完全权限，但仍然出现相同的错误。

因此，我的问题是：

是否有其他方法来检查哪个进程（或其他内容）可以拥有文件？
我还注意到，每当我尝试使用Cygwin（rm TSUfsd.sys）删除该文件时，它都可以毫无问题地删除。使用cmd（del /f <filename>）和Cygwin之间的删除文件有什么区别？

- user3503143

有一个由Mark Russinovich开发的很好用的实用工具叫做hanlde.exe。除非你想在代码中自己完成，那么你可以枚举所有进程，然后检查它们的句柄？ - Mihayl

在Windows 10中，系统会保留已加载的驱动程序，并且不允许删除它，直到驱动程序被卸载。 - RbMm

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- RbMm · Accepted Answer

对于这个任务，从Windows Vista开始特殊存在FileProcessIdsUsingFileInformationFILE_INFORMATION_CLASS。

因此，我们需要使用FILE_READ_ATTRIBUTES打开文件（即使有人以0共享模式打开文件也是可能的。如果我们没有访问文件（通过它的DACL）但具有父目录的读取访问权限）。并调用NtQueryInformationFile与FileProcessIdsUsingFileInformation。返回时，我们得到一个FILE_PROCESS_IDS_USING_FILE_INFORMATION结构（在wdm.h中定义），其中包含持有此文件（打开文件句柄或映射的部分。例如，如果此文件是exe/dll，则我们获得加载它的进程id）的ProcessId列表。还可以为每个id打印进程名称：

volatile UCHAR guz = 0;

NTSTATUS PrintProcessesUsingFile(HANDLE hFile)
{
    NTSTATUS status;
    IO_STATUS_BLOCK iosb;

    ULONG cb = 0, rcb = FIELD_OFFSET(FILE_PROCESS_IDS_USING_FILE_INFORMATION, ProcessIdList[64]);

    union {
        PVOID buf;
        PFILE_PROCESS_IDS_USING_FILE_INFORMATION ppiufi;
    };

    PVOID stack = alloca(guz);

    do 
    {
        if (cb < rcb)
        {
            cb = RtlPointerToOffset(buf = alloca(rcb - cb), stack);
        }

        if (0 <= (status = NtQueryInformationFile(hFile, &iosb, ppiufi, cb, FileProcessIdsUsingFileInformation)))
        {
            if (ppiufi->NumberOfProcessIdsInList)
            {
                PrintProcessesUsingFile(ppiufi);
            }
        }

        rcb = (ULONG)iosb.Information;

    } while (status == STATUS_INFO_LENGTH_MISMATCH);

    return status;
}

NTSTATUS PrintProcessesUsingFile(POBJECT_ATTRIBUTES poa)
{
    IO_STATUS_BLOCK iosb;
    HANDLE hFile;
    NTSTATUS status;
    if (0 <= (status = NtOpenFile(&hFile, FILE_READ_ATTRIBUTES, poa, &iosb, FILE_SHARE_VALID_FLAGS, 0)))
    {
        status = PrintProcessesUsingFile(hFile);
        NtClose(hFile);
    }

    return status;
}

NTSTATUS PrintProcessesUsingFile(PCWSTR FileName)
{
    UNICODE_STRING ObjectName;
    NTSTATUS status = RtlDosPathNameToNtPathName_U_WithStatus(FileName, &ObjectName, 0, 0);
    if (0 <= status)
    {
        OBJECT_ATTRIBUTES oa = { sizeof(oa), 0, &ObjectName };
        status = PrintProcessesUsingFile(&oa);
        RtlFreeUnicodeString(&ObjectName);
    }

    return status;
}

NTSTATUS PrintProcessesUsingFile(PFILE_PROCESS_IDS_USING_FILE_INFORMATION ppiufi)
{
    NTSTATUS status;

    ULONG cb = 0x8000;

    do 
    {
        status = STATUS_INSUFFICIENT_RESOURCES;

        if (PVOID buf = new BYTE[cb])
        {
            if (0 <= (status = NtQuerySystemInformation(SystemProcessInformation, buf, cb, &cb)))
            {
                union {
                    PVOID pv;
                    PBYTE pb;
                    PSYSTEM_PROCESS_INFORMATION pspi;
                };

                pv = buf;
                ULONG NextEntryOffset = 0;

                do 
                {
                    pb += NextEntryOffset;

                    ULONG NumberOfProcessIdsInList = ppiufi->NumberOfProcessIdsInList;

                    PULONG_PTR ProcessIdList = ppiufi->ProcessIdList;
                    do 
                    {
                        if (*ProcessIdList++ == (ULONG_PTR)pspi->UniqueProcessId)
                        {
                            DbgPrint("%p %wZ\n", pspi->UniqueProcessId, &pspi->ImageName);
                            break;
                        }
                    } while (--NumberOfProcessIdsInList);

                } while (NextEntryOffset = pspi->NextEntryOffset);
            }

            delete [] buf;
        }

    } while (status == STATUS_INFO_LENGTH_MISMATCH);

    return status;
}