如何获取与打开的HANDLE关联的名称

15

在Win32中,与打开的HANDLE相关联的文件名最简单的获取方式是什么?

7个回答

20

我尝试了Mehrdad在这里发布的代码。它可以工作,但有以下限制:

  1. 不应该用于网络共享,因为MountPointManager可能会挂起很长时间。
  2. 它使用了未记录的API(IOCTL_MOUNTMGR_QUERY_DOS_VOLUME_PATH),我不太喜欢这个。
  3. 它不支持创建虚拟COM端口的USB设备(我在我的项目中需要)。

我还研究了其他方法,比如GetFileInformationByHandleEx()GetFinalPathNameByHandle(),但它们无用,因为它们只返回路径+文件名,而不包括驱动器。此外,GetFinalPathNameByHandle()也存在挂起错误。

MSDN中的GetMappedFileName()方法(由Max在这里发布)也非常受限:

  1. 它仅适用于实际文件
  2. 文件大小不能为零字节
  3. 不支持目录、网络和COM端口
  4. 代码很笨拙

所以我写了自己的代码。我在Win XP和Win 7、8和10上测试过了它。它完美地工作。

注意:你不需要任何额外的LIB文件来编译这个代码!

CPP文件:

t_NtQueryObject NtQueryObject()
{
    static t_NtQueryObject f_NtQueryObject = NULL;
    if (!f_NtQueryObject)
    {
        HMODULE h_NtDll = GetModuleHandle(L"Ntdll.dll"); // Ntdll is loaded into EVERY process!
        f_NtQueryObject = (t_NtQueryObject)GetProcAddress(h_NtDll, "NtQueryObject");
    }
    return f_NtQueryObject;
}


// returns
// "\Device\HarddiskVolume3"                                (Harddisk Drive)
// "\Device\HarddiskVolume3\Temp"                           (Harddisk Directory)
// "\Device\HarddiskVolume3\Temp\transparent.jpeg"          (Harddisk File)
// "\Device\Harddisk1\DP(1)0-0+6\foto.jpg"                  (USB stick)
// "\Device\TrueCryptVolumeP\Data\Passwords.txt"            (Truecrypt Volume)
// "\Device\Floppy0\Autoexec.bat"                           (Floppy disk)
// "\Device\CdRom1\VIDEO_TS\VTS_01_0.VOB"                   (DVD drive)
// "\Device\Serial1"                                        (real COM port)
// "\Device\USBSER000"                                      (virtual COM port)
// "\Device\Mup\ComputerName\C$\Boot.ini"                   (network drive share,  Windows 7)
// "\Device\LanmanRedirector\ComputerName\C$\Boot.ini"      (network drive share,  Windwos XP)
// "\Device\LanmanRedirector\ComputerName\Shares\Dance.m3u" (network folder share, Windwos XP)
// "\Device\Afd"                                            (internet socket)
// "\Device\Console000F"                                    (unique name for any Console handle)
// "\Device\NamedPipe\Pipename"                             (named pipe)
// "\BaseNamedObjects\Objectname"                           (named mutex, named event, named semaphore)
// "\REGISTRY\MACHINE\SOFTWARE\Classes\.txt"                (HKEY_CLASSES_ROOT\.txt)
DWORD GetNtPathFromHandle(HANDLE h_File, CString* ps_NTPath)
{
    if (h_File == 0 || h_File == INVALID_HANDLE_VALUE)
        return ERROR_INVALID_HANDLE;

    // NtQueryObject() returns STATUS_INVALID_HANDLE for Console handles
    if (IsConsoleHandle(h_File))
    {
        ps_NTPath->Format(L"\\Device\\Console%04X", (DWORD)(DWORD_PTR)h_File);
        return 0;
    }

    BYTE  u8_Buffer[2000];
    DWORD u32_ReqLength = 0;

    UNICODE_STRING* pk_Info = &((OBJECT_NAME_INFORMATION*)u8_Buffer)->Name;
    pk_Info->Buffer = 0;
    pk_Info->Length = 0;

    // IMPORTANT: The return value from NtQueryObject is bullshit! (driver bug?)
    // - The function may return STATUS_NOT_SUPPORTED although it has successfully written to the buffer.
    // - The function returns STATUS_SUCCESS although h_File == 0xFFFFFFFF
    NtQueryObject()(h_File, ObjectNameInformation, u8_Buffer, sizeof(u8_Buffer), &u32_ReqLength);

    // On error pk_Info->Buffer is NULL
    if (!pk_Info->Buffer || !pk_Info->Length)
        return ERROR_FILE_NOT_FOUND;

    pk_Info->Buffer[pk_Info->Length /2] = 0; // Length in Bytes!

    *ps_NTPath = pk_Info->Buffer;
    return 0;
}

// converts
// "\Device\HarddiskVolume3"                                -> "E:"
// "\Device\HarddiskVolume3\Temp"                           -> "E:\Temp"
// "\Device\HarddiskVolume3\Temp\transparent.jpeg"          -> "E:\Temp\transparent.jpeg"
// "\Device\Harddisk1\DP(1)0-0+6\foto.jpg"                  -> "I:\foto.jpg"
// "\Device\TrueCryptVolumeP\Data\Passwords.txt"            -> "P:\Data\Passwords.txt"
// "\Device\Floppy0\Autoexec.bat"                           -> "A:\Autoexec.bat"
// "\Device\CdRom1\VIDEO_TS\VTS_01_0.VOB"                   -> "H:\VIDEO_TS\VTS_01_0.VOB"
// "\Device\Serial1"                                        -> "COM1"
// "\Device\USBSER000"                                      -> "COM4"
// "\Device\Mup\ComputerName\C$\Boot.ini"                   -> "\\ComputerName\C$\Boot.ini"
// "\Device\LanmanRedirector\ComputerName\C$\Boot.ini"      -> "\\ComputerName\C$\Boot.ini"
// "\Device\LanmanRedirector\ComputerName\Shares\Dance.m3u" -> "\\ComputerName\Shares\Dance.m3u"
// returns an error for any other device type
DWORD GetDosPathFromNtPath(const WCHAR* u16_NTPath, CString* ps_DosPath)
{
    DWORD u32_Error;

    if (wcsnicmp(u16_NTPath, L"\\Device\\Serial", 14) == 0 || // e.g. "Serial1"
        wcsnicmp(u16_NTPath, L"\\Device\\UsbSer", 14) == 0)   // e.g. "USBSER000"
    {
        HKEY h_Key; 
        if (u32_Error = RegOpenKeyEx(HKEY_LOCAL_MACHINE, L"Hardware\\DeviceMap\\SerialComm", 0, KEY_QUERY_VALUE, &h_Key))
            return u32_Error;

        WCHAR u16_ComPort[50];

        DWORD u32_Type;
        DWORD u32_Size = sizeof(u16_ComPort); 
        if (u32_Error = RegQueryValueEx(h_Key, u16_NTPath, 0, &u32_Type, (BYTE*)u16_ComPort, &u32_Size))
        {
            RegCloseKey(h_Key);
            return ERROR_UNKNOWN_PORT;
        }

        *ps_DosPath = u16_ComPort;
        RegCloseKey(h_Key);
        return 0;
    }

    if (wcsnicmp(u16_NTPath, L"\\Device\\LanmanRedirector\\", 25) == 0) // Win XP
    {
        *ps_DosPath  = L"\\\\";
        *ps_DosPath += (u16_NTPath + 25);
        return 0;
    }

    if (wcsnicmp(u16_NTPath, L"\\Device\\Mup\\", 12) == 0) // Win 7
    {
        *ps_DosPath  = L"\\\\";
        *ps_DosPath += (u16_NTPath + 12);
        return 0;
    }

    WCHAR u16_Drives[300];
    if (!GetLogicalDriveStrings(300, u16_Drives))
        return GetLastError();

    WCHAR* u16_Drv = u16_Drives;
    while (u16_Drv[0])
    {
        WCHAR* u16_Next = u16_Drv +wcslen(u16_Drv) +1;

        u16_Drv[2] = 0; // the backslash is not allowed for QueryDosDevice()

        WCHAR u16_NtVolume[1000];
        u16_NtVolume[0] = 0;

        // may return multiple strings!
        // returns very weird strings for network shares
        if (!QueryDosDevice(u16_Drv, u16_NtVolume, sizeof(u16_NtVolume) /2))
            return GetLastError();

        int s32_Len = (int)wcslen(u16_NtVolume);
        if (s32_Len > 0 && wcsnicmp(u16_NTPath, u16_NtVolume, s32_Len) == 0)
        {
            *ps_DosPath  =  u16_Drv;
            *ps_DosPath += (u16_NTPath + s32_Len);
            return 0;
        }

        u16_Drv = u16_Next;
    }
    return ERROR_BAD_PATHNAME;
}

头文件:

#pragma warning(disable: 4996) // wcsnicmp deprecated
#include <winternl.h>

// This makro assures that INVALID_HANDLE_VALUE (0xFFFFFFFF) returns FALSE
#define IsConsoleHandle(h) (((((ULONG_PTR)h) & 0x10000003) == 0x3) ? TRUE : FALSE)

enum OBJECT_INFORMATION_CLASS 
{
    ObjectBasicInformation, 
    ObjectNameInformation,
    ObjectTypeInformation, 
    ObjectAllInformation, 
    ObjectDataInformation
};

struct OBJECT_NAME_INFORMATION 
{
    UNICODE_STRING Name; // defined in winternl.h
    WCHAR NameBuffer;
};

typedef NTSTATUS (NTAPI* t_NtQueryObject)(HANDLE Handle, OBJECT_INFORMATION_CLASS Info, PVOID Buffer, ULONG BufferSize, PULONG ReturnLength);   

3
好的回答。这基本上就是 Process Hacker 所做的事情(可能也适用于 Sysinternals 的 Process Explorer),并且适用于几乎所有句柄类型,而不仅仅是文件。 - conio
嗨,@Elmue,这个工作得很好!我想知道你有没有机会在Win8、8.1或10上进行测试? - Noitidart
似乎会导致内存损坏...:"似乎"?如果您不彻底调查问题的原因,那么您的评论是完全无用的。可能是您犯了编程错误。我可以确认我的代码多年来一直在任何Windows版本上运行良好,没有任何问题。 - Elmue
现在我看到你没有理解你所链接的文章在说什么。0xC0000022L所解释的细节根本不适用于我的代码。我的代码永远不会遇到这个问题。正如你可以很容易地看到,我的代码使用了一个固定的2000字节缓冲区,而不是像0xC0000022L那样请求所需的缓冲区大小。我的代码将面对的最长字符串大约是"\Device\LanmanRedirector\ComputerName\Shares\Dance.m3u" = 55个Unicode字符= 110字节=缓冲区的5%!因此,那里描述的问题永远不会发生。 - Elmue
@Elmue 我知道这不是同一个问题,但似乎这个未记录的函数可以做出奇怪的事情,然而在我有更具体的东西之前,我将删除我的先前评论。 - Patrick
显示剩余7条评论

16
以下是关于在Windows XP上正确(尽管未记录)执行此操作的方法,该方法也适用于目录——与GetFinalPathNameByHandle在Windows Vista及更高版本中使用的方法相同。

以下是所需的声明。其中一些已经在WInternl.hMountMgr.h中了,但我还是把它们放在这里:

#include "stdafx.h"
#include <Windows.h>
#include <assert.h>

enum OBJECT_INFORMATION_CLASS { ObjectNameInformation = 1 };
enum FILE_INFORMATION_CLASS { FileNameInformation = 9 };
struct FILE_NAME_INFORMATION { ULONG FileNameLength; WCHAR FileName[1]; };
struct IO_STATUS_BLOCK { PVOID Dummy; ULONG_PTR Information; };
struct UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer; };
struct MOUNTMGR_TARGET_NAME { USHORT DeviceNameLength; WCHAR DeviceName[1]; };
struct MOUNTMGR_VOLUME_PATHS { ULONG MultiSzLength; WCHAR MultiSz[1]; };

extern "C" NTSYSAPI NTSTATUS NTAPI NtQueryObject(IN HANDLE Handle OPTIONAL,
    IN OBJECT_INFORMATION_CLASS ObjectInformationClass,
    OUT PVOID ObjectInformation OPTIONAL, IN ULONG ObjectInformationLength,
    OUT PULONG ReturnLength OPTIONAL);
extern "C" NTSYSAPI NTSTATUS NTAPI NtQueryInformationFile(IN HANDLE FileHandle,
    OUT PIO_STATUS_BLOCK IoStatusBlock, OUT PVOID FileInformation,
    IN ULONG Length, IN FILE_INFORMATION_CLASS FileInformationClass);

#define MOUNTMGRCONTROLTYPE ((ULONG) 'm')
#define IOCTL_MOUNTMGR_QUERY_DOS_VOLUME_PATH \
    CTL_CODE(MOUNTMGRCONTROLTYPE, 12, METHOD_BUFFERED, FILE_ANY_ACCESS)

union ANY_BUFFER {
    MOUNTMGR_TARGET_NAME TargetName;
    MOUNTMGR_VOLUME_PATHS TargetPaths;
    FILE_NAME_INFORMATION NameInfo;
    UNICODE_STRING UnicodeString;
    WCHAR Buffer[USHRT_MAX];
};

这是核心功能:

LPWSTR GetFilePath(HANDLE hFile)
{
    static ANY_BUFFER nameFull, nameRel, nameMnt;
    ULONG returnedLength; IO_STATUS_BLOCK iosb; NTSTATUS status;
    status = NtQueryObject(hFile, ObjectNameInformation,
        nameFull.Buffer, sizeof(nameFull.Buffer), &returnedLength);
    assert(status == 0);
    status = NtQueryInformationFile(hFile, &iosb, nameRel.Buffer,
        sizeof(nameRel.Buffer), FileNameInformation);
    assert(status == 0);
    //I'm not sure how this works with network paths...
    assert(nameFull.UnicodeString.Length >= nameRel.NameInfo.FileNameLength);
    nameMnt.TargetName.DeviceNameLength = (USHORT)(
        nameFull.UnicodeString.Length - nameRel.NameInfo.FileNameLength);
    wcsncpy(nameMnt.TargetName.DeviceName, nameFull.UnicodeString.Buffer,
        nameMnt.TargetName.DeviceNameLength / sizeof(WCHAR));
    HANDLE hMountPointMgr = CreateFile(_T("\\\\.\\MountPointManager"),
        0, FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE,
        NULL, OPEN_EXISTING, 0, NULL);
    __try
    {
        DWORD bytesReturned;
        BOOL success = DeviceIoControl(hMountPointMgr,
            IOCTL_MOUNTMGR_QUERY_DOS_VOLUME_PATH, &nameMnt,
            sizeof(nameMnt), &nameMnt, sizeof(nameMnt),
            &bytesReturned, NULL);
        assert(success && nameMnt.TargetPaths.MultiSzLength > 0);
        wcsncat(nameMnt.TargetPaths.MultiSz, nameRel.NameInfo.FileName,
            nameRel.NameInfo.FileNameLength / sizeof(WCHAR));
        return nameMnt.TargetPaths.MultiSz;
    }
    __finally { CloseHandle(hMountPointMgr); }
}

以下是一个使用示例:

int _tmain(int argc, _TCHAR* argv[])
{
    HANDLE hFile = CreateFile(_T("\\\\.\\C:\\Windows\\Notepad.exe"),
        0, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL);
    assert(hFile != NULL && hFile != INVALID_HANDLE_VALUE);
    __try
    {
        wprintf(L"%s\n", GetFilePath(hFile));
        //  Prints:
        //  C:\Windows\notepad.exe
    }
    __finally { CloseHandle(hFile); }
    return 0;
}

1
大写字母 / 小写字母 == 比例太大 - pmg
4
我同意,但我并没有选择这些名字......Windows API已经是这样了,我只是复制/粘贴我需要的内容。 - user541686
@ybungalobill:你真的需要DDK吗?我认为我已经将SDK之外的所有内容复制到这里了... - user541686
2
虽然值得一提的是,GetProcAddress可以避免使用DDK的需要。 - user541686
3
这段代码可以运行,但有一些限制。如需更多细节,请查看我在这里发布的帖子。 - Elmue
显示剩余2条评论

4

编辑 感谢您对此仅限于Vista或Server 2008的评论。我在页面中错过了这一点。看来我应该读整篇文章;)

看起来您可以使用GetFileInformationByHandleEx()来获取此信息。

您可能想要执行类似以下操作:

GetFileInformationByHandleEx( fileHandle, FILE_NAME_INFO, lpFileInformation, sizeof(FILE_NAME_INFO));

请仔细查看MSDN页面,确保我没有误导您太严重 :)

祝好!

Taylor


3
喜欢这个简洁的东西,但我用的是XP :-( - Max Caceres
1
看起来很简单,但它只返回路径+文件名,而驱动器丢失,所以并不是很有用。 - Elmue
1
FILE_NAME_INFO是一个可变长度的数据结构,只有一个条目用于第一个字符。因此,您不应该使用sizeof(FILE_NAME_INFO),而应该将dwBufferSize计算为sizeof(DWORD) + MAX_PATH * sizeof(WCHAR)。 - Dwayne Robinson
我认为第二个参数应该是“FileNameInfo”,而不是“FILE_NAME_INFO”。因此,正确的调用应该类似于union {FILE_NAME_INFO NameInfo; WCHAR buf[USHRT_MAX];} info; GetFileInformationByHandleEx(fileHandle, FileNameInfo, info.buf, sizeof(info)); - Holger
1
非常抱歉我之前的评论,因为原始帖子只要求文件名。所以GetFileInformationByHandleEx()不报告任何驱动器信息可能是可以接受的。无论如何,我更喜欢在Windows Vista及更高版本中使用GetFinalPathNameByHandle()。 - Holger
显示剩余4条评论

1

对于Windows Vista及更高版本,我更喜欢使用GetFinalPathNameByHandle()

char buf[MAX_PATH];
GetFinalPathNameByHandleA(fileHandle, buf, sizeof(buf), VOLUME_NAME_DOS)

对于Windows XP,我更喜欢Mehrdad的解决方案。因此,我通过GetProcAddress()动态加载GetFinalPathNameByHandle(),如果失败(因为它是Windows XP),我会选择Mehrdad的解决方案,使用NtQueryObject()。

1

顺便提一下,这是来自 MSDN 文章的同样解决方案,由 Prakash 建议使用 Python 和美妙的 ctypes 实现:

from ctypes import *
# get handle to  c:\boot.ini to test
handle = windll.kernel32.CreateFileA("c:\\boot.ini", 0x80000000, 3, 0, 3, 0x80, 0)
hfilemap = windll.kernel32.CreateFileMappingA(handle, 0, 2, 0, 1, 0)
pmem = windll.kernel32.MapViewOfFile(hfilemap, 4, 0, 0, 1)
name = create_string_buffer(1024)
windll.psapi.GetMappedFileNameA(windll.kernel32.GetCurrentProcess(), pmem, name, 1024)
print "The name for the handle 0x%08x is %s" % (handle, name.value)
# convert device name to drive letter
buf = create_string_buffer(512)
size = windll.kernel32.GetLogicalDriveStringsA(511, buf)
names = buf.raw[0:size-1].split("\0")
for drive in names:
    windll.kernel32.QueryDosDeviceA(drive[0:2], buf, 512)
    if name.value.startswith(buf.value):
        print "%s%s" % (drive[0:2], name.value[len(buf.value):])
        break

这段代码可以运行,但有一些限制。请看我在这里发布的帖子。 - Elmue

0

在Unix系统中,没有可靠的方法来实现这一点。在传统的Unix文件系统中,您可以打开一个文件,然后取消链接它(从目录中删除其条目)并使用它,在此时该名称不会存储在任何地方。此外,由于文件可能具有多个硬链接到文件系统中,每个名称都是等效的,因此一旦您只获得了打开的句柄,就不清楚应将哪个文件名映射回去。

因此,您可能能够使用其他答案在Win32上执行此操作,但如果您需要将应用程序移植到Unix环境中,则会遇到麻烦。我的建议是,如果可能的话,请重构您的程序,以便您不需要操作系统能够维护打开资源与文件名之间的连接。


0

如果您需要在Win32 pre-Vista或Server 2008上执行此操作,请查看GetMappedFileName(...)函数,这是Win32中最好的保密之一。通过一点点的C/C++-fu,您可以内存映射所需文件的一小部分,然后将该句柄传递给此函数。

此外,在Win32上,您无法真正删除已打开的文件(另一个答案中提到的打开/取消链接问题)-您可以在关闭时标记它以进行删除,但它仍将挂起,直到其最后一个打开的句柄被关闭。不知道在这种情况下是否会通过映射(通过mmap(...))文件来帮助,因为它必须指向物理文件...

-=- James.


网页内容由stack overflow 提供, 点击上面的
可以查看英文原文,
原文链接