删除正在使用的文件

最新推荐文章于 2024-09-29 19:53:40 发布
转载 最新推荐文章于 2024-09-29 19:53:40 发布 · 709 阅读 · 0
文章标签：

#null #access #token #windows #path #string

#include  < Windows.h >
#include  < stdio.h >
BOOL ZapDelFile( char   * szFileToDel)
 {
    char cTempFileName[0x80];
    char cTempPathName[0x100];
    char cFileName[0x100];

    if(szFileToDel[1] == ':'){
        sprintf(cTempPathName, "%c:/", szFileToDel[0]);
    }
    else{
        GetModuleFileName(NULL, cFileName, 0x100);
        sprintf(cTempPathName, "%c:/", cFileName[0]);
    }

    if(GetTempFileName(cTempPathName, "_@", 0, cTempFileName) == 0){
        return FALSE;
    }

    if(MoveFileEx(szFileToDel, cTempFileName, 1) == 0){
        return FALSE;
    }

    if(MoveFileEx(cTempFileName, NULL, 4) == 0){
        return FALSE;
    }

    return TRUE;
}

void  usage( char   * n)  {
    printf("usage: %s fileNeedToDeln", n);
    exit(0);
}

int  main( int  argc,  char *  argv[])
 {

    printf("Zap programed by bgate. :) *nn");

    if (argc != 2)
        usage(argv[0]);

    if(ZapDelFile(argv[1]) == TRUE){
        printf("OK");
    }
    else{
        printf("error %d", GetLastError());
    }
    return 0;
}  

 

现在你已经可以用它去删除正在使用的系统文件了, 不过删除之后会弹出让你插入Windows CD对话框.
注意: 删系统文件前做好备份, 在重启前恢复, 另外删系统文件前还需要把dllcache中相应的备份删除. 否则系统会自动恢复.

接下来就想办法去掉这个对话框, 拿出我的法宝--google. 胡乱地搜了一气. 搜到两条有用信息.
1.Windows 2000下执行系统文件保护的代码在sfc.dll中, Xp系统下在sfc_os.dll中.
2.注册表中把一个叫SfcDisable的键设为FFFFFF9D能在下次启动时让文件保护功能失效.

下面的分析是在Win2K sp4+上进行的. 其中分析的sfc.dll版本是5.0.2195.6673

    用ida打开sfc.dll在string中找sfcdisable, 没找到! 让string显示Unicode. 这下看到了. 找到对SfcDisable引用的一个地方.代码如下
.text:769269F9                 call     _SfcQueryRegDwordWithAlternate@16 ; SfcQueryRegDwordWithAlternate(x,x,x,x)
.text:769269FE                 push     ebx
.text:769269FF                 push     offset ??_C@_1BG@HOGG@?$AAS?$AAf?$AAc?$AAD?; "SfcDisable"
.text:76926A04                 push     edi
.text:76926A05                 push     esi
.text:76926A06                 mov     _SFCDebug, eax
.text:76926A0B                 call     _SfcQueryRegDwordWithAlternate@16 ; SfcQueryRegDwordWithAlternate(x,x,x,x)
.text:76926A10                 push     ebx
.text:76926A11                 push     offset ??_C@_1BA@HLJH@?$AAS?$AAf?$AAc?$AAS?$AAc?$AAa?$AAn?$AA?$AA@ ; "SfcScan"
.text:76926A16                 push     edi
.text:76926A17                 push     esi
.text:76926A18                 mov     _SFCDisable, eax
.text:76926A1D                 call     _SfcQueryRegDwordWithAlternate@16 ; SfcQueryRegDwordWithAlternate(x,x,x,x)
.text:76926A22                 push     ebx
.text:76926A23                 push     offset ??_C@_1BC@KFAJ@?$AAS?$AAf?$AAc?$AAQ?$AAu?$AAo?$AAt?$AAa?$AA?$AA@ ; "SfcQuota"
.text:76926A28                 push     edi
.text:76926A29                 push     esi
.text:76926A2A                 mov     _SFCScan, eax

    其中_SfcQueryRegDwordWithAlternate@16是读注册表的函数. 很明显, 它把注册表中SfcDisable的值读到了_SFCDisable中. 好, 调出softice. 在_SFCDisable上设断点. 我们又用刚写的zap去删系统文件, softice弹出来了. 断到了下面这个地方, eip为7692A326, _SFCDisable为2.
.text:7692A319                 push     ecx
.text:7692A31A                 and     [esp+4+var_4], 0
.text:7692A31F                 cmp     _SFCDisable, 3
.text:7692A326                 push     ebx
.text:7692A327                 push     ebp
.text:7692A328                 push     esi
.text:7692A329                 push     edi
.text:7692A32A                 jnz     short loc_7692A333
.text:7692A32C                 xor     eax, eax
.text:7692A32E                 jmp     loc_7692A459
    F5退出, 一会儿对话框弹了出来, 就对这儿引用了一次. 很好, 看看上面这段代码"cmp _SFCDisable, 3". 此时_SFCDisable为2弹出了对话框, 那么我就把它改为3又用zap删系统文件试试. 哈, 运气很好, 这次没出现让插CD的对话框了. 也就是说只要我们把_SFCDisable改为3就能偷偷地替换系统文件了. 不过不同版本这个地址是不一样的, 用switch来做这个活总是不好. 得写个有通用性的代码.

    开始我想它的工作原理大概是Winlogon发现了有对系统文件进行操作. 便调用sfc.dll中的输出函数进行检查. 我们就只需得到这个输出函数入口然后把这个函数"注释"掉就可以了.跟着上面这段代码逆流而上, 找到最后由76924544输出, 又在76924544上加个断点, 继续去删文件. softice跳出来了, 不过不在函数的入口, 反倒在刚才设置的对_SFCDisable的读取上, 没运行函数的入口就运行了函数体中的代码, 看来遇到高人了. 非得逼我出必杀技, 打开2000源代码 : ). 找了半天没找到相应代码又只得退回来看汇编, 最后发现了这个函数NtWaitForMultipleObjects. 呵, 难怪没中断在函数的入口上, 原来早运行了函数的入口然后在函数体里一直没退出. 注释函数的方法不行了.

    这时我想它的工作原理大概是winlogon调用sfc.dll中的输出函数在系统启动时创建了一系列事件. 既然winlogon创建了, 那么它也应该得撤销. 用depends打开winlogon. 果然从sfc.dll中输入了两个函数. 一个是刚才分析的那个, 创建了一系列事件. 看看另一个, 输出地址是76926869, 不出所料, 关闭了一系列事件. 现在我们只要向winlogon中注入代码调用"另一个"函数就能取消文件保护功能了. 不过winlogon不能随便注入代码. 26A杂志第六期上有篇文章提到了注入方法:"adjust debugger access rightz to our process". 那也是一篇SFCDisable的文章, 他用的方法是在内存中搜索特征码, 然后修改. 通用性应该没这么好.

    下面的注入方法是从crazylord的代码中拷过来的, 不过方法不是. :), 写完后就懒得检查了, 加之水平有限, 写的不过优雅的地方就将就着看.

-----------------cut antisfc.c-----------

#include  < stdlib.h >  
#include  " Windows.h "  
#include  " Tlhelp32.h "  
 #pragma  comment( lib, "Advapi32.lib" ) 

typedef  void  (_stdcall  *  CLOSEEVENTS)( void ); 
typedef unsigned  long  DWORD; 
typedef DWORD ANTISFC_ACCESS; 

 /* 
* ANTISFC structures 
*/  

typedef  struct  _ANTISFC_PROCESS  { 
    DWORD     Pid;                 // process pid 
    HANDLE ProcessHandle;       // process handle 
    char   ImageName[MAX_PATH]; // image name (not full path) 
}  ANTISFC_PROCESS,  * PANTISFC_PROCESS; 

__inline  void  ErrorMessageBox( char   * szAdditionInfo) 
 { 
    printf("error on %s, error code %d. n", szAdditionInfo, GetLastError()); 
}  

 void  usage( char   * n)  { 
    printf("usage: %s [/d]n", n); 
    printf("t/d: disable sfc file protecte fuction.n"); 
    exit(0); 
}  

DWORD Init()  { 
    DWORD   Ret = 0; 
    HANDLE hToken; 
    LUID sedebugnameValue; 
    TOKEN_PRIVILEGES tkp; 

    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken)) { 
        ErrorMessageBox("OpenProcessToken"); 
    } else { 

        if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &sedebugnameValue)) { 
            ErrorMessageBox("LookupPrivilegeValue"); 
        } else { 

            tkp.PrivilegeCount = 1; 
            tkp.Privileges[0].Luid = sedebugnameValue; 
            tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED; 

            if (!AdjustTokenPrivileges(hToken, FALSE, &tkp, sizeof tkp, NULL, NULL)) { 
                ErrorMessageBox("AdjustTokenPrivileges"); 
            } else { 
                Ret = 1; 
            } 
        } 
        CloseHandle(hToken); 
    } 

    return(Ret); 
}  

DWORD GetPidEx( char   * proc_name,  char   * full_path)  { 
    DWORD             dwPid=0; 
    HANDLE             hSnapshot; 
    PROCESSENTRY32     pe; 
    BOOL               Ret; 
    
  if (isdigit(proc_name[0])) 
      dwPid = strtoul(proc_name, NULL, 0); 
  else 
      dwPid = -1; 
      
    hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); 
    if (hSnapshot == (HANDLE) -1){ 
        ErrorMessageBox("CreateToolhelp32Snapshot"); 
        return(0); 
    } 

    pe.dwSize = sizeof(PROCESSENTRY32); 
    Ret = Process32First(hSnapshot, &pe); 

    while (Ret) { 
          if((strncmp(strlwr(pe.szExeFile), strlwr(proc_name), strlen(proc_name)) == 0) 
            
(pe.th32ProcessID == dwPid)) { 
                dwPid = pe.th32ProcessID; 
                strcpy(full_path, pe.szExeFile); 
                break; 
        } 
        pe.dwSize = sizeof(PROCESSENTRY32); 
        Ret = Process32Next(hSnapshot, &pe); 
    } 

    CloseHandle(hSnapshot); 
    if (dwPid == -1) 
      dwPid = 0; 
    return(dwPid); 
}  

DWORD InitProcess(PANTISFC_PROCESS Process,  char   * proc_name, ANTISFC_ACCESS access)  { 
    DWORD Ret=0; 

    Process->Pid = GetPidEx(proc_name, Process->ImageName); 
    if (Process->Pid != 0 && Process->ImageName[0] != 0) { 
        Process->ProcessHandle = OpenProcess(access, FALSE, Process->Pid); 
        if (Process->ProcessHandle == NULL) 
            ErrorMessageBox("OpenProcess"); 
        else 
            Ret = 1; 
    } 

    return(Ret); 
}  

DWORD InjectThread(PANTISFC_PROCESS Process, 
                PVOID function)  { 
    HANDLE     hThread; 
    DWORD     dwThreadPid = 0, dwState; 

    hThread = CreateRemoteThread(Process->ProcessHandle, 
                                NULL, 
                                0, 
                                (DWORD (__stdcall *) (void *)) function, 
                                NULL, 
                                0, 
                                &dwThreadPid); 
    if (hThread == NULL) { 
        ErrorMessageBox("CreateRemoteThread"); 
        goto cleanup; 
    } 

    dwState = WaitForSingleObject(hThread, 4000); // attends 4 secondes 

    switch (dwState) { 
    case WAIT_TIMEOUT: 
    case WAIT_FAILED: 
        ErrorMessageBox("WaitForSingleObject"); 
        goto cleanup; 

    case WAIT_OBJECT_0: 
        break; 

    default: 
        ErrorMessageBox("WaitForSingleObject"); 
        goto cleanup; 
    } 

    CloseHandle(hThread); 
    return dwThreadPid; 
    
cleanup: 
    CloseHandle(hThread); 

    return 0; 
}  

 int  main( int  argc,  char *  argv[]) 
 { 
    ANTISFC_PROCESS     Process; 
    HMODULE hSfc; 
    DWORD     dwThread; 
    CLOSEEVENTS pfnCloseEvents; 
    DWORD dwVersion; 

    printf("AntiSfc programed by bgate. :) *nn"); 

    if (argc != 2) 
        usage(argv[0]); 

    if (strcmp(argv[1], "/d") != 0) { 
        usage(argv[0]); 
    } 

    if (Init()) { 
        printf("debug privilege setn"); 
    } else { 
        printf("error on get debug privilegen"); 
        return(0); 
    } 

    if(InitProcess(&Process, "winlogon.exe", PROCESS_ALL_ACCESS) == 0) { 
        printf("error on get process info. n"); 
        return(0); 
    } 

    dwVersion = GetVersion(); 
    if ((DWORD)(LOBYTE(LOWORD(dwVersion))) == 5){                 // Windows 2000/XP 
        if((DWORD)(HIBYTE(LOWORD(dwVersion))) == 0){             //Windows 2000 
            hSfc = LoadLibrary("sfc.dll"); 
            printf("Win2000n"); 
        } 
        else {//if((DWORD)(HIBYTE(LOWORD(dwVersion))) = 1)             //Windows XP 
            hSfc = LoadLibrary("sfc_os.dll"); 
            printf("Windows XPn"); 
        } 
    }     
    //else if ()   //2003? 
    else { 
        printf("unsupported versionn"); 
    } 

    pfnCloseEvents = (CLOSEEVENTS)GetProcAddress(hSfc, 
                                                MAKEINTRESOURCE(2)); 
    if(pfnCloseEvents == NULL){ 
        printf("Load the sfc fuction failedn"); 
        FreeLibrary(hSfc); 
        return(0); 
    } 

    FreeLibrary(hSfc); 

    dwThread = InjectThread(&Process, 
                            pfnCloseEvents); 
    
    if(dwThread == 0){ 
        printf("failedn"); 
    } 
    else{ 
        printf("OKn"); 
    } 

    CloseHandle(Process.ProcessHandle); 
    return(0); 

}  




------------------end cut---------
    在运行zap替换系统文件前运行一下antisfc就行了, 你也可以把它们写到一起. 理论上他能在2000, xp, 2003?的任何版本上使用. 不过我只在Win2K sp4+, WinXP sp1+上测试过.
    本文的缺点是替换的系统文件只能在重启后生效, 写完了.

 
使用lsof命令恢复已删除文件（正在使用的文件）
小啊宇的博客
03-31 2077
此方法适用于正在使用的文件 ，且被删除后，可以通过lsof的方式进行恢复。 演示： [root@master ~]# less /var/log/messages 开启另一个终端进行删除操作 [root@master ~]# rm -rf /var/log/messages [root@master ~]# cat /var/log/messages cat: /var/log/messages: 没有那个文件或目录 这个时候不要慌，第一个终端less还是可以正常浏览文件的 准备进行恢复文件 如果提示
解决在删除文件夹或文件时：另一个程序正在使用此文件，进程无法访问。
王明的博客
10-03 8961
kuaiya\kzippb - 另一个程序正在使用此文件，进程无法访问。 问题描述： 平时在删除文件夹或者删除某个单独文件的时候，我们经常会遇见如下问题，如操作无法完成或者文件或者文件夹已在另一程序打开， 当然我尝试使用管理员权限删除文件时，也是提示同样的问题。 问题解决： 在删除文件或者文件夹时提示拒绝访问，说明问题是由于我们的操作权限不足导致的，但是我们使用administrator进行操作时依然提示这个问题， 查看文件夹的操作权限，说明我们的administrator账户拥有对这个文件夹的完全控
Delphi 删除正在使用的文件.rar
03-30
Delphi 删除正在使用的文件.rar
delphi 删除文件
做减求空
11-14 4495
del('C:\Users\Administrator\Desktop\delphi\wenjian\Win32\Debug\','*.txt'); //删除文件 目录 //文件名 可以有通配符 procedure del(mulu : string ; f : string); var SearchRec : TSearchRec; begin
Delphi“粉碎文件”删除或移动正在使用的文件.rar
07-10
Delphi 模仿360“粉碎文件”，删除或移动正在使用的文件，现在360和QQ电脑管家都有空上功能，叫做“粉碎文件”，可以删除被占用的文件，或者说是正在运行中的文件，在Windows环境下是无法删除的，通过本程序介绍的方法，将删除或者移动任何一个正在使用中的文件。不过本程序是在计算机重新启动时删除文件，类似于开机启动时删除文件。 　　程序允许定义短文件名，因此在程序中添加了判断是否是有效短文件名(8 3格式)的功能。
Delphi判断文件是否正在被使用
alongwilliam的专栏
01-06 4581
Delphi判断文件是否正在被使用 首先,我们先来认识下CreateFile函数，它的原型如下 HANDLE CreateFile( LPCTSTR lpFileName, //指向文件名的指针 DWORD dwDesiredAccess, //访问模式（写/读） DWORD dwShareMode, //共享模式 LPSECURITY_ATTRIBUTES lpSecur
一键清除Delphi中无用的文件
diligentcat的专栏
07-13 1589
delphi确实好用，但它生成的各种文件，有时对我们来说基本没用，随着我们做的项目越来越多，其中无用的文件有时能占到三分之一。今晚写了个小工具，可以递归清理 delphi文件夹下无用的文件。 代码如下： @echo "清除Delphi中的无用文件 1.0" @echo "作者:DC" @echo off  if   "%1"=="" (goto currentPath)  else g
Python实现删除文件的多种快速方法
Python进阶专栏《爬虫实战进阶》，《Pyppeteer从入门到精通》原创作者
07-13 1693
本文是该专栏的第48篇，后面会持续分享python的各种干货知识。本文，我们一起踏入一个既实用又略带“挑战性”的领域——学习如何在Python中高效地删除文件。不需要担心，只要你跟着笔者的指引，就能在确保安全的前提下，游刃有余地管理你的文件系统，展现出python高手的风范。对于文件删除来说，可能大多数同学只知道os模块，但是笔者想要在本文中介绍的是“除了os，还有更加高级以及更加快速的文件删除方法”，而本文中，笔者将详细为你介绍八种文件删除“高级方法”。具体的细节部分，笔者在正文将结合实际完整代码案例进行
强力删除电脑文件的终极指南
最新发布
mmoo_python的博客
09-29 4915
面对无法删除的文件，不必过于焦虑。通过上述六种方法，你应该能够解决大部分的文件删除难题。不过，在进行强制删除操作时，请务必谨慎，确保不会误删重要文件或损坏系统文件。同时，定期清理不再需要的文件，保持系统的整洁与高效，也是日常电脑维护的重要一环。
linux c 删除文件,linux下使用c语言删除指定目录下所有文件
weixin_30976201的博客
04-28 2795
///////////////////////////////////////////////////////Name: DeleteFile//Purpose: Delete file in the special directory//Author: Alex Wang//Created: 2011-12-01//Copy rig...
unlocker1.8.7解锁软件大家经常有文件想删除说正在使用吧？
08-28
积分不足，大家有需要没需要的支持一下 哎 想下个东西 分不够了，，江湖救济~谢谢各位 unlocker经常会遇到想删除文件缺删除不了提示正在使用无法删除，这软件可以找出正在使用改文件的进程并关闭之非常好用
Delphi moveFileEx文件移动示例.rar
07-10
Delphi移动文件，其实就是模拟了剪切文件再粘贴文件的效果，比较简单的例子，核心的代码也没几行： 　　begin moveFileEx(pchar(OpenDialog1.FileName),pchar('C:\' extractfilename(opendialog1.FileName)),MOVEFILE_COPY_ALLOWED); 　　 showmessage('文件已移动到C盘跟目录下'); 　　end 　　else 　　 showmessage('无法复制文件'); 　　end; 　　需要更完整的代码，请下载本Delphi文件移动源码包。
Delphi 实现删除、移动正在使用的文件源代码.rar
07-09
Delphi 实现删除、移动正在使用的文件源代码，需是有效的短文件名(8 3格式)。除了删除外，还可以移动文件至目标路径。
如何强制删除正在使用的文件
张彤的专栏
08-11 7333
如何强制删除正在使用的文件好象以前有一个函数可以删除程序本身,找不到了,估计可以参考一下,请各位大侠指教---------------------------------------------------------------procedure DeleteSelf;var  pExitProcess: Pointer;  pDeleteFile: Pointer;  pUnmapView
Windows API一日一练(57)CopyFile和MoveFile函数
anjichan4261的博客
10-24 399
在信息的社会里，共享信息是非常重要的。比如你有一个很好的相片，要拷给朋友去分享。又或者你在写一些比较重要的数据，要进行不定时备份时，也就需要拷贝文件到不同的目录里。这样就需要使用到函数CopyFile来拷贝文件，它能够把一份文件拷贝多一份出来。我在开发一个数据采集的软件里，由于这个软件是可以不同的用户共同使用，用户跟我说有这样的需求，就是不同的用户的数据移动到不同的目录里，这样方便他们管...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值