首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]有方法读取一个已被其他进程打开且dwSharemode = 0的文件吗？
发表于: 2015-3-10 23:41 5691

[求助]有方法读取一个已被其他进程打开且dwSharemode = 0的文件吗？

misterliwe 活跃值
2015-3-10 23:41
5691
一个文件已经被其他进程CreateFile打开，且dwShareMode = 0。
问能有什么方法能读取这个文件的内容呢？

[培训]科锐逆向工程师培训第53期2025年7月8日开班！

收藏
免费 ・0
支持
分享
最新回复 (8)
wgejydy
雪    币： 70
活跃值： (37)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
2 楼
复制句柄
2015-3-11 09:03
0
soechin
雪    币： 69
活跃值： (30)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
3 楼
呼叫进程管理器!
强制结束那个程式。

...暂存档除外
2015-3-11 09:31
0
misterliwe
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
我是想在不影响其他进程打开的前提下。
2015-3-11 09:40
0
shilyx
雪    币： 209
活跃值： (143)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
在应用层一般来说有两种思路：

1、干掉原句柄，比较常用的手段有杀死原进程，远程关闭句柄，创建远程线程调用CloseHandle

2、复制原句柄，打开进程用DuplicateHandle复制一份即可使用

不影响原句柄使用的话，肯定是第二种方案。

需要注意的是，复制的句柄与原句柄共享文件指针，读取、写入别搞错乱了文件内容
2015-3-11 10:01
0
misterliwe
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
我试试。
2015-3-11 10:37
0
褐眼男子
雪    币： 60
活跃值： (524)
能力值： ( LV5，RANK：65 )
在线值：
发帖
回帖
粉丝
私信
7 楼
哥你真犀利
2015-3-11 11:33
0
sidyhe
雪    币： 2161
活跃值： (760)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
8 楼
如果使用驱动的话，直接下发IRP读文件内容即可
缺点是也许需要硬编码
2015-3-11 13:55
0
misterliwe
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
谢谢sidyhe，我通过duplicateHanle实现了。
我将其中的经过梳理了一遍：《有方法读取一个已被其他进程打开且dwSharemode = 0的文件吗？》
112K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3u0D9L8$3N6Q4x3X3g2U0M7$3c8F1i4K6u0W2L8X3g2@1i4K6u0r3L8h3W2K6N6r3g2J5L8r3W2%4k6h3W2Q4x3V1k6S2M7Y4c8A6j5$3I4W2i4K6u0r3k6r3g2@1j5h3W2D9M7#2)9J5c8U0b7@1x3U0t1^5z5e0p5%4

不当之处，请指正。再次感谢。
2015-3-12 22:42
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回