[原创]C# 与 汇编 的一次亲密接触。

废话不讲,转入正题!

前不久,有位网友在MSN上问我:如何解除被独占打开文件的锁定?
虽然从ring0层可以做到更加Power的处理,但是相对繁琐。
权衡之后,我决定在ring3层解决这个问题。经过网上的一番搜
索之后,写了一个简单的exe程序。后来略觉"简陋",遂决定加上
GUI。写win32界面不是汇编的强项,于是决定用.Net中的C#来写。

C#的高级语法对于数值运算、字符串、图形界面的处理简单方便;
而汇编对于程序性能优化、体积精简、低层代码可控性又得心应手。
两者结合使用,可以达到扬长避短的作用。和以前我用VB   +   ASM
的花哨界面不同,这次我力图做到界面最精简(当然还是有点花哨,呵呵)
,先做一个DEMO,由于才学C#不久,加上水平有限,可能有很多纰漏和
错误,以及一些还可以优化的地方,希望各位不吝指出,多谢了。

截图:

 

 

 

 

 

 

[细节&要点]

由文件句柄得到文件的名称,还可以用内存影射文件的方法,但有局限性。

Assembly code

    _GetFileNameByHandle proc uses esi edi ebx _handle,_hProcess,/
    _lpFileName,/
    _lpProcessName
    ;_lpstOpenFile

    local @stFI:_FileInfo,@hThread:dword

    mov eax,_handle
    mov @stFI.Handle,eax

    invoke RtlZeroMemory,addr @stFI.FInfo.FileNameW,/
    MAX_PATH * 2

    invoke CreateThread,NULL,0,addr _WorkThread,/
    addr @stFI,0,NULL
    mov @hThread,eax

    invoke WaitForSingleObject,@hThread,100

    .if eax == WAIT_TIMEOUT
    invoke TerminateThread,@hThread,0
    .endif

    invoke CloseHandle,@hThread

    invoke RtlZeroMemory,addr buf,/
    sizeof buf

    invoke GetProcessImageFileNameA,_hProcess,addr buf,/
    sizeof buf

    invoke _GetProcessShortName,addr buf

    invoke lstrcpy,_lpProcessName,addr buf

    mov eax,@stFI.FInfo.FileNameLength

    .if eax != 0
    push eax

    invoke RtlZeroMemory,addr buf,/
    sizeof buf

    pop eax
    shr eax,1

    invoke WideCharToMultiByte,CP_ACP,0,/
    addr @stFI.FInfo.FileNameW,eax,/
    addr buf,MAX_PATH,NULL,NULL

    invoke lstrcpy,_lpFileName,addr buf
    .else
    invoke lstrcpy,_lpFileName,addr szDefaultFileName
    .endif

    ret

    _GetFileNameByHandle endp


有些"文件"(实际是管道)会造成操作挂起,遂用线程处理之:

Assembly code


    _WorkThread proc _lpFileInfo
    local IoStatus:IO_STATUS_BLOCK

    assume esi:ptr _FileInfo
    mov esi,_lpFileInfo

    invoke NtQueryInformationFile,[esi].Handle,addr IoStatus,/
    addr [esi].FInfo,sizeof(_FileInfo)-sizeof(dword),/
    FileNameInformation

    assume esi:nothing
    ret

    _WorkThread endp

关于C#与汇编的接口兼容问题,取出一个结构说明:
在C#中:

C# code



    private struct _stOpenFile
    {
    public uint lpProcessName;
    public uint lpFileName;
    public uint ProcessID;
    public uint Flags;
    public uint hFile;
    public uint GrantedAccess;
    }



在   asm   中:

Assembly code



    _stOpenFile struct

    lpProcessName dd ?
    lpFileName dd ?
    ProcessID dd ?
    Flags dd ?
    hFile dd ?
    GrantedAccess dd ?
    _stOpenFile ends



在C#中调用方法:

C# code


    private void btnFind_Click(object sender, EventArgs e)
    {
    StringBuilder szTmp = new StringBuilder(256);

    string FileName, ProcessName;

    _stOpenFile stOP = new _stOpenFile();

    this.btnFind.Enabled = false;

    this.lstvewFind.Items.Clear();
    this.lstvewFind.Refresh();

    unsafe
    {
    byte[] szProcessName = new byte[256];
    byte[] szFileName = new byte[256];

    fixed (byte* lpPN = szProcessName)
    fixed (byte* lpFN = szFileName)
    {
    stOP.lpProcessName = (uint)lpPN;
    stOP.lpFileName = (uint)lpFN;

    while (EnumAllOpenFile(ref stOP) == true)
    {
    ProcessName = Encoding.Default.GetString(szProcessName).Trim('/0');
    FileName = Encoding.Default.GetString(szFileName).Trim('/0');

    if ((FileName.ToString().Length == 0) && (ProcessName.ToString().Length == 0))
    {
    Array.Clear(szProcessName, 0, 256);
    Array.Clear(szFileName, 0, 256);
    continue;
    }

    if (FileName.ToString().ToLower() == this.txtFind.Text.ToString().ToLower())
    {
    this.lstvewFind.Items.Add(ProcessName.ToString()).SubItems.AddRange(new string[] {
    FileName.ToString(),stOP.hFile.ToString(),stOP.Flags.ToString(),
    "0x"+Convert.ToString(stOP.GrantedAccess,16),stOP.ProcessID.ToString()});
    this.lstvewFind.Refresh();
    }
    else
    {
    szTmp.Remove(0, szTmp.Length);
    szTmp.Append(FileName.ToString());
    GetShortName(szTmp);
    if (szTmp.ToString().ToLower() == this.txtFind.Text.ToString().ToLower())
    {
    this.lstvewFind.Items.Add(ProcessName.ToString()).SubItems.AddRange(new string[] {
    FileName.ToString(),stOP.hFile.ToString(),stOP.Flags.ToString(),
    "0x"+Convert.ToString(stOP.GrantedAccess,16),stOP.ProcessID.ToString()});
    this.lstvewFind.Refresh();
    }
    }
    Array.Clear(szProcessName, 0, 256);
    Array.Clear(szFileName, 0, 256);
    }
    }
    }
    MessageBox.Show("Total Find " + lstvewFind.Items.Count.ToString() + " Open Files !");

    this.btnFind.Enabled = true;
    }

    上面应该可以再大幅度优化,请各位不吝指出,多谢。

[细节&要点2] 

要   open   一些特权进程,需要DEBUG权限,否则无法枚举这些进程中
的文件,遂首先打开DEBUG特权:


Assembly code


_EnableDebugPrivilege proc _isEnable
local htoken:HANDLE
local uid:LUID
local tp:TOKEN_PRIVILEGES
local isSuccess

mov isSuccess,FALSE

invoke GetCurrentProcess
lea ebx,htoken
invoke OpenProcessToken,eax,TOKEN_ADJUST_PRIVILEGES,/
ebx
invoke LookupPrivilegeValue,NULL,addr SE_DEBUG_NAME0,/
addr uid

mov tp.PrivilegeCount,1
push uid.LowPart
pop tp.Privileges[0].Luid.LowPart
push uid.HighPart
pop tp.Privileges[0].Luid.HighPart
.if _isEnable
mov tp.Privileges[0].Attributes,/
SE_PRIVILEGE_ENABLED
.else
mov tp.Privileges[0].Attributes,0
.endif

invoke AdjustTokenPrivileges,htoken,FALSE,addr tp,/
sizeof tp,NULL,NULL

invoke GetLastError
.if eax == ERROR_SUCCESS
mov isSuccess,TRUE
.endif

invoke CloseHandle,htoken
mov eax,isSuccess
ret

_EnableDebugPrivilege endp


由于使用远线程(本来想用HOOK,但还是觉得远线简单   :)),所以
要考虑重定位:


Assembly code

REMOTE_CODE_START equ this byte

_lpCloseHandle dd ?

_RemoteThread proc uses ebx edi esi _hFile

call @F
@@:
pop ebx
sub ebx,offset @B

push _hFile
mov eax,[ebx + _lpCloseHandle]
;mov eax,07c809b47h
call eax
ret

_RemoteThread endp

REMOTE_CODE_END equ this byte
REMOTE_CODE_LENGTH equ offset REMOTE_CODE_END - offset REMOTE_CODE_START

你可能感兴趣的:(汇编,String,C#,assembly,null,byte)