S.l.e!ep.￠%
S.l.e!ep.￠%

操作被占用的文件-unlocker机理分析

操作被占用的文件-unlocker机理分析
2009-10-11 21:54
操作被占用的文件-unlocker机理分析

====================================================================
以下为转帖

[前言]
——————————————————————
之前给原作者发过邮件, 不过没能得到unlocker的源代码, 所以自己逆向了一份;
逆向的很匆忙, 因为近来事情太多, 而且unlocker本身也是版权所有, 所以不好做的太露骨;
本人也还有不少地方不是很明白, 有机会和我联系, 一起探讨 :-)
感谢EagleNet的讨论.


[关于unlocker]
——————————————————————
Unlocker是一个免费的工具, 原作者的网站是: http://ccollomb.free.fr/unlocker
当使用者发现有某个文件或目录无法删除时, 只要按下鼠标右键中的"Unlocker",
程序会显示出是哪一些程序占用了该目录或文件, 接着只要按下"Unlock"就能够为你的文件解锁.


==============================Here we start=================================

[大致流程]
——————————————————————
主程序Unlocker.exe通过ZwQuerySystemInformation查询当前系统的所有句柄信息, 然后调用OpenProcess获取目标进程句柄,
遍历当前所有进程, 根据进程ID, 得到此进程打开的所有句柄信息, 接下来用DuplicateHandle复制Handle到本地进程,
然后把文件句柄发给驱动UnlockerDriver5.sys进行名字的查询, sys将返回文件句柄对应的内核文件对象的完整名字.
确定文件名后, 如果要删除文件, 则调用OpenProcess与DuplicateHandle关闭句柄, 然后ZwDeleteFile删除文件.


[UnlockerAssistant.exe]
[UnlockerHook.dll]
——————————————————————
UnlockerAssistant.exe主要是实现系统托盘等辅助功能, 同时安装钩子:
.text:00403AC9           public start
.text:00403AC9 start:
//...
.text:00403AD5           call   sub_40391E
跟进, 能看到主要的实现代码:
.text:00403925           call   sub_402E83
//...
.text:00403944           push   offset LibFileName ; "UnlockerHook.dll"
.text:00403949           call   ds:LoadLibraryA
//...
.text:0040398A           push   offset ProcName ; "HookInstall"
.text:00403994           call   edi ; GetProcAddress
注册窗口消息, 初始化控件, 安装钩子;

.text:00403A1A           call   ds:Shell_NotifyIconA
.text:00403A20           call   sub_40359E   ;RegOpenKeyExA...
设置托盘图标, 写入注册表启动项;

.text:00403A69           push   offset s_Hookuninstall ; "HookUninstall"
卸载钩子.

当然也有绿化版本只写入右键, 这些大家自己看反汇编的代码, 详细的钩子过程反汇编UnlockerHook.dll, 也不再做纠缠.
我们只看UnlockerHook.dll里一处:
.text:10001102 sub_10001102   proc near           ;
//...
.text:10001181           call   ds:GetModuleFileNameW
.text:1000118E           call   ds:PathRemoveFileSpecW
//...
.text:100011A7           push   offset s_SUnlocker_exe ; "\"%s\\Unlocker.exe\""
//...
.text:100011E0           call   ds:ShellExecuteExW
呼出主程序, 进行文件处理.


[UnlockerDriver5.sys分析]
——————————————————————
反汇编驱动文件, 跳到入口点:
INIT:00402000 ; int __stdcall start(PDRIVER_OBJECT DriverObject,int)
INIT:00402000           public start
INIT:00402000 start       proc near
//...
INIT:0040203D           call   ds:IoCreateDevice
//...
INIT:004020E3           call   ds:IoCreateSymbolicLink
//...
上面就是DriverEntry了. 注意这一段:
INIT:004020AB           mov   dword ptr [ecx], offset loc_401000
INIT:004020B1           mov   dword ptr [esi+40h], offset loc_401000
INIT:004020B8           mov   dword ptr [esi+44h], offset sub_401090
INIT:004020BF           mov   dword ptr [esi+48h], offset loc_401020
INIT:004020C6           mov   dword ptr [esi+34h], offset sub_401240
经典的, 处理MajorFunction[IRP_MJ_DEVICE_CONTROL*(sizeof PVOID)]等等.

我们跟踪这两个函数, 先跟sub_401240, 如下:
PAGE:0040124D           call   ds:RtlInitUnicodeString
//...
PAGE:00401257           call   ds:IoDeleteSymbolicLink
//...
PAGE:00401265           call   ds:IoDeleteDevice
很明显的DriverUnload函数;

接着跟sub_401090, 这个函数就是类似于DispatchControl(IRP_MJ_DEVICE_CONTROL)了;
我们挑关键的看, RtlInitUnicodeString函数填充UNICODE_STRING结构就不多做纠缠:
PAGE:004010FA           call   ds:ObReferenceObjectByHandle
获取由句柄描述的对象的指针, 也就是获取FILE_OBJECT对象;
这里, 想想内核级文件的Read和Write, 通过HANDLE执行就要先用ObReferenceObjectByHandle函数来获得Handle对应的FileObject,
然后我们再给FileObject发送IRP进行实质操作.

略过分配内存, 接着往下走:
PAGE:00401158           call   ds:ObQueryNameString
这个函数将获取设备名, 然后和FILE_OBJECT的FileName构成完整的名字返回(应用层在注册表中保存设备名+目录名);

PAGE:00401214           call   ds:ObfDereferenceObject
再一次调用ObfDereferenceObject, 将对象的引用计数器恢复到先前的值, 防止泄漏;

PAGE:0040122D           call   ds:IofCompleteRequest
MajorFunction[IRP_MJ_CLOSE*(sizeof PVOID)], 完成操作.

回头看看这个驱动, 实际上是很经典也很简单的驱动程序, 实现的功能也很简单:
返回文件句柄对应的内核文件对象的完整名字, 传给主程序进行文件"删除""移动"等操作.


[Unlocker.exe分析]
——————————————————————
直接跳到入口点:
.text:004135FB           public start
.text:004135FB start       proc near
//...
.text:00413607           call   sub_412EDC
跟进去, 挑重点:

.text:00412EEF           call   sub_40D1FF     ; 命令行用法说明
.text:00412EFC           call   sub_40D78C     ; 查询注册表
.text:00412F0C           push   offset Caption ; "Unlocker 1.8.5"
.text:00412F11           call   sub_413DEF     ; 创建线程, 网络升级, 在线辅助
//...
.text:00412F1C           mov   ecx, eax
.text:00412F1E           call   sub_40FA79     ; 这里开始!

=============================================================================
我把sub_40FA79列出来(有省略), 如下:
.text:0040FA79 sub_40FA79     proc near           ; CODE XREF: sub_412EDC+42 p
.text:0040FA79           push   ebx
.text:0040FA7A           push   esi
.text:0040FA7B           push   offset LibFileName ; "ntdll.dll"
.text:0040FA82           call   ds:LoadLibraryA
//...
.text:0040FA8E           push   edi
.text:0040FA8F           mov   edi, ds:GetProcAddress
.text:0040FA95           push   offset ProcName ; "ZwQuerySystemInformation"
.text:0040FA9D           push   offset s_Zwqueryobject ; "ZwQueryObject"
.text:0040FAA7           push   offset s_Zwdeletefile ; "ZwDeleteFile"
.text:0040FAB2           push   offset s_Rtlinitunicod ; "RtlInitUnicodeString"
.text:0040FABD           push   offset s_Rtladjustpriv ; "RtlAdjustPrivilege"
.text:0040FAC8           push   offset s_Ntloaddriver ; "NtLoadDriver"
.text:0040FAD3           push   offset s_Ntunloaddrive ; "NtUnloadDriver"
.text:0040FAD8           push   ebx         ; hModule
.text:0040FAD9           mov   [esi+14h], eax
.text:0040FADC           call   edi ; GetProcAddress

这一段的代码是unlocker的重点部分, 获取ntdll.dll地址后, 调用其中的函数:
1)ZwQuerySystemInformation函数获得系统当前所以进程的所建立的句柄及其相关信息;
2)ZwQueryObject获取句柄所代表对象信息, 查出目标文件(设备名+目录名);
3)ZwDeleteFile删除目标文件;
4)NtLoadDriver加载驱动, 当然还需要后面的注册表修改;
===========================================================================

再往下:
.text:00412F9E           call   ds:PathRemoveFileSpecW
.text:00412FAB           push   offset s_SUnlocker_cfg ; "%s\\Unlocker.cfg"
.text:00412FB5           call   ds:wsprintfW
//...
.text:00412FC2           call   sub_40D3F4
跟进sub_40D3F4函数, 发现作用是将驱动信息写入注册表;

.text:00413008           push   dword ptr [eax+8] ; lpFileName
.text:0041300B           call   sub_410E28
//...
.text:004133E8           call   ds:QueryDosDeviceA
//...
.text:004134B7           push   offset s_DeviceLanmanr ; "\\Device\\LanmanRedirector"
.text:004134BC           push   eax         ; LPWSTR
.text:004134BD           mov   [ebp+lpSrch], eax
.text:004134C0           call   ds:wsprintfW
遍历查询DOS设备, 进行重定向;

.text:00413504           mov   esi, ds:DialogBoxParamA    
.text:0041350A           mov   edi, ds:GetModuleHandleA
//...
.text:00413529           call   sub_411A59   //--->getfullname
创建一个对话框窗口, 显示所有枚举出的相关进程;
sub_411A59函数将获取对象文件的完整名, 并返回, 我们跟进去:

.text:00411F63           push   dword ptr [esi] ; dwProcessId
.text:00411F65           mov   edi, ds:OpenProcess
.text:00411F6B           push   ebx         ; bInheritHandle
.text:00411F6C           push   450h         ; dwDesiredAccess
.text:00411F71           call   edi ; OpenProcess
之前是进程和模块遍历, 找到相关联的所有进程和模块, OpenProcess打开需要操作的文件;

.text:00411F93           call   ds:GetCurrentProcess
//...
.text:00411FA2           call   ds:DuplicateHandle
获取本地进程, 将对象进程的句柄复制到本地进程(句柄进程相关);

.text:00411FBB           push   offset s_?Unlockerdriv ; "\\\\?\\UnlockerDriver5"
.text:00411FC0           call   ds:CreateFileW
//...
将句柄发送给驱动程序, 驱动将返回文件句柄对应的内核文件对象的完整名字;


[文件操作选择]
——————————————————————
现在退出sub_411A59函数返回主线, 我们走到这里:
.text:00413536           cmp   byte ptr [eax+3], 0
.text:0041353A           jz     short loc_41357B
.text:0041353A
.text:0041353C           mov   eax, cInitial
.text:00413541           test   eax, eax
.text:00413543           jz     short loc_413571   ; "移动"或者"重命名"操作;
.text:00413543
.text:00413545           xor   ebx, ebx
.text:00413547           test   eax, eax
.text:00413549           jbe   short loc_41355F   ; "删除"操作
这里将进行文件处理的选择, 是无动作? 删除? 还是移动? 重命名?

.text:0041353A           jz     short loc_41357B
//...
.text:0041357B           xor   ebx, ebx
.text:0041357D           cmp   cInitial, ebx
.text:00413583           jz     short loc_4135AE
cInitial存放的值代表当前的窗口是否为初始窗口;

a)
我们先看是派生窗口时的处理, loc_4135AE:
.text:004135B5           push   offset sub_412D62 ; lpDialogFunc
//...
.text:00412DA4           push   [esp+800h+hDlg] ; hDlg
.text:00412DAB           call   sub_412371   //-->toMoveFile
生成一个浏览对话框供选择路径保存文件:
.text:004123AB           call   sub_410064
//--->
.text:00410082           call   ds:CoInitialize
.text:004100D6           call   ds:SHBrowseForFolderW
.text:004100E4           call   ds:SHGetPathFromIDListW
.text:004100F4           call   ds:CoUninitialize
//<---
.text:004123DE           call   ds:PathIsDirectoryW
.text:0041242C           call   ds:GetSaveFileNameW
.text:00412451           call   sub_4115AE     //-->inject

实际上查看sub_412371这个函数的交叉引用(实际上你不用看引用也很容易就会发现), 会发现:
.text:00412478 sub_412478     proc near     //-->GuiControlDeal
这里是一个对话框, 也就是我们右键unlocker时产生的界面, 它将生成unlocker的主界面,
也将处理各种用户操作的消息, 发给各个子程序去处理;

回到:
.text:004135C7           call   esi ; DialogBoxParamA
.text:004135CF           call   sub_410F86   //-->MoveFile
由于cInitial值为0, 所以此时必定是用户选择了"移动"或"重命名";

=========================================================================
跟进sub_410F86, 看到:
.text:00410F96           jnz   loc_4110C2     ; 重命名
//...
.text:00411145           call   esi ; wsprintfW
//...
.text:00411173           call   edi ; SHFileOperationW
//...
.text:00411166           mov   [ebp+FileOp.wFunc], 4   ;ReName
text:00411217             call   edi ; SHFileOperationW
调用wsprintfW格式化路径后, 填充SHFILEOPSTRUCT结构, 由SHFileOperationW来重命名, 完成后调用MessageBoxA通知完成;

否则就是"移动"操作:
.text:00411048           call   sub_410BB2   //-->getdirfile
//--->
.text:00410C20           call   ds:FindFirstFileW
.text:00410C95           call   ds:FindNextFileW
//<---
.text:00411064           call   ds:MoveFileExW
.text:00411076           jnz   short loc_41105F ; 循环移动目录下的所有文件
.text:00411093           jb     loc_410FBF     //-->deleteDir
//...
.text:004113E4           push   eax         ; int
.text:004113E5           mov   eax, lpSrch
.text:004113EA           push   [ebp+var_8]   ; int
.text:004113ED           add   eax, esi
.text:004113EF           push   eax         ; lpExistingFileName
.text:004113F0           call   sub_410462   //-->movefile
到这里就完成了这两项功能, 不过注意函数里压栈时的参数:

.text:00411281           call   getdirfile
//...
.text:00411302           push   4           ; MOVEFILE_DELAY_UNTIL_REBOOT
.text:00411304           lea   eax, [ebp+NewFileName]
.text:0041130A           push   eax         ; lpNewFileName
.text:0041130B           push   dword ptr [edi] ; lpExistingFileName
.text:0041130D           call   ds:MoveFileExW
这段代码的意思是, 如果暂时处理不了用户请求的文件操作, 那就在系统重新启动时实行操作;
========================================================================

接着:
.text:004135DE           cmp   [ebp+var_9], 0
.text:004135E2           jnz   loc_413514
返回, 重新获取文件的完整名, 重绘主窗口;

.text:004135E8           call   sub_40D51D
.text:004135ED           call   sub_413B8F
ds:GlobalFree释放内存后, 调用了sub_40D51D, 它删除了注册表里的sys服务, 然后sub_413B8F休眠, 继续等待操作触发;

b)
现在我们回到a)处, 考虑另一种情况, cInitial==1:

.text:00413586           push   offset GuiControlDeal ; lpDialogFunc
.text:00413596           call   esi ; DialogBoxParamA
//...
.text:00413568           push   [ebp+hMem]
.text:0041356B           call   sub_41178F   //--->CloseFileHandle
此时的文件操作是"删除"(或者"无动作");

sub_41178F函数的作用就是实现删除文件, 我们看:

.text:004117FB           call   ds:OpenProcess
//...
.text:0041180D           call   ds:TerminateProcess
//...
.text:00411819           cmp   eax, 0FFFFFFFFh
.text:0041181C           jnz   loc_4119F8
判断目标文件是哪种类型文件, exe还是dll? 是exe则跳到loc_4119F8处;

.text:0041182E           call   ds:OpenProcess
//...
.text:00411868           call   GetModuleFileNameExW
//...
.text:00411873           push   offset s__dll   ; ".DLL"
.text:00411878           push   eax         ; pszPath
.text:00411879           call   sub_40FC27
文件是dll类型, 获取其路径;

.text:0041189F           push   offset s_SUS   ; "/s /u \"%s\""
//...
.text:004118B3           mov   [ebp+ExecInfo.lpVerb], offset s_Open ; "open"
.text:004118BA           mov   [ebp+ExecInfo.lpFile], offset s_Regsvr32_exe ; "regsvr32.exe"
//...
.text:004118DA           call   ds:ShellExecuteExW
先将模块注销掉, 使用regsvr32.exe /s /u实现;

.text:00411944           push   offset s_Freelibrary ; "FreeLibrary"
//...
.text:00411966           push   offset s_Closehandle ; "CloseHandle"
然后通过FreeLibrary来释放, 调用GetModuleHandleW查询句柄后, 用CloseHandle将其关闭;

注意这一段代码:
.text:00411888           push   0Eh
.text:0041188A           pop   ecx
也就是说循环将进行0EH(14)次, FreeLibrary也将执行14次直到dll被释放;

.text:00411921           call   esi ; WriteProcessMemory
.text:00411933           call   edi ; VirtualAllocEx
.text:004119A8           call   esi ; WriteProcessMemory
.text:004119B5           call   ds:CreateRemoteThread
想必您已经注意到了这些代码, 对, 思路就是用线程注入到目标进程去调用FreeLibrary来释放dll;

现在我们来到loc_4119F8处, 也就是上文提到的如果文件是exe文件时的处理方法:
.text:00411A07           call   ds:OpenProcess
.text:00411A1B           call   ds:GetCurrentProcess
.text:00411A28           call   ds:DuplicateHandle
.text:00411A3C           call   ds:CloseHandle
还是先打开文件, 然后调用DuplicateHandle, 但是这里传递的参数是DUPLICATE_CLOSE_SOURCE标志, 将强制关闭句柄;

===========================EOF===But to be modified========================


[后语]
——————————————————————
突然发现没结尾, 被老大姐骂了, 补充一个吧.
unlocker最主要的功能实现都在unlocker.exe和一个.sys驱动里, 值得关注的是它怎么实现的关闭句柄和删除文件.
关键的函数 (部分也是未公开的API) , 比如:
ZwQuerySystemInformation、 ZwQueryObject、ZwDeleteFile、ObReferenceObjectByHandle、ObQueryNameString、 SHFileOperationW、MoveFileExW、DuplicateHandle.
这里尤其是DuplicateHandle和MoveFileExW比较有意思.
详细的界面构造没有去研究, 就是这句:
.text:00412478 sub_412478     proc near     //-->GuiControlDeal
跟进去分析就是界面的相关操作了, 太烦, 本人时间有限, 如果有人愿意继续, 记得把结果分享一份给我, 谢谢.



*[参考资料]:
——————————————————————
1. Windows平台内核级文件访问   baiyuanfan
2. unlocker1.8.5       http://ccollomb.free.fr/unlocker
3. Kmd教程-全功能的驱动程序分析   罗云彬

4. http://forum.sysinternals.com/forum_posts.asp?TID=7974

==========================================================================

另一篇: http://windknown.spaces.live.com/blog/cns!627D8DB6EC5BD4A7!435.entry

April 07
UnLocker带来的思考
这几个礼拜已经是忙得焦头烂额了, 这2天还偏偏和unlocker这个软件耗上了, 我的睡眠时间啊~~
UnLocker是一款可以用来删除已被占用文件的软件, http://ccollomb.free.fr/unlocker/
通常的删除文件是通过调用win32 api的DeleteFile来执行的, 该函数会检查是否有引用该文件的句柄, 因此若有进程打开了该文件是无法删除的. 另外说一下该api的执行过程, 打开文件-〉设置为删除-〉关闭文件, 此时系统会自动删除该文件. 设置是通过主控制号为IRP_MJ_SET_INFORMATION的IRP进行的, IO 栈的Parameters.SetFile.FileInformationClass值为 FileDispositionInformation, AssociatedIrp.SystemBuffer指向结构 FILE_DISPOSITION_INFORMATION, 其成员DeleteFile设置为TRUE. 于是乎, 如果在自己的文件过滤驱动里过滤该 IRP, 只需要改为FASLE就可以防止文件被删除了.
说一下另一种删除文件的方法, 也就是unlocker使用的, ntdll导出的ZwDeleteFile, 该函数的原理没有细究, 但是同样也是会检查句柄的.
因此, 要删除文件的关键是需要关闭打开的文件句柄, 而句柄是与进程相关的. 今天仔细逆向了一下unlocker, 包括主程序和一个sys文件.
sys文件的作用是返回文件句柄对应的内核文件对象的完整名字, 例如: \Device\HarddiskVolum1\mytest.doc,  \Device\HarddiskVolum1就是C:这个卷的设备名. 大致流程就是调用ObReferenceObjectByHandle通过对象获取FILE_OBJECT对象, 然后通过ObQuerNameString查询FILE_OBJECT中的DeviceObject指针获取设备名, 再与 FILE_OBJECT的FileName构成完整的名字返回.
主程序是通过 ZwQuerySystemInformation 查询 handle 信息, 类型为 SystemHandleInformation, 然后调用 OpenProcess 获取目标进程句柄, 再用 DuplicateHandle 复制 Handle 为本进程, 再通过驱动查询名字, 确定文件名. 一定记住句柄是进程相关的, MSDN里描述, 例如在DriverEntry中打开的句柄是在system进程下, 因此在驱动DispatchFunction中不可用, 因为DispatchFunction的进程上下文为与驱动通信的进程. 当要删除文件时, 对于打开的文件, unlocker仍然是通过OpenProcess与DuplicateHandle, 只是指定了 DUPLICATE_CLOSE_SOURCE标志, 真是大开眼界阿, 如此便关闭了句柄, 高. 而对于dll就没有那么方便了, unlocker会用线程注入到目标进程去调用FreeLibrary来释放dll, 因此可能不够稳定, 而且逆向时发现注入的代码只尝试0x10次Free, 呵呵我load20次自己就可以搞定捞.
然后看MSDN过程中发现了另一个nb函数, SetHandleInformation, 设置这个标志 HANDLE_FLAG_PROTECT_FROM_CLOSE , 那么 unlocker 调用 DuplicateHandle 也关不掉你的句柄了, 试验了一下, 果然说删不了捞, hoho
整这些鸟东西弄了我一天时间, 唉, 许久不逆向, 生疏了不少~~而且因为在虚拟机里调试, 老破机器这个卡啊~~睡觉去!
顺便一提, 今天发现国内搞安全的兄弟们共享精神不如国外阿, 唉, 环境使然, 人吗首先还是要自己生存的. 想想自己也快毕业了, 有点迷惘, 毕业了干啥工作去捏……生存阿生存


============================================================================
第三篇: http://blog.vckbase.com/windowssky/archive/2007/04/18/25565.html

小议文件保护和锁定技术

近1年来互连网上的木马越来越多, 有的还删除不掉, 要切换到dos才可行, 如: CNNC, 3721等, 实现技术也五花八门, 但就文件不可删除的实现技术可分三类:

1 Attach file system; 这种技术和Filemon/sfilter查不多, 就是挂一个 filter 驱动到 fs 上, 其他函数都是 passthru 下去, 只处理 IRP_MJ_SET_INFORMATION, 当发现有删除需保护文件的 IRP, 就
Irp->IoStatus.Status = STATUS_SUCCESS;           
Irp->IoStatus.Information = 0;           
IoCompleteRequest(Irp, IO_NO_INCREMENT);
根本不让 Fs 去处理, 从而达到文件不可删除的作用!

有什么方法可以删除呢? 自己写个驱动自己填充 irp 包 (见 OSR 文档 Rolling Your Own) , 直接发送 IRP 到 File System Device 上去就 ok 啦!


2 修改 file system 的 dispatch 函数表; 首先得到 Fs 的 DriverObject (根据驱动名得到驱动设备对象 (ObReferenceObjectByName(IoDriverObjectType))), pDriverObject->MajorFunction[IRP_MJ_SET_INFORMATION] = MySetInformation, 然后在 MySetInformation 中再调用原来的调度函数, 类似于 HookApi; 发现有删除需保护文件的 IRP, 就直接 IoCompleteRequest, 根本不让原来的 FsSetInformation 处理!

有什么方法可以删除呢? 自己写个驱动来修复 Fs 的 dispatch 函数表, 读 Fs 的原始文件, 根据 PE 文件得到 Fs 的 Entrypoint, dispatch 函数表的填充都在 EntryPoint 后面, 我们可以根据 Opcode 查找, XX XX XX XX 就是我们要找的 dispatch 的原始地址; 找到后 pDriverObject->MajorFunction[IRP_MJ_SET_INFORMATION] = XX XX XX XX, 然后就能删除文件啦!

FunOpc=MajorFunction*4+0x38
C7 46 FunOpc[<80]  XX XX XX XX  mov     dword ptr [esi+50h], offset _NtfsFsdSetInformation
C7 86 FunOpc[>=80] XX XX XX XX
C7 43 FunOpc[<80]  XX XX XX XX  mov     dword ptr [ebx+50h], offset _NtfsFsdSetInformation
C7 83 FunOpc[>=80] XX XX XX XX


3 通过 ZwCreateFile 把文件锁定; 删除时报告 "文件正在使用, 禁止删除", 具体原理自己摸索吧, 反正是通过 ZwCreateFile 实现的!

有什么方法可以删除呢?
step1: 通过 QuerySystemInformation(SystemHandleInformation) 得到当前系统的所有句柄信息
step2: 遍历当前所有进程, 根据进程 ID, 得到此进程打开的所有句柄信息
Step3: 把句柄发送给我们的驱动程序, 驱动程序根据 ObQueryNameString 得到句柄的路径信息, 然后再传给我们的应用程序
Step4: 如果是我们要删除文件的路径, 应用程序调用 DuplicateHandle(DUPLICATE_CLOSE_SOURCE), 句柄被关闭了, 现在可以删除文件了!
注: QuerySystemInformation 的使用说明见 The Undocumented Functions, 或者 http://undocumented.ntinternals.net, 第三种解除文件锁定的方法是我反汇编 Unlocker 软件学习到的


最后感谢 7cat 的帮助!

====================================================================
以下为原创

free2000fly 按:
unlocker 软件真是搞的百转千回, 还用到了驱动, 其实不必要, 在ring3是可以通过文件句柄得到文件名的, 以下是删除已被锁定文件的代码:
BOOL DeleteLockedFile(DWORD dwProcessID, HANDLE hFile)
{
TCHAR szTargetName[MAX_PATH] = { 0 };
HANDLE hTargeFile = INVALID_HANDLE_VALUE;
HANDLE hProcess = NULL;
BOOL bResult = FALSE;

do
{
hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwProcessID);
if (NULL == hProcess) {
break;
}

if (FALSE == DuplicateHandle(hProcess, hFile,
GetCurrentProcess(), &hTargeFile,
0, FALSE, DUPLICATE_SAME_ACCESS))
{
break;
}

if (INVALID_HANDLE_VALUE==hTargeFile || NULL==hTargeFile) {
break;
}

if (FALSE == GetFilePathFromHandle(hTargeFile,
szTargetName, _countof(szTargetName)))
{
break;
}

CloseHandle(hTargeFile);
hTargeFile = INVALID_HANDLE_VALUE;

if (0 == lstrlen(szTargetName)) {
break;
}

if (FALSE == DuplicateHandle(hProcess, hFile,
GetCurrentProcess(), &hTargeFile,
0, FALSE,
DUPLICATE_SAME_ACCESS|DUPLICATE_CLOSE_SOURCE))
{
break;
}

if (INVALID_HANDLE_VALUE==hTargeFile || NULL==hTargeFile) {
break;
}

CloseHandle(hTargeFile);
hTargeFile = INVALID_HANDLE_VALUE;

bResult = DeleteFile(szTargetName);
} while (FALSE);

if (INVALID_HANDLE_VALUE != hTargeFile && NULL != hTargeFile) {
CloseHandle(hTargeFile);
}

if (hProcess) {
CloseHandle(hProcess);
}
return bResult;
}

其中函数 GetFilePathFromHandle 的实现请看我的 另一篇博文 " 从文件句柄得到文件路径的函数 "

1.运行中的程序或DLL，任何运行中的程序或DLL都可以被删除，包括FileKill360本身
系统文件也可以删除，不过系统的文件检查会将其自动恢复，若关闭自动恢复或将dllcache中文件一起删除，也可以删除之


这点超越金山粉碎机、Unlocker、PowerRMv等使用MoveFileEx等不稳定或容易失败技巧的文件删除工具

被运行中的文件进程功能可能受到影响，但如果是来删除流氓软件或木马的DLL或文件，却是再好不过了



2.被独占打开的文件，被独占（拒绝读写共享）的文件，也可以删除，包括MY123系列驱动

这点目前金山粉碎机、Unlocker、PowerRMv都无法做到
独占打开的文件被删除后，不会消失，但任何软件都无法将其打开，这样可以防止恶意软件在后台重建该文件
等关机或独占该文件的进程退出后，文件会自动消失


3.被IFS文件过滤驱动保护的文件,比如百度搜霸的被保护文件、彩信通的被保护文件等

4.被Fsd Dispatch Hook保护的文件，如万能搜索保护的文件等

5.被fsd inline hook保护的文件，如cnnic保护的文件等

直接发IRP删除文件

然后Hook fastfat.sys和Ntfs.sys上IAT的MmFlushImageSection

在NewMmFlushImageSection中判断其&SectionObjectPointer->DataSectionObject->Fileobject是否为当前要删除的文件的FileObject，若是，返回SUCCESS

即可删除运行中的文件

删除句柄被锁文件可以用360IceBreaker里 No Handle的办法

删除增加自己Ref的办法：找到FileObject的Object_Header中PointCount,清0之

再结合360IceBreaker干净的fsd image和fsd dispatch routine,基本文件系统层面上没有删除不了的文件了

无论是正在运行的程序或文件，或者是独占打开的文件，包括其他任何FSD驱动保护的文件等

你可能感兴趣的:(操作被占用的文件-unlocker机理分析)

  • 斤斤计较的婚姻到底有多难？ 白心之岂必有为
    很多人私聊我会问到在哪个人群当中斤斤计较的人最多？我都会回答他，一般婚姻出现问题的斤斤计较的人士会非常多，以我多年经验，在婚姻落的一塌糊涂的人当中，斤斤计较的人数占比在20～30%以上，也就是说10个婚姻出现问题的斤斤计较的人有2-3个有多不减。在婚姻出问题当中，有大量的心理不平衡的、尖酸刻薄的怨妇。在婚姻中仅斤斤计较有两种类型：第一种是物质上的，另一种是精神上的。在物质与精神上抠门已经严重的影响
  • 情绪觉察日记第37天 露露_e800
    今天是家庭关系规划师的第二阶最后一天，慧萍老师帮我做了个案，帮我处理了埋在心底好多年的一份恐惧，并给了我深深的力量！这几天出来学习，爸妈过来婆家帮我带小孩，妈妈出于爱帮我收拾东西，并跟我先生和婆婆产生矛盾，妈妈觉得他们没有照顾好我…。今晚回家见到妈妈，我很欣赏她并赞扬她，妈妈说今晚要跟我睡我说好，当我们俩躺在床上准备睡觉的时候，我握着妈妈的手对她说:妈妈这几天辛苦你了，你看你多利害把我们的家收拾得
  • 芦花鞋一四 许叶晗
    又是在一个寒冷的夏日里，青铜和葵花决定今天一起去卖芦花鞋，奶奶亲手给他们做了一碗热乎乎的粥对他们说:“就靠你们两挣生活费了这碗粥赶紧趁热喝了吧！”于是青铜和葵花喝完了奶奶给她们做的粥，就准备去镇上卖卢花鞋，这回青铜和葵花穿着新的芦花鞋来到了镇上。青铜这回看到了很多人都在卖，用手势表达对葵花说:“这回有好多人在抢我们生意呢！我们必须得吆喝起来。”葵花点了点头。可是谁知他们也大声的叫，卖芦花喽！卖芦花
  • QQ群采集助手，精准引流必备神器 2401_87347160 其他经验分享
    功能概述微信群查找与筛选工具是一款专为微信用户设计的辅助工具，它通过关键词搜索功能，帮助用户快速找到相关的微信群，并提供筛选是否需要验证的群组的功能。主要功能关键词搜索：用户可以输入关键词，工具将自动查找包含该关键词的微信群。筛选功能：工具提供筛选机制，用户可以选择是否只显示需要验证或不需要验证的群组。精准引流：通过上述功能，用户可以更精准地找到目标群组，进行有效的引流操作。3.设备需求该工具可以
  • 关于沟通这件事，项目经理不需要每次都面对面进行 流程大师兄
    很多项目经理都会遇到这样的问题，项目中由于事情太多，根本没有足够的时间去召开会议，那在这种情况下如何去有效地管理项目中的利益相关者？当然，不建议电子邮件也不需要开会的话，建议可以采取下面几种方式来形成有效的沟通，这几种方式可以帮助你努力的通过各种办法来保持和各方面的联系。项目经理首先要问自己几个问题，项目中哪些利益相关者是必须要进行沟通的？可以列出项目中所有的利益相关者清单，同时也整理出项目中哪些
  • 机器学习与深度学习间关系与区别 ℒℴѵℯ心·动ꦿ໊ོ꫞ 人工智能学习深度学习python
    一、机器学习概述定义机器学习（MachineLearning,ML）是一种通过数据驱动的方法，利用统计学和计算算法来训练模型，使计算机能够从数据中学习并自动进行预测或决策。机器学习通过分析大量数据样本，识别其中的模式和规律，从而对新的数据进行判断。其核心在于通过训练过程，让模型不断优化和提升其预测准确性。主要类型1.监督学习（SupervisedLearning）监督学习是指在训练数据集中包含输入
  • 铭刻于星（四十二） 随风至
    69夜晚，绍敏同学做完功课后，看了眼房外，没听到动静才敢从书包的夹层里拿出那个心形纸团。折痕压得很深，都有些旧了，想来是已经写好很久了。绍敏同学慢慢地、轻轻地捏开折叠处，待到全部拆开后，又反复抚平纸张，然后仔细地一字字默看。只是开头的三个字是第一次看到，让她心漏跳了几拍。“亲爱的绍敏：从四年级的时候，我就喜欢你了，但是我一直不敢说，怕影响你学习。六年级的时候听说有人跟你表白，你接受了，我很难过，但
  • 底层逆袭到底有多难，不甘平凡的你准备好了吗？让吴起给你说说 造命者说
    底层逆袭到底有多难，不甘平凡的你准备好了吗？让吴起给你说说我叫吴起，生于公元前440年的战国初期，正是群雄并起、天下纷争不断的时候。后人说我是军事家、政治家、改革家，是兵家代表人物。评价我一生历仕鲁、魏、楚三国，通晓兵家、法家、儒家三家思想，在内政军事上都有极高的成就。周安王二十一年（公元前381年），因变法得罪守旧贵族，被人乱箭射死。我出生在卫国一个“家累万金”的富有家庭，从年轻时候起就不甘平凡
  • 2020-01-25 晴岚85
    郑海燕坚持分享590天2020.1.24在生活中只存在两个问题。一个问题是：你知道想要达成的目标是什么，但却不知道如何才能达成；另一个问题是：你不知道你的目标是什么。前一个是行动的问题，后一个是结果的问题。通过制定具体的下一步行动，可以解决不知道如何开始行动的问题。而通过去想象结果，对结果做预估，可以解决找不着目标的问题。对于所有吸引我们注意力，想要完成的任务，你可以先想象一下，预期的结果究竟是什
  • 随笔 | 仙一般的灵气 海思沧海
    仙岛今天，我看了你全部，似乎已经进入你的世界我不知道，这是否是梦幻，还是你仙一般的灵气吸引了我也许每一个人都要有一份属于自己的追求，这样才能够符合人生的梦想，生活才能够充满着阳光与快乐我不知道，我为什么会这样的感叹，是在感叹自己的人生，还是感叹自己一直没有孜孜不倦的追求只感觉虚度了光阴，每天活在自己的梦中，活在一个不真实的世界是在逃避自己，还是在逃避周围的一切有时候我嘲笑自己，嘲笑自己如此的虚无，
  • 想家 爆米花机
    也许不同于大家对家乡的思念，我对家乡甚至是疯狂的不舍。还未踏出车站就感觉到幸福，我享受这里的夕阳、这里的浓烈柴火味、这里每一口家常菜。我是宅女，我贪恋家的安逸。刚刚踏出大学校门，初出茅庐，无法适应每年只能国庆和春节回家。我焦虑、失眠、无端发脾气，是无法适应工作的节奏，是无法接受我将一步步离开家乡的事实。我不想承认自己胸无大志，选择再次踏上征程。图片发自App
  • 【iOS】MVC设计模式 Magnetic_h iosmvc设计模式objective-c学习ui
    MVC前言如何设计一个程序的结构，这是一门专门的学问，叫做"架构模式"（architecturalpattern），属于编程的方法论。MVC模式就是架构模式的一种。它是Apple官方推荐的App开发架构，也是一般开发者最先遇到、最经典的架构。MVC各层controller层Controller/ViewController/VC（控制器）负责协调Model和View，处理大部分逻辑它将数据从Mod
  • OC语言多界面传值五大方式 Magnetic_h iosui学习objective-c开发语言
    前言在完成暑假仿写项目时，遇到了许多需要用到多界面传值的地方，这篇博客来总结一下比较常用的五种多界面传值的方式。属性传值属性传值一般用前一个界面向后一个界面传值，简单地说就是通过访问后一个视图控制器的属性来为它赋值，通过这个属性来做到从前一个界面向后一个界面传值。首先在后一个界面中定义属性@interfaceBViewController:UIViewController@propertyNSSt
  • 一百九十四章. 自相矛盾 巨木擎天
    唉！就这么一夜，林子感觉就像过了很多天似的，先是回了阳间家里，遇到了那么多不可思议的事情儿。特别是小伙伴们，第二次与自己见面时，僵硬的表情和恐怖的气氛，让自己如坐针毡，打从心眼里难受！还有东子，他现在还好吗？有没有被人欺负？护城河里的小鱼小虾们，还都在吗？水不会真的干枯了吧？那对相亲相爱漂亮的太平鸟儿，还好吧！春天了，到了做窝、下蛋、喂养小鸟宝宝的时候了，希望它们都能够平安啊！虽然没有看见家人，也
  • UI学习——cell的复用和自定义cell Magnetic_h ui学习
    目录cell的复用手动（非注册）自动（注册）自定义cellcell的复用在iOS开发中，单元格复用是一种提高表格（UITableView）和集合视图（UICollectionView）滚动性能的技术。当一个UITableViewCell或UICollectionViewCell首次需要显示时，如果没有可复用的单元格，则视图会创建一个新的单元格。一旦这个单元格滚动出屏幕，它就不会被销毁。相反，它被添
  • element实现动态路由+面包屑 软件技术NINI vue案例vue.js前端
    el-breadcrumb是ElementUI组件库中的一个面包屑导航组件，它用于显示当前页面的路径，帮助用户快速理解和导航到应用的各个部分。在Vue.js项目中，如果你已经安装了ElementUI，就可以很方便地使用el-breadcrumb组件。以下是一个基本的使用示例：安装ElementUI（如果你还没有安装的话）:你可以通过npm或yarn来安装ElementUI。bash复制代码npmi
  • 10月|愿你的青春不负梦想-读书笔记-01 Tracy的小书斋
    本书的作者是俞敏洪，大家都很熟悉他了吧。俞敏洪老师是我行业的领头羊吧，也是我事业上的偶像。本日摘录他书中第一章中的金句：『一个人如果什么目标都没有，就会浑浑噩噩，感觉生命中缺少能量。能给我们能量的，是对未来的期待。第一件事，我始终为了进步而努力。与其追寻全世界的骏马，不如种植丰美的草原，到时骏马自然会来。第二件事，我始终有阶段性的目标。什么东西能给我能量？答案是对未来的期待。』读到这里的时候，我便
  • C语言宏函数 南林yan C语言c语言
    一、什么是宏函数？通过宏定义的函数是宏函数。如下，编译器在预处理阶段会将Add(x,y)替换为((x)*(y))#defineAdd(x,y)((x)*(y))#defineAdd(x,y)((x)*(y))intmain(){inta=10;intb=20;intd=10;intc=Add(a+d,b)*2;cout<
  • 地推话术，如何应对地推过程中家长的拒绝 校师学
    相信校长们在做地推的时候经常遇到这种情况：市场专员反馈家长不接单，咨询师反馈难以邀约这些家长上门，校区地推疲软，招生难。为什么？仅从地推层面分析，一方面因为家长受到的信息轰炸越来越多，对信息越来越“免疫”；而另一方面地推人员的专业能力和营销话术没有提高，无法应对家长的拒绝，对有意向的家长也不知如何跟进，眼睁睁看着家长走远；对于家长的疑问，更不知道如何有技巧地回答，机会白白流失。由于回答没技巧和专业
  • 谢谢你们，爱你们！ 鹿游儿
    昨天家人去泡温泉，二个孩子也带着去，出发前一晚，匆匆下班，赶回家和孩子一起收拾。饭后，我拿出笔和本子（上次去澳门时做手帐的本子）写下了1\2\3\4\5\6\7\8\9,让后让小壹去思考，带什么出发去旅游呢？她在对应的数字旁边画上了，泳衣、泳圈、肖恩、内衣内裤、tapuy、拖鞋……画完后，就让她自己对着这个本子，将要带的，一一带上，没想到这次带的书还是这本《便便工厂》(晚上姑婆发照片过来，妹妹累得
  • C语言如何定义宏函数？ 小九格物 c语言
    在C语言中，宏函数是通过预处理器定义的，它在编译之前替换代码中的宏调用。宏函数可以模拟函数的行为，但它们不是真正的函数，因为它们在编译时不会进行类型检查，也不会分配存储空间。宏函数的定义通常使用#define指令，后面跟着宏的名称和参数列表，以及宏展开后的代码。宏函数的定义方式：1.基本宏函数：这是最简单的宏函数形式，它直接定义一个表达式。#defineSQUARE(x)((x)*(x))2.带参
  • 微服务下功能权限与数据权限的设计与实现 nbsaas-boot 微服务java架构
    在微服务架构下，系统的功能权限和数据权限控制显得尤为重要。随着系统规模的扩大和微服务数量的增加，如何保证不同用户和服务之间的访问权限准确、细粒度地控制，成为设计安全策略的关键。本文将讨论如何在微服务体系中设计和实现功能权限与数据权限控制。1.功能权限与数据权限的定义功能权限：指用户或系统角色对特定功能的访问权限。通常是某个用户角色能否执行某个操作，比如查看订单、创建订单、修改用户资料等。数据权限：
  • 理解Gunicorn：Python WSGI服务器的基石 范范0825 ipythonlinux运维
    理解Gunicorn：PythonWSGI服务器的基石介绍Gunicorn，全称GreenUnicorn，是一个为PythonWSGI（WebServerGatewayInterface）应用设计的高效、轻量级HTTP服务器。作为PythonWeb应用部署的常用工具，Gunicorn以其高性能和易用性著称。本文将介绍Gunicorn的基本概念、安装和配置，帮助初学者快速上手。1.什么是Gunico
  • 小丽成长记（四十三） 玲玲54321
    小丽发现，即使她好不容易调整好自己的心态下一秒总会有不确定的伤脑筋的事出现，一个接一个的问题，人生就没有停下的时候，小问题不断出现。不过她今天看的书，她接受了人生就是不确定的，厉害的人就是不断创造确定性，在Ta的领域比别人多的确定性就能让自己脱颖而出，显示价值从而获得的比别人多的利益。正是这样的原因，因为从前修炼自己太少，使得她现在在人生道路上打怪起来困难重重，她似乎永远摆脱不了那种无力感，有种习
  • 学点心理知识，呵护孩子健康 静候花开_7090
    昨天听了华中师范大学教育管理学系副教授张玲老师的《哪里才是学生心理健康的最后庇护所，超越教育与技术的思考》的讲座。今天又重新学习了一遍，收获匪浅。张玲博士也注意到了当今社会上的孩子由于心理问题导致的自残、自杀及伤害他人等恶性事件。她向我们普及了一个重要的命题，她说心理健康的一些基本命题，我们与我们通常的一些教育命题是不同的，她还举了几个例子，让我们明白我们原来以为的健康并非心理学上的健康。比如如果
  • 2021年12月19日，春蕾教育集团团建活动感受——黄晓丹 黄错错加油
    感受:1.从陌生到熟悉的过程。游戏环节让我们在轻松的氛围中得到了锻炼，也增长了不少知识。2.游戏过程中，我们贡献的是个人力量，展现的是团队的力量。它磨合的往往不止是工作的熟悉，更是观念上契合度的贴近。3.这和工作是一样的道理。在各自的岗位上，每个人摆正自己的位置、各司其职充分发挥才能，并团结一致劲往一处使，才能实现最大的成功。新知:1.团队精神需要不断地创新。过去，人们把创新看作是冒风险，现在人们
  • Cell Insight | 单细胞测序技术又一新发现，可用于HIV-1和Mtb共感染个体诊断 尐尐呅
    结核病是艾滋病合并其他疾病中导致患者死亡的主要原因。其中结核病由结核分枝杆菌（Mycobacteriumtuberculosis,Mtb）感染引起，获得性免疫缺陷综合症（艾滋病）由人免疫缺陷病毒（Humanimmunodeficiencyvirustype1,HIV-1）感染引起。国家感染性疾病临床医学研究中心/深圳市第三人民医院张国良团队携手深圳华大生命科学研究院吴靓团队，共同研究得出单细胞测序
  • c++ 的iostream 和 c++的stdio的区别和联系 黄卷青灯77 c++算法开发语言iostreamstdio
    在C++中，iostream和C语言的stdio.h都是用于处理输入输出的库，但它们在设计、用法和功能上有许多不同。以下是两者的区别和联系：区别1.编程风格iostream（C++风格）：C++标准库中的输入输出流类库，支持面向对象的输入输出操作。典型用法是cin（输入）和cout（输出），使用>操作符来处理数据。更加类型安全，支持用户自定义类型的输入输出。#includeintmain(){in
  • 瑶池防线 谜影梦蝶
    冥华虽然逃过了影梦的军队，但他是一个忠臣，他选择上报战况。败给影梦后成逃兵，高层亡尔还活着，七重天失守......随便一条，即可处死冥华。冥华自然是知道以仙界高层的习性此信一发自己必死无疑，但他还选择上报实情，因为责任。同样此信送到仙宫后，知道此事的人，大多数人都认定冥华要完了，所以上到仙界高层，下到扫大街的，包括冥华自己，全都准备好迎接冥华之死。如果仙界现在还属于两方之争的话，冥华必死无疑。然而
  • 爬山后遗症 璃绛
    爬山，攀登，一步一步走向制高点，是一种挑战。成功抵达是一种无法言语的快乐，在山顶吹吹风，看看风景，这是从未有过的体验。然而，爬山一时爽，下山腿打颤，颠簸的路，一路向下走，腿部力量不够，走起来抖到不行，停不下来了！第二天必定腿疼，浑身酸痛，坐立难安！
  • LeetCode[Math] - #66 Plus One Cwind javaLeetCode题解AlgorithmMath
    原题链接：#66 Plus One   要求： 给定一个用数字数组表示的非负整数，如num1 = {1, 2, 3, 9}, num2 = {9, 9}等，给这个数加上1。 注意： 1. 数字的较高位存在数组的头上，即num1表示数字1239 2. 每一位（数组中的每个元素）的取值范围为0~9   难度：简单   分析： 题目比较简单，只须从数组
  • JQuery中$.ajax()方法参数详解 AILIKES JavaScriptjsonpjqueryAjaxjson
    url: 要求为String类型的参数，（默认为当前页地址）发送请求的地址。 type: 要求为String类型的参数，请求方式（post或get）默认为get。注意其他http请求方法，例如put和    delete也可以使用，但仅部分浏览器支持。 timeout: 要求为Number类型的参数，设置请求超时时间（毫秒）。此设置将覆盖$.ajaxSetup()方法的全局
  • JConsole & JVisualVM远程监视Webphere服务器JVM Kai_Ge JVisualVMJConsoleWebphere
        JConsole是JDK里自带的一个工具，可以监测Java程序运行时所有对象的申请、释放等动作，将内存管理的所有信息进行统计、分析、可视化。我们可以根据这些信息判断程序是否有内存泄漏问题。 　　使用JConsole工具来分析WAS的JVM问题，需要进行相关的配置。 　　首先我们看WAS服务器端的配置. 　　1、登录was控制台https://10.4.119.18
  • 自定义annotation 120153216 annotation
    Java annotation 自定义注释@interface的用法 一、什么是注释      说起注释，得先提一提什么是元数据(metadata)。所谓元数据就是数据的数据。也就是说，元数据是描述数据的。就象数据表中的字段一样，每个字段描述了这个字段下的数据的含义。而J2SE5.0中提供的注释就是java源代码的元数据，也就是说注释是描述java源
  • CentOS 5/6.X 使用 EPEL YUM源 2002wmj centos
    CentOS 6.X 安装使用EPEL YUM源1. 查看操作系统版本[root@node1 ~]# uname -a Linux node1.test.com 2.6.32-358.el6.x86_64 #1 SMP Fri Feb 22 00:31:26 UTC 2013 x86_64 x86_64 x86_64 GNU/Linux [root@node1 ~]#
  • 在SQLSERVER中查找缺失和无用的索引SQL 357029540 SQL Server
    --缺失的索引 SELECT  avg_total_user_cost * avg_user_impact * ( user_scans + user_seeks ) AS PossibleImprovement ,          last_user_seek ,    
  • Spring3 MVC 笔记（二） —json+rest优化 7454103 Spring3 MVC
    接上次的 spring mvc 注解的一些详细信息！                          其实也是一些个人的学习笔记  呵呵！
  • 替换“\”的时候报错Unexpected internal error near index 1 \ ^ adminjun java“\替换”
    发现还是有些东西没有刻子脑子里,,过段时间就没什么概念了,所以贴出来...以免再忘...   在拆分字符串时遇到通过 \ 来拆分，可是用所以想通过转义 \\ 来拆分的时候会报异常   public class Main {          /*
  • POJ 1035 Spell checker(哈希表) aijuans 暴力求解--哈希表
    /* 题意：输入字典，然后输入单词，判断字典中是否出现过该单词，或者是否进行删除、添加、替换操作，如果是，则输出对应的字典中的单词 要求按照输入时候的排名输出 题解：建立两个哈希表。一个存储字典和输入字典中单词的排名，一个进行最后输出的判重 */ #include <iostream> //#define using namespace std; const int HASH =
  • 通过原型实现javascript Array的去重、最大值和最小值 ayaoxinchao JavaScriptarrayprototype
    用原型函数（prototype）可以定义一些很方便的自定义函数，实现各种自定义功能。本次主要是实现了Array的去重、获取最大值和最小值。 实现代码如下：   <script type="text/javascript"> Array.prototype.unique = function() { var a = {}; var le
  • UIWebView实现https双向认证请求 bewithme UIWebViewhttpsObjective-C
              什么是HTTPS双向认证我已在先前的博文 ASIHTTPRequest实现https双向认证请求 中有讲述，不理解的读者可以先复习一下。本文是用UIWebView来实现对需要客户端证书验证的服务请求，网上有些文章中有涉及到此内容，但都只言片语，没有讲完全，更没有完整的代码，让人困扰不已。但是此知
  • NoSQL数据库之Redis数据库管理(Redis高级应用之事务处理、持久化操作、pub_sub、虚拟内存) bijian1013 redis数据库NoSQL
    3.事务处理         Redis对事务的支持目前不比较简单。Redis只能保证一个client发起的事务中的命令可以连续的执行，而中间不会插入其他client的命令。当一个client在一个连接中发出multi命令时，这个连接会进入一个事务上下文，该连接后续的命令不会立即执行，而是先放到一个队列中，当执行exec命令时，redis会顺序的执行队列中
  • 各数据库分页sql备忘 bingyingao oraclesql分页
    ORACLE 下面这个效率很低 SELECT * FROM ( SELECT A.*, ROWNUM RN FROM (SELECT * FROM IPAY_RCD_FS_RETURN order by id desc) A ) WHERE RN <20; 下面这个效率很高 SELECT A.*, ROWNUM RN FROM (SELECT * FROM IPAY_RCD_
  • 【Scala七】Scala核心一：函数 bit1129 scala
    1. 如果函数体只有一行代码，则可以不用写{},比如 def print(x: Int) = println(x) 一行上的多条语句用分号隔开，则只有第一句属于方法体，例如   def printWithValue(x: Int) : String= println(x); "ABC"   上面的代码报错，因为，printWithValue的方法
  • 了解GHC的factorial编译过程 bookjovi haskell
    GHC相对其他主流语言的编译器或解释器还是比较复杂的，一部分原因是haskell本身的设计就不易于实现compiler，如lazy特性，static typed，类型推导等。 关于GHC的内部实现有篇文章说的挺好，这里，文中在RTS一节中详细说了haskell的concurrent实现，里面提到了green thread，如果熟悉Go语言的话就会发现，ghc的concurrent实现和Go有点类
  • Java-Collections Framework学习与总结-LinkedHashMap BrokenDreams LinkedHashMap
            前面总结了java.util.HashMap，了解了其内部由散列表实现，每个桶内是一个单向链表。那有没有双向链表的实现呢？双向链表的实现会具备什么特性呢？来看一下HashMap的一个子类——java.util.LinkedHashMap。       
  • 读《研磨设计模式》-代码笔记-抽象工厂模式-Abstract Factory bylijinnan abstract
    声明： 本文只为方便我个人查阅和理解，详细的分析以及源代码请移步 原作者的博客http://chjavach.iteye.com/ package design.pattern; /* * Abstract Factory Pattern * 抽象工厂模式的目的是： * 通过在抽象工厂里面定义一组产品接口，方便地切换“产品簇” * 这些接口是相关或者相依赖的
  • 压暗面部高光 cherishLC PS
    方法一、压暗高光&重新着色 当皮肤很油又使用闪光灯时，很容易在面部形成高光区域。 下面讲一下我今天处理高光区域的心得： 皮肤可以分为纹理和色彩两个属性。其中纹理主要由亮度通道（Lab模式的L通道）决定，色彩则由a、b通道确定。 处理思路为在保持高光区域纹理的情况下，对高光区域着色。具体步骤为：降低高光区域的整体的亮度，再进行着色。 如果想简化步骤，可以只进行着色（参看下面的步骤1
  • Java VisualVM监控远程JVM crabdave visualvm
    Java VisualVM监控远程JVM    JDK1.6开始自带的VisualVM就是不错的监控工具. 这个工具就在JAVA_HOME\bin\目录下的jvisualvm.exe, 双击这个文件就能看到界面   通过JMX连接远程机器, 需要经过下面的配置: 1. 修改远程机器JDK配置文件 (我这里远程机器是linux).    
  • Saiku去掉登录模块 daizj saiku登录olapBI
    1、修改applicationContext-saiku-webapp.xml <security:intercept-url pattern="/rest/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />  <security:intercept-url pattern=&qu
  • 浅析 Flex中的Focus dsjt htmlFlexFlash
    关键字：focus、 setFocus、 IFocusManager、KeyboardEvent 焦点、设置焦点、获得焦点、键盘事件 一、无焦点的困扰——组件监听不到键盘事件 原因：只有获得焦点的组件（确切说是InteractiveObject）才能监听到键盘事件的目标阶段；键盘事件（flash.events.KeyboardEvent）参与冒泡阶段，所以焦点组件的父项（以及它爸
  • Yii全局函数使用 dcj3sjt126com yii
    由于YII致力于完美的整合第三方库，它并没有定义任何全局函数。yii中的每一个应用都需要全类别和对象范围。例如，Yii::app()->user;Yii::app()->params['name'];等等。我们可以自行设定全局函数，使得代码看起来更加简洁易用。(原文地址) 我们可以保存在globals.php在protected目录下。然后，在入口脚本index.php的，我们包括在
  • 设计模式之单例模式二（解决无序写入的问题） come_for_dream 单例模式volatile乱序执行双重检验锁
                    在上篇文章中我们使用了双重检验锁的方式避免懒汉式单例模式下由于多线程造成的实例被多次创建的问题，但是因为由于JVM为了使得处理器内部的运算单元能充分利用，处理器可能会对输入代码进行乱序执行（Out Of Order Execute）优化，处理器会在计算之后将乱序执行的结果进行重组，保证该
  • 程序员从初级到高级的蜕变 gcq511120594 框架工作PHPandroidhtml5
    软件开发是一个奇怪的行业，市场远远供不应求。这是一个已经存在多年的问题，而且随着时间的流逝，愈演愈烈。 我们严重缺乏能够满足需求的人才。这个行业相当年轻。大多数软件项目是失败的。几乎所有的项目都会超出预算。我们解决问题的最佳指导方针可以归结为——“用一些通用方法去解决问题，当然这些方法常常不管用，于是，唯一能做的就是不断地尝试，逐个看看是否奏效”。 现在我们把淫浸代码时间超过3年的开发人员称为
  • Reverse Linked List hcx2013 list
    Reverse a singly linked list.   /** * Definition for singly-linked list. * public class ListNode { * int val; * ListNode next; * ListNode(int x) { val = x; } * } */ p
  • Spring4.1新特性——数据库集成测试 jinnianshilongnian spring 4.1
    目录 Spring4.1新特性——综述 Spring4.1新特性——Spring核心部分及其他 Spring4.1新特性——Spring缓存框架增强 Spring4.1新特性——异步调用和事件机制的异常处理 Spring4.1新特性——数据库集成测试脚本初始化 Spring4.1新特性——Spring MVC增强 Spring4.1新特性——页面自动化测试框架Spring MVC T
  • C# Ajax上传图片同时生成微缩图(附Demo) liyonghui160com
        1.Ajax无刷新上传图片,详情请阅我的这篇文章。（jquery + c# ashx）         2.C#位图处理  System.Drawing。         3.最新demo支持IE7,IE8,Fir
  • Java list三种遍历方法性能比较 pda158 java
    从c/c++语言转向java开发，学习java语言list遍历的三种方法，顺便测试各种遍历方法的性能，测试方法为在ArrayList中插入1千万条记录，然后遍历ArrayList，发现了一个奇怪的现象，测试代码例如以下： package com.hisense.tiger.list; import java.util.ArrayList; import java.util.Iterator;
  • 300个涵盖IT各方面的免费资源（上）——商业与市场篇 shoothao seo商业与市场IT资源免费资源
    A.网站模板+logo+服务器主机+发票生成 HTML5 UP:响应式的HTML5和CSS3网站模板。 Bootswatch:免费的Bootstrap主题。 Templated:收集了845个免费的CSS和HTML5网站模板。 Wordpress.org|Wordpress.com:可免费创建你的新网站。 Strikingly:关注领域中免费无限的移动优
  • localStorage、sessionStorage uule localStorage
    W3School 例子   HTML5 提供了两种在客户端存储数据的新方法： localStorage - 没有时间限制的数据存储 sessionStorage - 针对一个 session 的数据存储   之前，这些都是由 cookie 完成的。但是 cookie 不适合大量数据的存储，因为它们由每个对服务器的请求来传递，这使得 cookie 速度很慢而且效率也不
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他