Dateisperre freigeben

[mumu]

Hi, kann mir jemand sagen, wie das Programm Unlocker, es hinbekommt alle Sperren auf eine Datei freizugeben. Wie lautet da der API Befehl?

danke schonma

[RavenIV]

also ich würde mal ganz frech den Entwickler der software fragen...

gruessle

[mumu]

jo, hab ich schon gemacht, hat sich aber noch net gemeldet :-(

naja, ich bin jedenfalls schon so weit:

Delphi-Quellcode:

var hFile       : Cardinal;
    filename    : string;
    FileSizeLow : Cardinal;
    FileSizeHigh: ^Cardinal;
    error       : Cardinal;
begin
  hFile := CreateFile(pchar(fileName),
                   GENERIC_READ,
                   FILE_SHARE_READ or FILE_SHARE_WRITE,
                   nil,
                   OPEN_EXISTING,
                   FILE_ATTRIBUTE_NORMAL,
                   0);
  error := GetLastError();
  ShowMessage(inttostr(error));

  GetMem(FileSizeHigh, SizeOf(Cardinal));
  try
    FileSizeLow := GetFileSize(hFile, FileSizeHigh);
    
    if UnLockFile(hFile, 0, 0, FileSizeLow, FileSizeHigh^) = false then
    begin
      error := GetLastError();
      ShowMessage(inttostr(error));
    end;
  finally
    FreeMem(FileSizeHigh);
  end;

naja also createfile funktioniert ohne probleme, bekomme da keinen fehler.
bei unlockfile jedoch erhalte ich fehlercode: 158
ERROR_NOT_LOCKED
158 The segment is already unlocked.

Die angegebene Datei ist 100 pro gelockt. Das problem ist halt das unlockfile nur bereiche einer datei freigibt, jedoch nicht die Datei als ganze. Da jedoch nur die gesamte Datei gesperrt ist und nicht nur ein bereich, wird unlockfile nicht funktionieren, oder?

jemand noch irgendwelche tipps?

[generic]

Zitat:

The UnlockFile function unlocks a region in an open file. Unlocking a region enables other processes to access the region.

For an alternate way to specify the region, use the UnlockFileEx function.

BOOL UnlockFile(
HANDLE hFile,
DWORD dwFileOffsetLow,
DWORD dwFileOffsetHigh,
DWORD nNumberOfBytesToUnlockLow,
DWORD nNumberOfBytesToUnlockHigh
);

Parameters
hFile
[in] Handle to a file that contains a region locked with LockFile. The file handle must have been created with either the GENERIC_READ or GENERIC_WRITE access right. For more information, see File Security and Access Rights.
dwFileOffsetLow
[in] Low-order word of the starting byte offset in the file where the locked region begins.
dwFileOffsetHigh
[in] High-order word of the starting byte offset in the file where the locked region begins.
Windows Me/98/95: dwFileOffsetHigh must be 0, the sign extension of the value of dwFileOffsetLow. Any other value will be rejected.
nNumberOfBytesToUnlockLow
[in] Low-order word of the length of the byte range to be unlocked.
nNumberOfBytesToUnlockHigh
[in] High-order word of the length of the byte range to be unlocked.

wenn du den gesamten dateilock freigeben willst wird die funktion wohl nicht taugen oder?

aber vieleicht hilft dir die msdn doku.

[mumu]

ja schon, das hab ich ja auch oben geschrieben, damit mir das nicht weiterhelfen wird. msdn hab ich schon ganz schön durchgestöbert, finde leider nichts...

jemand noch ansätze?

muss ich vielleicht einen treiber programmieren, damit das überhaupt funktioniert?!

[Olli]

Habt ihr euch schonmal gefragt, wieso dort eine .sys-Datei liegt? Nicht? Tut das mal! :mrgreen:

[Kedariodakon]

Zitat:

Zitat von Olli

Habt ihr euch schonmal gefragt, wieso dort eine .sys-Datei liegt? Nicht? Tut das mal! :mrgreen:

Wo liegt die? Und was macht eine '*.Sys' Datei?

Bye

[Olli]

Zitat:

Zitat von Kedariodakon

Wo liegt die? Und was macht eine '*.Sys' Datei?

Die liegt im Programmverzeichnis und was genau sie macht, habe ich noch nicht näher analysieren können. Der Treiber wird aber geladen und auch benutzt.

Übrigens: zu den obigen Kommentaren mit UnlockFile() ... Handles sind prozeßspezifisch. Will heißen, daß man erstmal in den fremden Prozeß rein muß ;)

[Kedariodakon]

Wer sperrt die File überhaupt? Das OS oder die Platte selbst (falls die das überhaupt kann)...

Wie kann man überhaupt eine Liste der gesperrten Dateien sehen?

Bye

[Olli]

Zitat:

Zitat von Kedariodakon

Wie kann man überhaupt eine Liste der gesperrten Dateien sehen?

Indem man die Handles des Prozesses auflistet und deren Namen findet. Das geht zwar auch ohne Treiber, aber nur in einem bestimmten Fall. Daher vermutlich der Treiber.

[mumu]

der programmierer von unlock hat mir folgendes dazu geschrieben:

Zitat:

Hello,

You need to first find all locks opened by a system using undocumented functions such as ZwQueryObject and NtQueryObject.

Then to get informations you need you write a device driver since some informations are only accessible at the device driver level. There is no device driver specific function, it is just that you need to run in a driver to have maximum access to the system.

Good luck

[Olli]

Zitat:

You need to first find all locks opened by a system using undocumented functions such as ZwQueryObject and NtQueryObject.

Zuvor muß man sie erstmal rausbekommen, die Objekte. Wie man unten sieht, braucht man nämlich bereits ein Handle. Der Treiber ist wirklich sehr simpel. Sowas kann man relativ schnell nachbauen. ;)

Liste der Funktionen:
http://jedi-apilib.sourceforge.net/n...ativeList.html

Delphi-Quellcode:

function  NtQueryObject(
    ObjectHandle : HANDLE;
    ObjectInformationClass : OBJECT_INFORMATION_CLASS;
    ObjectInformation : PVOID;
    ObjectInformationLength : ULONG;
    ReturnLength : PULONG
  ): NTSTATUS; stdcall; external ntdll;

Zitat:

Then to get informations you need you write a device driver since some informations are only accessible at the device driver level. There is no device driver specific function, it is just that you need to run in a driver to have maximum access to the system.

Den Treiber braucht man wie gesagt nicht per-se. Aber auf einem normalen System braucht man ihn schon, weil das NtGlobalFlag eben einen bestimmten Wert haben muß. Das ist es, was ich oben meinte.

[Daniel G]

Zitat:

Zitat von Olli

Zitat:

Zitat von Kedariodakon

Wie kann man überhaupt eine Liste der gesperrten Dateien sehen?

Indem man die Handles des Prozesses auflistet und deren Namen findet. Das geht zwar auch ohne Treiber, aber nur in einem bestimmten Fall. Daher vermutlich der Treiber.

Und wie geht das genau? Oder habe ich die Lösung überlesen?

[Olli]

ZwQuerySystemInformation und ZwQueryObject - ich empfehle dringend Nebbetts Buch. Wird aber nicht mehr aufgelegt.

[Kedariodakon]

Zitat:

Zitat von Olli

ZwQuerySystemInformation und ZwQueryObject - ich empfehle dringend Nebbetts Buch. Wird aber nicht mehr aufgelegt.

Gut hast du da ne ISBN oder ähnliches?
Denn wennn ich mit "Nebbetts Buch" in ne Buchhandlung geh, ist alles was sie machen mich dumm anschaun :zwinker:

Bye

[Olli]

Zitat:

Zitat von Kedariodakon

Gut hast du da ne ISBN oder ähnliches?
Denn wennn ich mit "Nebbetts Buch" in ne Buchhandlung geh, ist alles was sie machen mich dumm anschaun :zwinker:

Gern: 1-57870-199-6
Wird aber wie gesagt nicht mehr aufgelegt - also am ehesten in Antiquariaten suchen ;). Am besten du schreibst mir mal eine kurze PN ;)

Auch -> Gary Nebbett

[leddl]

:roll: Einfach bei Amazon mal "Nebbett" eingeben, und du bekommst:

[Kedariodakon]

[OT]Meine suche ergab aber mehr als ein Buch, und alle kaufe ich bestimmt nicht...[/OT]

Bye

[Olli]

Wie man sehen kann, ist mein Exemplar von 2001 schon etwas abgegriffen und unförmig *g*

[leddl]

Also bei Amazon gibts das noch, sonst hätt ich den Link nicht gepostet. Dauert zwar ein paar Tage, aber das wird ja noch zu verkraften sein. ;)

[Olli]

Sorry, wenn ich da etwas negativ klinge. Ich habe bereits mit Amazon meine Erfahrungen mit solchen Büchern. Versucht's halt.
Ich hatte Anfang diesen Jahres ein Buch von Kris Kaspersky vorbestellt, welches im Ende Februar erscheinen und Anfang März geliefert werden sollte. Auf Anfrage bei Amazon Ende März wurde meine Bestellung mit dem Kommentar "nicht mehr verfügbar" storniert. Die Pfeifen sind noch schlimmer als befürchtet, denn alle anderen Amazon-Filialen und andere Buchhändler führten das Buch als "noch nicht verfügbar", Amazon.de hingegen beharrte trotz Nachfrage auf "nicht mehr verfügbar".
Auch eine Bestellung bei BOL.de brachte nix, weil die meine Bestellung ebenfalls stornierten (allerdings ohne daß ich nachfragen mußte), nachdem das Buch zum voraussichtlichen Erscheinungstermin (der damals auf Juli verschoben worden war) wiederum nicht erschienen war :?

[leddl]

Gut, ich muß dazusagen, daß ich eher wenige seltene Bücher bei Amazon bestelle. Aber alle Fach- und Sachbücher und auch alles sonstige, was ich bisher dort bestellt habe, kam immer zeitnah und gut bei mir an. Insofern kann ich zu Amazon nichts negatives sagen. Wie es jetzt natürlich bei einem Buch aussieht, bei dem bereits 9-10 Tage angesetzt sind, kann ich nicht sagen.

[Christian Seehase]

Moin Olli,

Zitat:

Zitat von Olli

Sorry, wenn ich da etwas negativ klinge. Ich habe bereits mit Amazon meine Erfahrungen mit solchen Büchern. Versucht's halt.

hab' ich.
Das Buch wurde, nach einigen verschobenen Terminen, am 30.12.2005 geliefert ;-)
(so 6 bis 8 Wochen Wartezeit)

[Olli]

Na bitte. Daß mein erste Beitrag seit Monaten so offtopic sein muß ist natürlich nicht so schön.

Wäre allerdings noch schöner, wenn aktuellere Themen in einer neuen Version des Buches erscheinen würden. Es kommt immerhin schon in die Jahre. Aber dafür gibt's im März einen Artikel von Marcel van Brakel und mir zur Native API im TDM :-P

[Luckie]

TDM? Ich frage nur, weil es mich eventuell auch interessieren würde.

[Olli]

Zitat:

Zitat von Luckie

TDM? Ich frage nur, weil es mich eventuell auch interessieren würde.

The Delphi Magazine - allerdings kann ich niemandem den Artikel einfach so weitergeben, weil wir dafür bezahlt werden. Auch wenn mein Teil direkt an Project JEDI weitergeleitet wird.

[Luckie]

Ach das ist wieder so eine Bezahlseite, wenn man da was lesen will? :(

[NicoDE]

Zitat:

Zitat von Olli

ZwQuerySystemInformation und ZwQueryObject[...]

Der Treiber ist deswegen notwendig, weil die Abfrage des Namens eines Dateiobjektes (Dateien, Verzeichnisse, Pipes, MailSlots, ...) bei synchronisierten Objekten solange benötigt bis die aktuelle Operation abgeschlossen ist (und das kann ewig dauern). Da zum Beispiel der Service Control Manager (SCM) Pipes verwendet um mit Service-DLLs zu kommunizieren, gibt es eine Menge solcher Objekte. Zudem gibt es aus dem Benutzermodus keinen sicheren Weg um Dateien von Pipes und/oder MailSlots zu untercheiden. Der Treiber löst das erste Problem üblicherweise dadurch, dass er den IRP zur Abfrage des Objekts selbst erzeugt. Das zweite Problem kann ebenso im Treiber (mit Hilfe des IFS-Kits) gelöst werden (MailSlots oder Pipes sind an Flags erkennbar).

Kurz, für eine saubere Lösung kommt man nicht um einen Treiber herum.

[mumu]

könnte mir vielleicht jemand sagen wie ich so einen treiber dann schreiben würde? was ich bräuchte und welchen treiber aus dem ddk ich als vorlage verwenden könnte? welchen functionen dann eventuell ausgeführt werden müssen und was für Daten an den Treiber übergeben werden müssen.

ich hab zwar schon ein bisschen ahnung (hab nen Netzwerkkarten-Treiber schonmal geschrieben), aber trotzdem weiß ich hier überhaupt nicht, wie ich anfangen soll.

wäre klasse.

danke

[Olli]

Ist doch nicht so schwer. Mit intensiver Begutachtung des Treibers solltest du weiterkommen. Wenn ich etwas mehr Zeit hätte, würde ich dir was schreiben - aber die ist aktuell etwas knapp, meine Zeit.

[mumu]

also das mit IDA ist echt klasse. hab mir das mal angeschaut. der treiber ist ja echt voll simpel.

aber ich hab trotzdem noch ne frage:
gibt es eigentlich ein gutes programm, dass mir so das grundgerüst eines treibers erzeugt. so dass ich halt driverentry routinen usw... schon hab.

kennt da jemand sowas?!

[Daniel G]

Zitat:

Zitat von mumu

gibt es eigentlich ein gutes programm, dass mir so das grundgerüst eines treibers erzeugt.

Nennt sich Windows Driver Development Kit. Da gibt es einen hübschen Ordner, in dem einige Treiberbeispiele drin' sind. Haste' oben ja schon selbst erwähnt. Wenn ich mich nicht arg täusche, müsste sowas dort auch zu finden sein...

[Olli]

Zitat:

Zitat von mumu

gibt es eigentlich ein gutes programm, dass mir so das grundgerüst eines treibers erzeugt. so dass ich halt driverentry routinen usw... schon hab.

kennt da jemand sowas?!

Jo, habe gestern sowas veröffentlicht. Ist aber Perl-basiert. Es erzeugt ein VC 2003-Projekt, mit dem du auf Basis von DDKBUILD (siehe OSR Online) dein Projekt komplett in VC verwalten und kompilieren kannst. Ich liebe das :-D
http://assarbad.net/stuff/!export/create_proj.rar

Ich kann dir auch eine modifizierte Version von DDKBUILD zukommen lassen, die ich bereits an Mark Cariddi geschickt habe, der sie auch veröffentlichen will. In diesem Fall muß ich dich allerdings bitten diese modifizierte Variante nicht weiterzugeben!

Zitat:

Zitat von Daniel G

Nennt sich Windows Driver Development Kit. Da gibt es einen hübschen Ordner, in dem einige Treiberbeispiele drin' sind. Haste' oben ja schon selbst erwähnt. Wenn ich mich nicht arg täusche, müsste sowas dort auch zu finden sein...

Dort sind zwar "schon ausgefüllte" Grundgerüste vorhanden, aber er will ja "nur" ein Skelett ohne "Füllung".

[NicoDE]

Zitat:

Zitat von Olli

intensiver Begutachtung

Wiedermal eine Randbemerkung :)
Die aktuelle Demo ist 4.9 - http://www.datarescue.be/downloaddemo.htm

Gruß Nico

ps: /me freut sich schon auf IDA 5.0 :)

[Olli]

Zitat:

Zitat von NicoDE

Wiedermal eine Randbemerkung :)
Die aktuelle Demo ist 4.9 - http://www.datarescue.be/downloaddemo.htm

Ich hatte ja mit Absicht den Link zur Freewareversion gegeben, weil viele Leute sich eben 400 EUR nicht leisten können oder wollen (geschweige denn 800 für die Advanced-Version).

Zitat:

Zitat von NicoDE

ps: /me freut sich schon auf IDA 5.0 :)

Ich auch. Zumal ich ja jetzt erstmal wieder updateberechtigt bin :mrgreen:

[mumu]

das perl skript ist genial danke, genau sowas hab ich gesucht.

mal ne ganz doofe frage:
wenn ich funktionen aus der ntdll.lib aufrufen will, dann kann ich über #pragma comment (lib,"ntdll.lib") diese meinem projekt hinzufügen und dieses auch compilieren, aber ich würde halt gerne die definitionen der funktionen angezeigt bekommen. wenn ich jetzt ne funktion eingeb und die klammer auf mach, dann sollte er mir die parameter anzeigen. kann ich das irgendwie machen?

und wie füge ich dem projekt eigentlich standard projektpfade hinzu in denen sich die windkk include und lib dateien befinden?!?

[Olli]

Zitat:

Zitat von mumu

das perl skript ist genial danke, genau sowas hab ich gesucht.

Du bist der erste von dem ich Feedback bekomme, obwohl ich es auf NTDEV schon gepostet habe. Schön, daß es auch anderen nutzt :-D

Zitat:

Zitat von mumu

wenn ich funktionen aus der ntdll.lib aufrufen will, dann kann ich über #pragma comment (lib,"ntdll.lib") diese meinem projekt hinzufügen und dieses auch compilieren, aber ich würde halt gerne die definitionen der funktionen angezeigt bekommen. wenn ich jetzt ne funktion eingeb und die klammer auf mach, dann sollte er mir die parameter anzeigen. kann ich das irgendwie machen?

Also, erstens mußt du dazu nicht die NTDLL.LIB einbinden (würde auch garnicht funktionieren, bei einem Treiber) und LIBs kannste auch über den entsprechenden Parameter in der SOURCES-Datei einbinden, aber das hilft hier nix. Ich habe zwar schon BROWSER_INFO=1 in der SOURCES-Datei vordeklariert, damit die Browser-Infodateien erzeugt werden. ALLERDINGS werden ja a.) die Dateien je nach Plattform usw. in einem jeweils anderen Verzeichnis erstellt und b.) habe ich noch nicht herausgefunden wie man danach VC sagt, daß es die entsprechende Browser-Infodatei verwendet.
Ich hoffe mal, daß z.B. Nico uns da etwas Aufklärung verschaffen kann?!?!? :mrgreen: :mrgreen: :mrgreen: :mrgreen: :mrgreen:

Zitat:

Zitat von mumu

und wie füge ich dem projekt eigentlich standard projektpfade hinzu in denen sich die windkk include und lib dateien befinden?!?

Okay, paß uff. Ich schicke dir per PN das von mir modifizierte DDKBUILD-Script. Danach setzt du die entsprechende Variable %BASEDIR% (bei mir steht sie auf "C:\Programme\WINDDK\3790.1830") und mußt ggf. neu starten oder einloggen damit sie wirksam wird. Danach kannst du dank der SOURCES-Datei im Projektverzeichnis kompilieren.

[mumu]

Zitat:

Zitat von Olli

Also, erstens mußt du dazu nicht die NTDLL.LIB einbinden (würde auch garnicht funktionieren, bei einem Treiber) und LIBs kannste auch über den entsprechenden Parameter in der SOURCES-Datei einbinden, aber das hilft hier nix. Ich habe zwar schon BROWSER_INFO=1 in der SOURCES-Datei vordeklariert, damit die Browser-Infodateien erzeugt werden. ALLERDINGS werden ja a.) die Dateien je nach Plattform usw. in einem jeweils anderen Verzeichnis erstellt und b.) habe ich noch nicht herausgefunden wie man danach VC sagt, daß es die entsprechende Browser-Infodatei verwendet.
Ich hoffe mal, daß z.B. Nico uns da etwas Aufklärung verschaffen kann?!?!? :mrgreen: :mrgreen: :mrgreen: :mrgreen: :mrgreen:

hmm jetzt verwirrst du mich total :) also ich kann keine libs aus dem DDK in meinem Treiber einbinden?! warum das??
ich möchte jetzt die Funktion ZwQueryObject im Treiber ausführen. Diese ist ja in der NTDLL.Lib definiert. wie muss ich das dann machen, wenn ich die LIB nicht einbinden darf??

[Olli]

Zitat:

Zitat von mumu

hmm jetzt verwirrst du mich total :) also ich kann keine libs aus dem DDK in meinem Treiber einbinden?! warum das??

Stop stop stop. Hier scheint ja einiges an Grundlagenwissen zu fehlen. Die NTDLL ist ein Interface für den Usermode-Teil der Native API, du hingegen willst einen Treiber implementieren und mußt dich deshalb an den Kernelmode-Teil halten. Dieser ist in NTOSKRNL.EXE implementiert und wird mit einer der standardmäßig eingebundenen LIBs automatisch ohne dein Zutun verfügbar gemacht.

Zitat:

Zitat von mumu

ich möchte jetzt die Funktion ZwQueryObject im Treiber ausführen. Diese ist ja in der NTDLL.Lib definiert. wie muss ich das dann machen, wenn ich die LIB nicht einbinden darf??

Definiert ist sie auch nicht in NTDLL.LIB, denn das ist ja nur eine Importbibliothek ;)

[mumu]

hmm ok danke olli.

wenn ich jetzt die Funktion ZwQueryObject im Treiber ausführen möchte, dann muss ich die sozusagen selbst importieren.

ich habe eine seite gefunden, die wirklich sau viel definiert hat...
pyrasis

Wenn ich jetzt z.B. die Funktion ZwQueryObject verwenden möchte, dann leg ich mir ne header datei an in der ich folgendes schreib...

Code:

NTSYSAPI
NTSTATUS
NTAPI
ZwQueryObject (
    IN HANDLE               ObjectHandle,
    IN OBJECT_INFO_CLASS    ObjectInformationClass,
    OUT PVOID               ObjectInformation,
    IN ULONG                Length,
    OUT PULONG              ResultLength
);

und dann include ich diese header datei. oder?

was bedeuten die 3 Ausdrücke vor dem ZwQueryObject?
NTSYSAPI
NTSTATUS
NTAPI