关于 win32 下磁盘的遍历方法

Posted 2020-08-22 朝闻道

 最近要写个在线专杀的东东，虽然是专杀（本来只要清除几个特定的文件和杀几个特定的进程，然后把用户的注册表恢复正常，很多病毒木马最喜欢干的一件事情就是写 映像劫持 然后机器一重启，安全相关的软件全部玩完了，不过这也没什么技术含量，利用了操作系统的“漏洞”而已），但是因为是 磁碟机，这个病毒（木马）很恶心，是感染型的，你磁盘上的exe文件可以全部给你感染成一个个的“小磁碟机”，很恐怖，呵呵，所以没办法，要清除它，必须在杀掉磁碟机的进程之后，对全盘进行扫描，对每一个被感染的exe文件（好像com文件不能感染）进行修复，怎么进行磁盘遍历呢？请看下面的代码：（其实杀毒引擎工作的过程就是一个遍历磁盘上文件的过程，然后再对每个文件进行处理）

1. // -------------------------------------------------------------------------
2. // 函数       : ScanDirectory
3. // 功能       : 遍历一个目录，然后做一些事情(想做什么做什么呗)
4. // 返回值  : DWORD 
5. // 参数       : const WCHAR *pwszPath
6. // 附注       : 可以为磁盘根目录
7. // -------------------------------------------------------------------------
8. DWORD ScanDirectory(const WCHAR *pwszPath)
9. {
10.     USES_CONVERSION;
12.     static int nCountFile = 0;
13.     DWORD dwRet = 1;
15.     WCHAR *s = NULL;
17.     HANDLE hFind = NULL;
18.     WIN32_FIND_DATAW fd = {0};
20.     WCHAR wszFileName[MAX_PATH] = L"";
21.     lstrcpyW(wszFileName, pwszPath);
23.     s = wszFileName + wcslen(wszFileName);
24.     if (*(s-1) != L‘//‘)
25.         *s++ = L‘//‘;
26.     // wcscpy_s(s, 4, L"*.*");
27.     ::lstrcpyW(s, L"*.*");
29.     hFind = FindFirstFileW(wszFileName, &fd);
30.     if (hFind==INVALID_HANDLE_VALUE)
31.         goto Exit0;
32.     do 
33.     {
34.         // 过滤
35.         if (_wcsicmp(L".", fd.cFileName) == 0 || _wcsicmp(L"..", fd.cFileName) == 0)
36.             continue;
38.         ::lstrcpyW(s, fd.cFileName);
39.         *(s + lstrlenW(fd.cFileName)) = L‘/0‘;
41.         // 如果是文件夹则递归
42.         if (fd.dwFileAttributes & FILE_ATTRIBUTE_DIRECTORY)
43.         {
44.             // 删除.svn目录，我做一个小工作，删文件，o(∩_∩)o...
45.             WCHAR wszSvnCmd[MAX_PATH] = {0};
46.             ::lstrcpyW(wszSvnCmd, L"rmdir /s/q ");
47.             ::lstrcatW(wszSvnCmd, wszFileName);
48.             ::lstrcatW(wszSvnCmd, L"//.svn");
49.             system(W2A(wszSvnCmd));
50.             ScanDirectory(wszFileName);
51.         }
52.         else
53.         {
54.             // 对文件进行扫描
55.             // 这里你可以放入你对文件的处理代码
56.         }
58.     }while(::FindNextFileW(hFind, &fd));
60.     dwRet = 0;
63. Exit0:
64.     if( hFind != INVALID_HANDLE_VALUE )
65.     {
66.         ::FindClose( hFind );
67.         hFind = NULL;
68.     }
70.     return dwRet;
71. }

  当然上面的代码还只能遍历一个磁盘，除非你知道自己的机器上有几个磁盘，然后调用几次就可以了，但是你不知道用户的机器上有几个什么磁盘咯，所以还须有下面的代码和上面配合：

1. // -------------------------------------------------------------------------
2. // 函数       : ParseDiskName
3. // 功能       : 解析机器上能扫描的磁盘的名
4. // 返回值  : DWORD 返回能扫描的磁盘数量
5. // 参数       : TCHAR *pszDiskName  缓冲区 放入可扫描的磁盘的英文盘符名
6. // 附注       : 
7. // -------------------------------------------------------------------------
8. DWORD ParseDiskName(TCHAR *pszDiskName)
9. {
10.     static TCHAR *pszWordTable = {"abcdefghijklmnopqrstuvwxyz"};
12.     DWORD dwDisk;
13.     DWORD dwBase = 0x1;
14.     DWORD dwCount = 0;          // 记录磁盘数量
15.     DWORD dwScanCount = 0;      // 要扫描的有效磁盘数量，用于返回
16.     DWORD dwStyle;
18.     TCHAR szDiskPath[4] = {0};                  // 缓存一个磁盘根目录名
19.     TCHAR szDiskArray[26] = {0};                // 记录要扫描的所有磁盘名
21.     dwDisk = GetLogicalDrives();
22.     
23.     while (dwDisk && dwCount <= ::lstrlen(pszWordTable))
24.     {
25.         memset(szDiskPath, 0, sizeof(szDiskPath));
27.         if (dwDisk & dwBase)
28.         {
29.             ::lstrcpyn(szDiskPath, pszWordTable + dwCount, 2);
30.             ::lstrcat(szDiskPath, TEXT("://"));
31.             dwStyle = GetDriveType(szDiskPath);
33.             // 是否可扫描的
34.             if (DRIVE_REMOVABLE == dwStyle || DRIVE_FIXED == dwStyle)
35.             {
36.                 szDiskArray[dwScanCount] = pszWordTable[dwCount];
37.                 dwScanCount++;
38.             }
39.         }   
41.         dwDisk = dwDisk & ~dwBase;
42.         dwBase = dwBase * 2;
43.         dwCount++;
44.     }
46.     ::lstrcpy(pszDiskName, szDiskArray);
47.     return dwScanCount;
48. }

  呵呵，差不多了，不过上面的遍历文件用递归实现的，有可能出现堆栈溢出的情况，用迭代实现遍历磁盘也是可以的，不过我一直没有去写一个，还是觉得太麻烦了，递归多方便啊。再show点代码，对计算机进行重启的，不过这个重启是类似于掉电重启的，大家别随便试啊，一调你的机器得不到任何通知就重启了，为什么要这么用呢？是因为有些病毒再收到系统重启通知的时候会干些坏事情，用这种方法才能彻底清除它。

1. // -------------------------------------------------------------------------
2. // 函数       : ForceShutDown
3. // 功能       : 强制重启
4. // 返回值  : HRESULT 
5. // 附注       : 
6. // -------------------------------------------------------------------------
7. HRESULT ForceShutDown()
8. {
9.     // 强制重启参数 函数指针声明
10.     typedef enum _SHUTDOWN_ACTION
11.     {
12.         ShutdownNoReboot,
13.         ShutdownReboot,
14.         ShutdownPowerOff
15.     } SHUTDOWN_ACTION;
16.     typedef DWORD (WINAPI* lpNtShutdownSystem)(SHUTDOWN_ACTION Action);
18.     LONG nRet = FALSE;
20.     HANDLE hToken;
21.     TOKEN_PRIVILEGES tkp;
22.     HANDLE hProcess = NULL;
24.     HMODULE hNTDLL = NULL;
26.     hProcess = ::GetCurrentProcess();
27.     if(hProcess == NULL)
28.         goto Exit0;
30.     if(!::OpenProcessToken(hProcess, TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
31.         goto Exit0;
33.     if(!::LookupPrivilegeValue(NULL, SE_SHUTDOWN_NAME, &tkp.Privileges[0].Luid))
34.         goto Exit0;
36.     tkp.PrivilegeCount = 1;
37.     tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
39.     ::AdjustTokenPrivileges(hToken, FALSE, &tkp, 0, (PTOKEN_PRIVILEGES)NULL, 0);
42.     hNTDLL = LoadLibrary(_T("NTDLL.DLL"));
43.     if (hNTDLL)
44.     {
45.         lpNtShutdownSystem NtShutdownSystem = (lpNtShutdownSystem)GetProcAddress(hNTDLL, "NtShutdownSystem");
46.         if (NtShutdownSystem)
47.         {
48.             NtShutdownSystem(ShutdownReboot);
49.         }
51.         ::FreeLibrary(hNTDLL);
53.         nRet = TRUE;
54.     }
56. Exit0:
57.     if(hToken)
58.     {
59.         ::CloseHandle(hToken);
60.         hToken = NULL;
61.     }
63.     if(hProcess)
64.     {
65.         ::CloseHandle(hProcess);
66.         hProcess = NULL;
67.     }
68.     return nRet;
69. }

 

  以后再说说那个堆栈溢出的情况吧。

 

http://blog.csdn.net/magictong/article/details/2784420