[发明专利]一种删除文件的方法及文件删除装置

权利要求书

1.一种删除文件的方法，其特征在于，该方法包括：

确认采用常规方法删除目标文件失败，打开该目标文件，获取删除权限；

查询获取文件系统创建的设备对象，构造输入/输出请求包，发送至文件系统创建的设备对象；

确认文件系统分发函数地址正确，获取导入表中预先修改的函数的地址信息；

根据获取的地址信息映射的函数检测目标文件，在检测到目标文件对应的文件对象为预先设置的待删除文件后，返回标识可删除目标文件的信息，删除目标文件。

2.如权利要求1所述的方法，其特征在于，所述打开该目标文件，获取删除权限具体包括：

以删除权限尝试打开该目标文件，如果目标文件可打开，获取该目标文件的删除权限；如果目标文件不可打开，以空的权限打开目标文件，设置目标文件对应的文件对象的删除权限字段为可删除，获取该目标文件的删除权限。

3.如权利要求2所述的方法，其特征在于，所述目标文件可打开，获取的删除权限为该目标文件之前打开操作设置的共享权限的最小集合。

4.如权利要求1至3任一项所述的方法，其特征在于，所述确认文件系统分发函数地址正确具体包括：

启动时，设置文件系统模块或Windows内核模块记录文件系统分发函数地址；

在接收到输入/输出请求包后，通过查询文件系统分发函数地址是否在文件系统模块或Windows内核模块来确认当前文件系统分发函数地址是否正确。

5.如权利要求4所述的方法，其特征在于，所述目标文件包括：运行中的文件、被独占访问的文件、没有共享删除权限的文件以及通过钩子或过滤驱动方式保护自己的文件。

6.如权利要求5所述的方法，其特征在于，所述确认采用常规方法删除目标文件失败具体包括：

获取目标文件属性，确定该目标文件属性为只读，去掉只读属性；

调用应用编程接口删除文件对该目标文件执行删除处理，确定删除失败。

7.如权利要求5所述的方法，其特征在于，所述函数为MmFlushImageSection函数。

8.一种文件删除装置，其特征在于，该装置包括：删除权限获取模块、输入/输出请求包IRP构造模块、设备对象模块、导入表模块以及检测模块，其中，

删除权限获取模块，用于确认采用常规方法删除目标文件失败，打开该目标文件，获取删除权限，输出至IRP构造模块；

IRP构造模块，用于构造输入/输出请求包，查询获取文件系统创建的设备对象，将构造的输入/输出请求包发送至设备对象模块；

设备对象模块，用于在确认当前文件系统分发函数地址正确后，从导入表模块中获取预先修改的函数的地址信息，输出至检测模块；接收检测模块输出的标识可删除目标文件的信息，关闭目标文件并删除；

导入表模块，用于存储预先修改的函数的地址信息；

检测模块，用于根据获取的地址信息映射的函数，对目标文件进行检测，在确定目标文件对应的文件对象符合预先设置的待删除文件，向设备对象模块返回标识可删除目标文件的信息。

9.如权利要求8所述的装置，其特征在于，所述删除权限获取模块根据目标文件中设置的共享权限的最小集合获取删除权限，或，以空的权限打开目标文件时，通过设置目标文件对应的文件对象的删除权限字段中的值获取删除权限。

10.如权利要求8或9所述的装置，其特征在于，启动时，设置文件系统模块或Windows内核模块记录文件系统分发函数地址；所述设备对象模块在接收到输入/输出请求包后，通过查询文件系统分发函数地址是否在文件系统模块或者Windows内核模块以确认当前文件系统分发函数地址是否正确。