攔截FILESytemCall刪除

Question

有沒有辦法在Windows執行刪除之前檢測文件的刪除？我發現了FileSystemWatcher類，但是隻有在執行了刪除操作後纔會引發事件，但是我想在用戶/進程選擇刪除操作時捕獲刪除操作。您可以監視文件系統表，但要尋找更好的方法。謝謝你的幫助。

Answer 1

我覺得simpliest的方法是使用一個鉤子得到通知（並最終停止）的過程。它不能在.NET中完成，因此您必須爲DllImport許多結構和P/Invoke功能很少。

讓我們從NtSetFileInformation（未記錄的）函數開始您的工作。當需要刪除文件時（這是FileDispositionInformation結構），這是所有其他功能調用的函數。

現在的問題是如何掛鉤該功能（祝你好運，這是不容易的）。一個不錯的選擇可以使用Microsoft Detours。以this article爲例。它的問題是它不是免費的。另一種解決方案（具有合理的價格和.NET界面）是Deviare，但我從來沒有試過甚至他們的免費版本，所以我不知道它有多好。如果別人知道一個好的攔截工具...

Answer 2

您需要一個文件系統過濾器驅動程序。不過，我強烈建議，如果你不知道答案，你可能不應該這樣做。

http://msdn.microsoft.com/en-us/library/windows/hardware/gg462968.aspx

Answer 3

或者可以試試ICopyHook接口。

http://msdn.microsoft.com/en-us/library/windows/desktop/bb776049%28v=vs.85%29.aspx

在CopyCallback方法使用在wFunc參數FO_DELETE，來指定刪除操作。

缺點： 只能防止在Windows Shell中刪除。