Início / computer / Perguntas / 1700602
Accepted
seagull
Asked: 2022-01-22 08:37:05 +0800 CST

Usando o PowerShell para adicionar uma entrada a "PendingFileRenameOperations" sem interromper as entradas anteriores

  • 772

No meu caso, eu queria usar o valor do Registro em SYSTEM\CurrentControlSet\Control\Session Manager!PendingFileRenameOperationspara excluir um arquivo na reinicialização. Estou usando o PowerShell.
Seria relativamente fácil usar algo como MoveFileou qualquer outro binário de linha de comando para adicionar os dados ao Registro, mas considero uma má forma usar ferramentas de terceiros (mesmo Sysinternals) quando métodos nativos estão disponíveis.

O Problema
PendingFileRenameOperations só faz alguma coisa quando as entradas dentro dele (é um objeto Multistring) são sufixadas com dois caracteres NUL, mostrados no visualizador binário do Regedit como .. ... Adicionar as informações normalmente por meio do PowerShell não funciona e adicionar dados binários, embora possível, limparia todos os dados existentes no valor devido à falta de capacidade do PowerShell (certamente do PowerShell 2.0) de extrair os dados binários de um objeto Registry MultiString.

A pergunta
É possível usar métodos nativos em uma máquina PS2.0 para adicionar entradas de PendingFileRenameOperationsforma que o sistema operacional realmente as reconheça?

windows powershell

2 respostas

  1. Best Answer

    Sim. Use o seguinte código do PowerShell:

    new-ItemProperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager" -Name "PendingFileRenameOperations" -Value $($((Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager" -Name PendingFileRenameOperations -ErrorAction SilentlyContinue).PendingFileRenameOperations) + "\??\C:\file.exe`0`0") -type MultiString -Force | Out-Null

    O que estamos fazendo aqui:

    • Fazendo um novo item do tipo MultiString (usar set-itempropertynão funciona por qualquer motivo)
    • Definir, como seu valor principal, os dados que estavam nesse valor do Registro para começar (se houver)
    • Adicionando o normal \??\C:\File.exe, que neste caso é \??\+ o caminho do arquivo a ser excluído
    • Adicionando dois bytes NUL ( `0`0no PowerShell) ao final da string

    Isso garantirá que o arquivo seja excluído na próxima reinicialização.

    • 0

  2. Você pode usar o .NET do Powershell, por exemplo:

    Add-Type @"
using System;
using System.Text;
using System.Runtime.InteropServices;

public class PFRO
{
    public enum MoveFileFlags
    {
        MOVEFILE_REPLACE_EXISTING           = 0x00000001,
        MOVEFILE_COPY_ALLOWED               = 0x00000002,
        MOVEFILE_DELAY_UNTIL_REBOOT         = 0x00000004,
        MOVEFILE_WRITE_THROUGH              = 0x00000008,
        MOVEFILE_CREATE_HARDLINK            = 0x00000010,
        MOVEFILE_FAIL_IF_NOT_TRACKABLE      = 0x00000020
    }
    [DllImport("kernel32.dll", SetLastError = true, CharSet = CharSet.Unicode)]
    static extern bool MoveFileEx(string lpExistingFileName, string lpNewFileName, MoveFileFlags dwFlags);

    public static bool MarkFileForDelete (string srcfile)
    {
        bool brc = false;
        brc = MoveFileEx(srcfile, null, MoveFileFlags.MOVEFILE_DELAY_UNTIL_REBOOT);
        return brc;
    }
}
"@

$FullName = "C:\toolsde.txt"

if([PFRO]::MarkFileForDelete($FullName))
{
    write-host $FullName "will be deleted on next boot"
}
else
{
    write-host $FullName "will not be deleted on next boot"
}

    Além disso, acredito que PendingFileRenameOperations2 também é um valor de registro processado pelo Windows Session Manager na inicialização. Suspeito que você possa usar isso para seus propósitos sem a necessidade de tocar em PendingFileRenameOperations. Pode valer a pena um teste.

    • 0

relate perguntas