wers123456的博客

例子一：要访问已打开的文件，我们也可以使用这种方法。我们需要使用ZwQuerySystemInformation函数来枚举句柄，将每一个句柄都用DuplicateHandle进行复制，确定句柄属于那个文件（ZwQueryInformationFile），如果是要找的文件，就将句柄拷贝。 这些在理论上都讲得通，但在实践中会遇到两处难点。第一，在对打开的named pipe（工作于block mode）的句柄调用ZwQueryInformationFile的时候，调用线程会等待pipe中的消息，而pipe中却可能没有消息，也就是说，调用ZwQueryInformationFile的线程实际上永久性地挂起了。所以命名文件的获取不用在挑选句柄的主线程中进行，可以启动独立的线程并设置一个timeout值来避免挂起。