查看设置为下次系统重新启动时删除的文件

Question

笔记：

• NTFS - 3.1 版 - 使用fsutil获取信息
• Microsoft Windows XP [版本 5.1.2600]

题：

• 获取方法（或工具），在下次系统重新启动期间设置删除的文件列表？

Answer 1

有一个免费的 MS/Sysinternals 程序叫做pendmoves，它可以显示等待在重启时删除/移动的文件列表。

您还可以查看以下注册表项以获取挂起操作的列表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations

执行此操作的 API 操作称为带有 MOVEFILE_DELAY_UNTIL_REBOOT 选项的 MoveFileEx()。

此知识库中的更多信息。

仅供参考，要手动向注册表的此区域添加工作条目，您可以执行以下操作：

1. 启动 REGEDT32 (W2K) 或 REGEDIT (WXP) 并导航到： HKLM\System\CurrentControlSet\Control\Session Manager

2. W2K：编辑，添加值...，数据类型：REG_MULTI_SZ，值名称：PendingFileRenameOperations，OK

WXP：编辑、新建、多字符串值、[输入] PendingFileRenameOperations

3. 在数据区输入“\??\”+要删除的文件名。LFN 可以在不嵌入引号的情况下输入。要删除“C:\Long Directory Name\Long File Name.exe”，请输入以下数据：

\??\C:\长目录名\长文件名.exe

然后按确定。

4. “目标文件名”是一个空（零）字符串。输入如下：

W2K：编辑，二进制，选择数据格式：十六进制，点击十六进制字符串的末尾，输入0000（四个零），确定。

WXP：右击数值，选择“修改二进制数据”，点击十六进制字符串的末尾，输入0000（四个零），确定。

5. 关闭 REGEDT32/REGEDIT 并重新启动以删除文件。

从这个线程。

当然，使用movefile 比做所有这些都容易。