追踪哪个进程打开了一个特定的文件

从Windows的内核模式中，我可以截取和监控几乎在特定磁盘上执行的所有操作。当为任何目的打开文件时，我会得到一个事件。追踪哪个进程打开了一个特定的文件

现在我想跟踪打开它的应用程序。我认为这应该是可能的，但不知道如何。

我在Windows Win32 API中使用标准文件管理功能。

在此先感谢。

/Robert

来源

2008-10-23 sharkin

-3

只需使用Win32 N.API从文件句柄中获取pid即可。这是一个15年的常见问题...

来源

2008-10-24 15:52:17

-1这里几乎没有任何信息。 – 2011-10-27 03:26:37

我会使用Sysinternals提供的“handle.exe”应用程序。

或者，你是否真的试图做到这一点编程？

来源

2008-10-23 21:14:38 cbrulak

是的，编程方式，因此“在win32 API中的文件管理功能”和“事件” – sharkin 2008-10-23 21:39:15

Sysinternals Filemon（免费）做到这一点，并更好，但他们描述了他们是如何做到的：

对于Windows 9x的驱动程序，心脏的FileMon的是虚拟设备驱动程序，Filevxd.vxd。它是动态加载，并在其初始化它安装通过的VxD服务， IFSMGR_InstallFileSystemApiHook一个文件系统过滤器，以将自身插入到的调用链中的所有文件系统请求。在Windows NT FileMon之的心脏是创建和附加过滤装置对象目标文件系统设备中的文件系统驱动程序对象，以便该FileMon的会看到所有的IRP和被引导至硬盘 FastIO请求。当FileMon发现打开，创建或关闭调用时，它会更新内部散列表，该内部散列表充当内部文件句柄和文件之间的映射路径名称。每当它看到基于句柄的调用时，它将在哈希表中查找句柄以获取全名以供显示。如果基于句柄的访问引用FileMon启动之前打开的文件，FileMon 将无法找到其散列表中的映射，而只是简单地显示句柄的值。

- 亚当

来源

2008-10-23 21:15:12

Sysinternals的在做这件事，并解释它做了一个好工作，那的旧版本的一些源代码仍然可以here例如，代码是有据可查的（恕我直言）这也可能是一个好的开始。

来源

2008-10-23 21:26:03

追踪哪个进程打开了一个特定的文件

回答

相关问题