WinDbg的 |应用程序内存完全转储 - 显示文件句柄的文件路径

对于事后调试（故障转储分析），没有办法，除非你有内核转储（那时我不能告诉你如何做到这一点）。Windows 将关闭已终止的进程的句柄。

！handle 与 ！handleex 结合使用

Github 上有 handleex。

结合并获得很好的信息。!handle!handleex

.foreach /pS 1 /ps 1 (file {!handle 0 4 FILE}) { .echo Handle file; !handleex file; .echo }

示例输出

0:007> .foreach /pS 1 /ps 1 (file {!handle 0 4 FILE}) { .echo Handle file; !handleex file; .echo }
Handle 4c
Object Type: File
Handle Name: \Device\HarddiskVolume3\Users\T

Handle 8c
Object Type: File
Handle Name: \Device\HarddiskVolume3\Windows\WinSxS\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.19041.1110_none_60b5254171f9507e

Handle b4
Object Type: File
Handle Name: \Device\HarddiskVolume3\Windows\System32\en-US\notepad.exe.mui

...

handle与 SysInternals 句柄结合使用

可以结合使用 WinDbg 命令和 SysInternals 句柄工具。!handle

记事本调试会话示例：

:018> !handle 0 1 FILE
Handle 4c
  Type          File
Handle 8c
  Type          File
Handle b8
  Type          File
Handle 134
  Type          File
...

结合控制台中的信息：

C:\...>handle -p notepad.exe | findstr 8C:
   8C: File          C:\Windows\WinSxS\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.19041.1110_none_60b5254171f9507e

C:\...>handle -p notepad.exe | findstr B8:
   B8: File          C:\Windows\System32\en-US\notepad.exe.mui

自动化它并不真正有效：

0:007> .printf "%d\n",$tpid
2168
0:007> .foreach /pS 1 /ps 1 (file {!handle 0 4 FILE}) { .shell C:\handle.exe -p 2168 | findstr file: }

该过程似乎太慢，需要太多用户输入。