69,382
社区成员
发帖
与我相关
我的任务
分享请发表友善的回复…
发表回复
Bandry 2003-07-25
- 打赏
- 举报
up，我也不知道
fireseed 2003-07-25
- 打赏
- 举报
可以是可以，不过要用到一些很复杂的技术。
把自身的权限设为调设级，再枚举所有的进程。然后针对每一个进程用ReadProcessMemory直接读取进程的内存，不过你需要对进程内存的存储结构相当了解，跟据偏移量读取到进程中HANDLE存放的位置，再检查每一个HANDLE是不是文件。
这样就可以判断了。
把自身的权限设为调设级，再枚举所有的进程。然后针对每一个进程用ReadProcessMemory直接读取进程的内存，不过你需要对进程内存的存储结构相当了解，跟据偏移量读取到进程中HANDLE存放的位置，再检查每一个HANDLE是不是文件。
这样就可以判断了。
arnold8792 2003-07-25
- 打赏
- 举报
我用一些查看进程的工具，
那些用loadlibrary加载的文件可以看到，但是用createfile打开的文件就看不到
请问有什么方法可以看到是哪个进程使用createfile打开了文件
那些用loadlibrary加载的文件可以看到，但是用createfile打开的文件就看不到
请问有什么方法可以看到是哪个进程使用createfile打开了文件
forever1314 2003-07-25
- 打赏
- 举报
ctrl+del+atl
fierygnu 2003-07-24
- 打赏
- 举报
fuser或lsof
