处理 v4.22

作者:Mark Russinovich

发布时间: 2019 年 6 月 14 日

Download下载句柄 (887 KB)

简介

曾经想知道哪个程序具有打开的特定文件或目录? 现在,你可以找到。 句柄 是一个实用工具,用于显示有关系统中任何进程的打开句柄的信息。 可以使用它查看打开文件的程序,或查看程序的所有句柄的对象类型和名称。

还可以从 Sysinternals 获取此程序 (进程资源管理器)的基于 GUI 的版本。

安装

通过键入“handle”来运行 句柄 。 必须具有管理权限才能运行 Handle

用法

句柄 以搜索打开的文件引用为目标,因此如果不指定任何命令行参数,它将列出引用打开文件和文件名称的系统中的所有句柄的值。 它还需要多个参数来修改此行为。

usage: handle [[-a] [-u] |[-c <句柄> [-l] [-y]] |[-s]][-p <processname>|<pid>> [name]

参数 说明
-a 转储有关所有类型的句柄的信息,而不仅仅是引用文件的句柄。 其他类型的包括端口、注册表项、同步基元、线程和进程。
-c 关闭指定句柄 (解释为十六进制数) 。 必须按其 PID 指定进程。
警告: 关闭句柄可能会导致应用程序或系统不稳定。
-l 转储页文件支持的分区的大小。
-y 不要提示关闭句柄确认。
-s 打开每种类型的句柄的打印计数。
-u 搜索句柄时显示拥有的用户名。
-p 此参数不会检查系统中的所有句柄,而是将 Handle 的扫描范围缩小到以名称进程开头的进程。 因此:
handle -p exp
将转储以“exp”开头的所有进程的打开文件,其中包括 Explorer。
name 此参数存在,以便你可以定向 Handle 以搜索对具有特定名称的对象的引用。
例如,如果想要知道 (是否有任何) 打开“c:\windows\system32”的进程,则可以键入:
处理 windows\system
名称匹配不区分大小写,指定的片段可以是你感兴趣的路径中的任何位置。

处理输出

如果未在搜索模式下 (通过指定名称片段作为参数) 启用,Handle 会将输出划分为要打印的每个进程的节。 虚线用作分隔符,紧随其后,你将看到进程名称及其进程 ID (PID) 。 进程名称下面列出了 (十六进制) 的句柄值、句柄与之关联的对象类型以及对象的名称(如果有)。

在搜索模式下, Handle 将打印左侧的进程名称和 ID,并且具有匹配的对象的名称位于右侧。

更多信息

可以在 Windows Internals、4 Edition 或使用 WinObj 浏览对象管理器名称空间来查找有关对象管理器的详细信息。

Download下载句柄 (887 KB)