先弄个快照:
!htrace -enable 启用handle trace,并且创建第一个快照作为初始状态,方便使用 -diff选项
!htrace -snapshot 创建快照,用作-diff选项
接着windbg命令窗口输入g运行程序
一段时间后!htrace -diff 使用当前状态的信息,和最近一次的快照信息做对比
查看增加的句柄,取句柄值,执行!handle 句柄值 f ——显示handle的相关信息
到对应句柄找到 KERNELBASE!CreateFile/OpenProcess等使用句柄的行,执行 uf KERNELBASE!CreateFileXXXX
找到ret那行,拿到地址,执行bp 地址 “.logappend /u c:/openprocess.log;k; r eax;.logclose;g”
.logappend /u e:/test.log:表示将此命令的结果Append到e:/test.log文件中,/u表示 in Unicode format。
k :表示输出栈信息
r eax:表示输出eax寄存器的值,即取函数的返回值
.logclose:表示关闭日志记录
g:表示命中断点后继续执行