windbg 定位句柄泄露

先弄个快照：
!htrace -enable 启用handle trace,并且创建第一个快照作为初始状态，方便使用 -diff选项
!htrace -snapshot 创建快照，用作-diff选项

接着windbg命令窗口输入g运行程序

一段时间后!htrace -diff 使用当前状态的信息，和最近一次的快照信息做对比

查看增加的句柄，取句柄值，执行!handle 句柄值 f ——显示handle的相关信息
到对应句柄找到 KERNELBASE!CreateFile/OpenProcess等使用句柄的行，执行 uf KERNELBASE!CreateFileXXXX
找到ret那行，拿到地址，执行bp 地址 “.logappend /u c:/openprocess.log;k; r eax;.logclose;g”

.logappend /u e:/test.log：表示将此命令的结果Append到e:/test.log文件中，/u表示 in Unicode format。
k ：表示输出栈信息
r eax：表示输出eax寄存器的值，即取函数的返回值
.logclose：表示关闭日志记录
g：表示命中断点后继续执行