如何通过windbg中的句柄获取文件路径？

Question

如何在内核模式下使用windbg/kd 从句柄获取文件路径？

Answer 1

使用!handle <handle_num> 7 <proc_id> 显示该句柄的详细信息，其中<handle_num> 是句柄值，<proc_id> 是进程ID 值（均基于十六进制），请参阅此msdn 链接了解更多信息。

您可以从用户模式会话中获取您的进程ID，这是最简单的方法，只需在用户模式下附加并输入管道命令|，它将输出如下：

。 0 id: 1680 附加名称: D:\test\MyApp.exe

所以1680 将是proc id，然后使用!handle 列出句柄，然后在内核模式下输入：

!handle <handle_num> 7 1680

会显示你想要的，here 上有一个有用的博客条目。