windows - windbgのハンドルでファイルパスを取得するにはどうすればよいですか？

Question

カーネルモードでwindbg/kdを使用してハンドルからファイルパスを取得するにはどうすればよいですか？

Answer 1

はハンドル値であり、はプロセスID値（両方とも16進ベース）!handle <handle_num> 7 <proc_id>である、そのハンドルの詳細情報を表示するために使用します。詳細については、このmsdnリンクを参照してください。<handle_num><proc_id>

ユーザーモードセッションからプロセスIDをキラリと光らせることができます。これが最も簡単な方法です。ユーザーモードで接続し、pipeコマンド|を入力するだけで、次のように出力されます。

。0 ID：1680添付名：D：\ test \ MyApp.exe

1680proc idもそうなるので、を使用してハンドルをリストし!handle、カーネルモードで次のように入力します。

!handle <handle_num> 7 1680

必要なものが表示されます。これに関する便利なブログエントリがここにあります。