如何跟踪一个进程及其子进程打开的所有文件？

Question

我尝试使用Sysinternals-Process Monitor，但没有方法动态附加子进程的筛选器。

- R.D

---

我知道这只是一个级别，但 ProcMon 允许您基于父 PID 进行过滤。这符合您的需求吗？ - CriGoT

这仅适用于一级。我需要关于孙子级别的详细信息，以此类推。 - R.D

Answer 1

让它与编程有关：您可以使用Import Address Table Hooking并分配自己的实现 :-)

如果您正在寻找工具，我相信有人已经为您完成了这项工作：StraceNT：Windows的系统调用跟踪器。

该网站声称它是strace的克隆版，而strace支持跟踪子进程（我自己没有使用过这个工具，所以不确定这个声明是否正确）。

（strace是在Linux环境下可用的实用程序，它允许您跟踪系统调用，我想这解释了straceNT的名称）。

希望能有所帮助！

- Aryabhatta

---

哎，无法使其正常工作。每次它都会显示“错误：该请求不受支持。” - Jan Hudec

Answer 2

尝试使用Nirsoft的OpenedFilesView。 http://www.nirsoft.net/utils/opened_files_view.html

下载链接在页面底部。（实际上很难找到）

- Ben

Answer 3

尝试使用Process Monitor。http://technet.microsoft.com/en-in/sysinternals/bb896645.aspx，这是由微软提供的工具。

- Francis

---

这正是我一直在寻找的。自Windows NT以来，Mark Russinovich为我们提供了最好的Windows内部知识。 - fcm