检测哪个进程正在更改 Windows 上的文件

Question

有没有办法检测哪个进程正在更改 Windows 7 上的文件？

我知道 procmon 是一个很棒的工具，但无法弄清楚如何做到这一点，即使可能。

问题是我有一个被某个应用程序更改的文件，我想找出哪个文件。

Answer 1

无论procexp和procmon中有利于这一点。如果进程持有相关文件的句柄，则只需运行 procexp 并从“查找”菜单中选择“查找句柄或 DLL”，然后键入您正在搜索的部分文件名。

或者（如问题的评论中所述），例如，要使用 procmon 查找名为 readme.txt 的文件，请打开过滤器对话框并按如下方式设置过滤器：

然后按添加按钮。确保没有其他进程被排除在外，可能会影响您的文件。

然后开始捕获事件并坐等。