检测 Windows 上哪个进程正在更改文件

Question

有没有办法检测 Windows 7 上哪个进程正在更改文件？

我知道 procmon 是一个很棒的工具，但不知道如何使用它，甚至不知道是否可行。

问题是我有一个文件被某个应用程序更改了，我想找出哪一个。

Answer 1

两个都进程表达式和进程监控非常适合这种情况。如果进程持有相关文件的句柄，则只需运行 procexp 并从“查找”菜单中选择“查找句柄或 DLL”，然后键入要搜索的文件名的一部分。

或者（正如问题评论中所提到的），使用 procmon 查找例如名为 readme.txt 的文件，打开过滤器对话框并将过滤器设置为：

然后按添加按钮。确保没有其他可能接触您文件的进程被排除。

然后开始捕捉事件并坐下来等待。