![查找正在磁盘上创建文件的进程(事后)](https://linux22.com/image/1582920/%E6%9F%A5%E6%89%BE%E6%AD%A3%E5%9C%A8%E7%A3%81%E7%9B%98%E4%B8%8A%E5%88%9B%E5%BB%BA%E6%96%87%E4%BB%B6%E7%9A%84%E8%BF%9B%E7%A8%8B%EF%BC%88%E4%BA%8B%E5%90%8E%EF%BC%89.png)
在 Windows 环境中,如何在文件创建后找到创建该文件的进程。或者,如何实现一个解决方案来跟踪哪个进程创建了文件,以便在创建文件时我们能够确定它是如何创建的。
查找正在创建文件的进程尽管使用类似 ProcessMonitor(来自 SysInternals/Microsoft)的工具可以轻松跟踪正在创建的文件。但是,我们查看的环境是,每台 PC 都有一个名为“C:\temp\temp.txt”的文件,该文件上只包含一个零。删除该文件后,它会在某个时候重新创建该文件。将文件创建时间与事件查看器中的事件关联起来没有产生任何结果,而且由于文件的创建不可预测,我无法使用类似 ProcessMonitor 的工具来跟踪它。
理想情况下,由于这些机器是远程的(在 RMM 下管理),我希望可以纯粹通过命令行实现一些功能。
答案1
我认为 Shawn 的意思是 文件活动监视经过尼尔软件。请查看,感谢 OP 和 Shawn,我需要找到它。
答案2
虽然这不是一个完美的解决方案,但你可以使用文件夹更改视图从 Nirsoft 监视 Temp 文件夹并触发进程列表或handle
文件创建时。