Sysinternals 进程监视器 (ProcMon)

Question

很多时候，在线安装程序会下载文件才能运行。我需要备份它们。有没有什么工具或东西可以找出文件保存的位置？

例子：

Answer 1

Sysinternals 进程监视器 (ProcMon)

Sysinternals 的 ProcMon 是执行此类任务的最佳工具，因为它提供了许多丰富的功能来捕获/跟踪进程在磁盘、网络和注册表上正在/正在执行的操作。
https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

让它在下载时运行几秒钟，然后停止捕获，过滤程序的主进程和子进程以及操作CreateFile和WriteFile。
如果下载是由主进程本身完成的，子进程可能不相关，但这取决于程序的设计方式。

一次包含主进程及其所有子进程的最简单方法是使用菜单中的Process Tree（键盘快捷键：） 。只需找到主进程并右键单击即可。不幸的是，进程树没有搜索功能。CTRL + TToolsadd process and children to include filter

例子

Steam 游戏更新

笔记：即使它不是在线安装程序，它也是一种类似的方法。

Adobe Acrobat Reader 在线安装程序

Windows 资源监视器

另一个选项是使用 Windows 内置的资源监视器来查看磁盘上的当前写入操作，但没有进行广泛分析的功能。

只需搜索Resource Monitor或resmon打开它并切换到选项卡Disk。在第二个视图中，Disk Activity您可以按降序排列该列Write (B/sec)以查看写入要求最高的进程和受影响的文件。

重要的提示

列中指定的进程Image可能不是您要查找的进程。它也可能是System或svchost。

示例 - Steam 游戏更新

一般的

请记住以下几点：

• 这些路径通常只是部分临时文件，并且可能会在其他地方组合成一个或多个“可用”文件（如可执行文件，资产等）。
• 这些文件通常采用特殊方法压缩。
• 可以在应用后立即删除（安装程序/更新程序仍在进行中）。
  如果它们被删除，您还需要一个文件系统监视程序来实时备份它们。