查找在Windows上创建文件的进程

Question

有没有找到什么进程在Windows上创建特定文件？

Answer 1

一般来说，没有。 Windows不会记录创建给定文件的进程。

您可以使用SysInternals Process Monitor之类的东西来挂钩文件（和注册表I / O），以查看是否可以捕获正在创建的文件，但是一旦创建它（和最后一个文件句柄已关闭），Windows会忘记它来自哪个进程。

如果文件在当前正在运行的进程中打开，您可以使用Process Explorer（也来自SysInternals）找出哪一个。

如果您认识到文件扩展名，那么这有时会有所帮助。或者，也许您可​​以查看文件以查看其中是否有任何明显的内容。

Answer 2

您可以做的就是在mimetypes上找到文件类型和关联应用程序之间的匹配项。但即使这样，它也只是猜测，因为文件类型可以与几个不同的应用程序相关联。

另一个不那么成功的方法是打开有问题的文件并在标题中搜索已知的应用程序名称。有时可以在此处找到应用程序名称或令牌，但是您需要从要搜索的名称字符串列表开始。