查看DLL使用的注册表项和文件

Question

我在分析Windows进程方面还很陌生，在上周发现Xperf非常有用，并且我对分析DLL有一些疑问。

我想知道是否可以看到进程使用的特定DLL映像使用了哪些注册表项和文件路径，以及可以使用哪些工具来实现此目的。

如果无法做到这一点，我想知道有什么好的策略来找出DLL使用的资源或替代方法。

Answer 1

您可以为此使用Process Explorer 。 其他大多数SysInternals处理工具也非常有用-Process Explorer只是一个具有（复杂）UI的工具，用于显示大量数据。 进程监视器显示进程的实时注册表，文件系统等访问。

Answer 2

Process Monitor和xperf都可以记录对文件的每次访问的调用堆栈。 然后，您可以检查那些调用堆栈，以在调用堆栈上查找特定的DLL。

但是，您的问题确实不是很正确。 您是什么意思？“由特定的DLL使用”？ 您可能具有进程A，该进程调用DLL B，然后调用DLL C，然后从文件中读取时调用DLLD。 哪个DLL在“使用”该文件？ B，C，D还是全部？ 唯一明智的答案是，这取决于。

正如Hans Passant所说，句柄是由进程而不是DLL拥有的，并且最多您可以提出启发式方法来将“所有权”分配给特定DLL。