我如何确定哪些文件是由特定进程在 c# windows OS 中以编程方式创建或操作的

Question

我正在编写一个实用程序，它必须跟踪安装。

此安装会在我的计算机上创建哪些目录和文件。

语言是c#.net，操作系统是windows。

到目前为止，我使用了 FileWatcher，这是前进的一步，但是您必须清理很多操作系统噪音，最终结果是一个带有文件系统更改的文本文件，并且容易出错，导致无法使用。

我什至对其进行了过滤，以便仅跟踪运行安装的用户（BUILTIN\Administrators）的事件，但仍然有很多噪音。

.
.
.

owner = (new FileInfo(e.FullPath).GetAccessControl().GetOwner(typeof(SecurityIdentifier)).Translate(typeof(NTAccount)) as NTAccount).Value;

if (owner.Contains("BUILTIN\\" + "Administratorer"))
   {
      eventList.Add(">" + e.FullPath + "<" + e.ChangeType + ":" + owner);
   }
.
.
.

我也尝试使用 microsoft 的“handle64.exe -p processname.exe”的输出，但它只拍摄快照，在安装过程中无法继续运行。

有没有人知道如何在 c# 中实现它，或者是否有可能。

非常感谢您的时间和精力

Answer 1

您将需要使用 windows api 函数来确定哪些进程对您正在寻找的文件有句柄，特别是 NtQuerySystemInformation api 函数来查询所有句柄，这可以通过 P/Invoke 实现。