使用Process Explorer和Windbg分析程序中的句柄泄漏问题

已于 2025-06-09 14:30:47 修改
阅读量5.1k 收藏 7
点赞数 5
CC 4.0 BY-SA版权
分类专栏： 分析C++软件问题的实用软件与高效工具实战案例集锦 C/C++实战专栏 C++软件调试与异常排查从入门到精通系列教程 文章标签： 句柄泄漏 ProcessExplorer Windbg
于 2023-05-02 22:34:34 首次发布
本文为博主原创文章，未经博主允许不得转载。
本文链接：https://blog.youkuaiyun.com/chenlycly/article/details/80076197
本文介绍了如何使用Process Explorer和Windbg来排查和分析程序中的句柄泄漏问题。通过性能监视器发现句柄和线程数量异常增长，接着使用Process Explorer统计句柄类型，发现大量Event和Thread句柄。最后通过Windbg的!handle和!htrace命令定位到泄漏源，发现是定时器触发的线程创建导致的泄漏。分析过程中强调了动态分析在查找问题中的重要性。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

了解本专栏 订阅专栏 解锁全文
使用Process Explorer/Process Hacker和Windbg初步定位软件高CPU占用问题
dvlinker的技术专栏
10-30 1万+
详细讲述如何使用Process Explorer/Process Hacker和Windbg排查软件高CPU占用问题。
使用Process Explorer/Process Hacker与Windbg初步定位软件高CPU占用问题
dvlinker的技术专栏
01-09 3万+
本文详细介绍如何使用Process Explorer/Process Hacker与Windbg初步定位软件高CPU占用问题。
windbg检测句柄泄露（定位到具体代码）
华秋实的专栏
10-30 1万+
1.构造一个测试用例
GDI、内存、句柄泄露检测工具
07-06
http://www.codeproject.com/Articles/150463/LeakMon-Track-Handle-leak-GDI-Leak-and-Memory-Leak LeakMon is a light weight resource leak tracking utility which can track Memory leaks, GDI object leaks and handle leaks of a process. This tool is suitable mainly for tracking down the leaks that happen in between an operation.
系统资源管理利器：ProcessExplorer实用教程
weixin_26805451的博客
04-28 1872
在IT领域，系统资源管理工具是保证计算机系统稳定运行的必要条件。它们帮助我们监控、管理和优化系统性能，确保关键应用和进程获得所需的资源。系统资源管理工具覆盖了从简单的任务管理到复杂的服务和进程管理。在使用ProcessExplorer这类系统资源管理工具之前，通常会下载一个压缩包文件。这个压缩包内包含了若干关键文件，这些文件是确保工具正常运行的基础。在这一部分，我们将详细介绍如何识别和分类这些关键文件。压缩包中一般包含有可执行文件（如.exe）、动态链接库（如.dll）、配置文件（如。
.NET对象与Windows句柄（三）：句柄泄露实例分析
weixin_30871701的博客
04-13 436
在上篇文章.NET对象与Windows句柄（二）：句柄分类和.NET句柄泄露的例子中，我们有一个句柄泄露的例子。例子中多次创建和Dispose了DataReceiver和DataAnalyzer对象，但由于忘记调用DataAnalyzer的Stop方法，导致产生句柄泄露。本文假定我们已经发现了泄露现象但还不知道原因，讨论如何在这种情况下分析问题。 一、发现问题 在程序运行约一个小时以...
使用Process Explorer来查看句柄泄露
weixin_30823001的博客
09-24 356
Process Explorer（官方下载地址http://technet.microsoft.com/en-us/sysinternals/bb896653.aspx） 下载后解压，直接运行就能看到详细的系统信息，包括CPU、IO、网络、进程等。 要查看进程对应的句柄需要做以下操作(Process Explorer的使用一目了然，就查看句柄费了点劲，blog存档备用)： 打...
用于检测HANDLE泄露的工具(附代码)
05-16
用于检测HANDLE泄露的工具(附代码)
process explorer 查看句柄或者加载的dll
yasi_xi的专栏
09-15 1万+
转自：http://hi.baidu.com/etta0210/item/3541e9f15ed00740922af25d 打开process explorer 选中想要查看句柄或者加载的dll的进程 菜单点击view——Lower Pane View，其下有DLLS和Handles，选中即可。同时，需要勾选Show Lower Pane才能显示出来
【C++软件实战问题排查经验分享系列 ③】 Process Explorer | Process Monitor | API Monitor | Windbg | IDA 等常用工具的使用总结
热门推荐
dvlinker的技术专栏
04-28 4万+
本文详细讲述SPY++、Dependency Walker、剪切板查看工具Clipbrd、 GDI对象查看工具GDIView、Process Explorer、Process Monitor、API Monitor、调试分析工具Windbg、交互式反汇编工具IDA等常用软件分析工具的用途（可以帮助我们高效快速地排查软件问题），并给出有实战参考价值的实战分析实例，供大家借鉴或参考。
笔记：如何使用Process Explorer分析句柄泄露溢出问题
HeBianGu的博客
09-02 2200
• 下载和运行：从 Sysinternals 网站下载并运行 Process Explorer。• 监控句柄使用情况：查看进程的句柄数，监控是否持续增加。• 分析句柄泄漏：查看句柄详情，查找哪些句柄数量异常多或持续增加。• 解决问题：检查和修复代码，确保正确释放资源。通过这些步骤，你可以使用 Process Explorer 有效地分析和解决句柄泄漏问题。
句柄查看工具spy++
11-19
Spy++ (SPYXX.EXE) 是一个基于 Win32 的实用工具，它提供系统的进程、线程、窗口和窗口消息的图形视图。使用 Spy++ 可以执行下列操作： 显示系统对象（包括进程、线程和窗口）之间关系的图形树。 搜索指定的窗口、线程、进程或消息。 查看选定的窗口、线程、进程或消息的属性。
Process Explorer进程管理查看工具
08-14
查看系统进程，是一款非常受人喜欢的进程查看工具。非常实用，适合系统管理和编程跟踪进程之用，可以用来排查系统异常进程，每个进程派生及关联关系，便于进行系统分析和跟踪。
句柄泄漏调试经验
xumaojun的专栏
01-23 2935
句柄泄漏检测-简单 在调试之前首先确定是不是真的发生了句柄泄漏，简单的检测方法是通过任务管理器来查看进程的句柄数是不是居高不下，任务管理器默认不显示句柄数，要查看进程的句柄数需要先切换到进程选项卡，然后单击“查看”菜单，选择“选择列”，然后勾选“句柄数”。 句柄泄漏检测-更多信息 任务管理器只能简单检测句柄数，如果要获得更详细的信息，可以使用Process Explorer（官方下载地址
WinDbg 定位句柄泄漏问题
过好每一天的女胖子
11-12 4073
文章目录一、观察进程是否有句柄泄漏1、查看工具任务管理器查看句柄数procexp.exe查看进程句柄信息2、判断是否有句柄泄漏二、定位方法1、WinDbg分析句柄泄漏1.1 Event句柄泄漏1.1.1 代码示例1.1.2 一、观察进程是否有句柄泄漏 1、查看工具 使用任务管理器或Process Explorer（procexp.exe）工具可观察进程的句柄数。 任务管理器查看句柄数 procexp.exe查看进程句柄信息 2、判断是否有句柄泄漏 通常在程序运行稳定后，再观察句柄数有无增长，比如进程启动5分
windbg 定位句柄泄露
qq_43179054的博客
05-08 375
logappend /u e:/test.log：表示将此命令的结果Append到e:/test.log文件中，/u表示 in Unicode format。找到ret那行，拿到地址，执行bp 地址 “.logappend /u c:/openprocess.log;查看增加的句柄，取句柄值，执行!htrace -snapshot 使用当前状态的信息，和最近一次的快照信息做对比。htrace -snapshot 创建快照，用作-diff选项。r eax：表示输出eax寄存器的值，即取函数的返回值。
WinDbg分析句柄泄漏
jijie_ming的博客
07-03 329
htrace -enable：启用handle trace,并且创建第一个快照作为初始状态，方便使用 -diff选项。5过一会后，点击WinDbg菜单栏的Break或者按下Ctrl+Break。htrace -diff：使用当前状态的信息，和最近一次的快照信息做对比。htrace -snapshot：创建快照，用作-diff选项。htrace：显示当前的所有句柄信息。
windbg !htrace 定位句柄泄露
CAir2的专栏
07-24 798
!htrace：扩展用于显示一个或多个句柄的堆栈回溯信息 !htrace [Handle [Max_Traces]] !htrace -enable [Max_Traces] !htrace -snapshot !htrace -diff !htrace -disable !htrace -? !htrace，显示当前的所有句柄信息 使用!htrace 定位句柄内存泄露基本步骤： !htrace -enable，启用handle trace,并且创建第一个快照作为初始状态，方便使用 -diff选项
windows句柄泄漏的排查方式
jijie_ming的博客
07-15 981
Windows句柄泄漏是导致系统资源耗尽和性能问题的常见原因之一。通过这些方法的综合运用，通常可以有效地定位和解决Windows句柄泄漏问题。
windbg分析桌面堆泄漏
最新发布
07-18
<think>嗯，用户这次的问题很明确：想用WinDbg分析Windows桌面堆泄漏问题。从技术深度来看，这属于Windows内核级调试的进阶内容，用户可能是系统开发工程师或高级运维人员，正在处理GUI相关的资源泄漏难题。 桌面堆（Desktop Heap）是Windows为每个会话（Session）分配的专用内存区域，用于存储窗口对象、菜单句柄等GUI资源。泄漏通常表现为用户会话达到桌面堆上限后新程序无法启动，并伴随"Out of desktop heap"错误。这类问题在终端服务器环境尤为常见。 用户提到的引用材料中，[^2]提到了Windbg等工具链，说明用户已有基础调试工具认知。但需要提醒的是，桌面堆泄漏分析比普通堆泄漏更复杂，因为涉及win32k.sys驱动和用户态子系统（csrss.exe）。我决定分三阶段引导： 第一阶段必须确认是否真为桌面堆泄漏。很多内存问题会被误判，所以要先教用户检查系统指标。通过注册表查询当前桌面堆配置（如HKLMSYSTEMCurrentControlSetControlSession ManagerSubSystemsWindows的SharedSection值），配合任务管理器观察"桌面堆大小"计数器更可靠。 第二阶段用WinDbg捕获关键数据。这里有个技术难点：桌面堆对象没有标准堆的页堆（Page Heap）支持，所以需要特殊方法： 1. 附加到csrss.exe进程（风险操作！需在测试环境进行） 2. 用!dheaptrace扩展命令（需安装Windows SDK补充符号） 3. 分析tagDESKTOP结构体中的heap块分配链 第三阶段是泄漏源定位策略。由于桌面堆对象生命周期特殊，建议： - 对比多个时间点的!dheapstat快照 - 对可疑对象使用!pool命令查所有者 - 若怀疑驱动泄漏，启用特殊池（Special Pool） 考虑到操作危险性，在回答中要强调"必须在测试环境操作"和"提前创建系统还原点"。同时提供两个变通方案：对于生产环境，建议用WPR（Windows Performance Recorder）捕获GUI资源事件；对于开发阶段，推荐用[^3]提到的AddressSanitizer（但需注意其GUI支持有限）。 用户可能遇到的典型陷阱是：误将USER句柄泄漏当作桌面堆泄漏。所以补充了鉴别方法——用Process Explorer查看进程的USER Objects/GDI Objects计数。如果这些计数持续增长但桌面堆不变，就是不同性质的问题。 最后生成的问题刻意区分了层次：问题1针对新手想了解基础概念，问题2给遇到具体错误代码的用户，问题3则面向需要优化现有系统的管理员。这样无论用户处于哪个阶段都能找到延伸路径。</think>分析Windows桌面堆泄漏问题需要系统性地追踪桌面堆分配情况。以下是使用WinDbg的详细步骤： --- ### **步骤1：确认桌面堆泄漏现象** 1. **检查系统表现** - 用户登录失败或新程序无法启动（伴随错误代码`1450`或`1455`） - 事件查看器中存在`Event ID 1450`："系统资源不足，无法完成请求的服务" 2. **查看当前桌面堆使用** 在WinDbg中附加到`csrss.exe`进程（需管理员权限）： ```bash !dheaptrace -info ``` 输出示例： ``` Desktop Heap Information: Session ID: 1 Total Size: 3072 KB Used: 2980 KB (97%) Free: 92 KB (3%) ``` > **关键指标**：当`Used` > 95% 时表明存在泄漏风险[^1]。 --- ### **步骤2：启用桌面堆跟踪** 1. **开启全局跟踪** 在WinDbg中执行： ```bash !gflag +htc # 启用堆栈跟踪 !dheaptrace -enable ``` 2. **强制重现泄漏场景** 复现问题操作（如反复打开/关闭目标程序） --- ### **步骤3：分析泄漏点** 1. **捕获分配快照** ```bash !dheaptrace -snapshot # 创建初始快照 # 等待泄漏发生后... !dheaptrace -snapshot # 创建对比快照 ``` 2. **定位未释放对象** ```bash !dheaptrace -diff # 对比两次快照 ``` 输出示例： ``` Allocation differences: Address Size Call Stack 0xffffa506a1b46000 0x800 win32k!xxxCreateWindow+0x2a1 0xffffa506a1b46800 0x400 user32!CreateDialogParamW+0x1c3 ``` 3. **分析调用栈** 对泄漏地址执行： ```bash !heap -p -a 0xffffa506a1b46000 ``` 查看分配此内存的完整调用栈，通常可定位到具体模块（如`win32k.sys`或第三方驱动）。 --- ### **步骤4：修复验证** 1. **修复代码问题** 根据调用栈定位： - 未销毁的窗口句柄（`DestroyWindow`缺失） - GDI对象泄漏（如未删除`HBITMAP`） 2. **验证资源释放** 使用辅助工具监测： ```bash !dheaptrace -stat # 查看实时使用率 tasklist /m win32k.sys # 检查模块内存变化 ``` --- ### **备选方案** 若`!dheaptrace`不可用： 1. **使用WMI计数器** ```powershell Get-Counter '\Process(*)\Working Set - Win32k' ``` 2. **检查注册表配置** 桌面堆大小存储在注册表路径： ``` HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\Windows ``` 值项`SharedSection`的第三个参数（如`SharedSection=1024,3072,512`）[^2] --- ### **
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

dvlinker

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值