Windows 7：确定哪个进程创建了命名管道？

Question

我想知道在 Windows 7 中确定哪个进程创建命名管道的方法是什么。我有兴趣发现创建命名管道的奇怪进程。 谢谢，非常感谢。

Answer 1

如果您只是在系统中进行取证：

1. 使用sysinternals中的PipeList列出系统中所有命名管道实例并找到奇怪的命名管道。
2. 使用 sysinternals 中的 Process Explorer 通过搜索句柄来查找奇怪的命名管道。

如果你想实现该功能： 参考NamedPipeMaster，用C/C++实现，它使用dll注入来挂钩API和微过滤器驱动程序来设置与命名管道相关的IRP的回调。