windbg检测句柄泄露（定位到具体代码）

末蓝、 2022-08-10 08:59 325阅读 0赞

1.构造一个测试用例

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  \#include "stdafx.h"
2.  \#include <Windows.h>
3.  
4.  **void** NormalFunc() 
5.  \{ 
6.  **HANDLE** hEvent; 
7.   hEvent = CreateEvent(NULL,TRUE,TRUE,NULL); 
8.   CloseHandle(hEvent); 
9.  \} 
10. 
11. **void** HandleLeakFunc() 
12. \{ 
13. **HANDLE** hEvent; 
14.  hEvent = CreateEvent(NULL,TRUE,TRUE,NULL); 
15. //CloseHandle(hEvent); //有句柄泄露
16. \} 
17. 
18. **int** main() 
19. \{ 
20. **while**(1) 
21.  \{ 
22.  NormalFunc(); 
23.  HandleLeakFunc(); 
24.  Sleep(200); 
25.  \} 
26. 
27. **return** 0; 
28. \}

2.windbg调试

（1）运行windbg，首先确定符号表地址填写OK了。

（2）我们选择"Open Executable"再选择上述测试用例生成的exe，可能在实际工程中经常是"Attach to a process"。再看任务管理器会发现这个进程的句柄数飙升：

![SouthEast][]

（3）windbg用ctrl+break命令中断进程运行，用!htrace -enable命令开启句柄检测；htrace命令提供了进行句柄检测相关的命令，可查看windbg帮助，如图：

![SouthEast 1][]

（4）再使用!htrace -snapshot命令，获得此时进程句柄的镜像。让程序继续运行。

（5）中断进程运行，使用!htrace -diff命令获得当前句柄状态与第4步 snapshot镜像句柄的差异；

![SouthEast 2][]

（6）输出很多打开的句柄，需要具体情况具体分析，最好对照代码来看。这里是测试，所以比较简单，一眼就看出来了。

（7）使用lsa 传递指定位置对应的代码，lsa Lab2010\_2!HandleLeakFunc+0x00000012

![SouthEast 3][]

总结一下，就是3个命令：

!htrace -enable

!htrace -snapshot

//do something

!htrace -diff

[view plain]: http://blog.csdn.net/yockie/article/details/40603511#
[CODE]: https://code.csdn.net/assets/CODE_ico.png
[CODE_CODE]: https://code.csdn.net/snippets/501476
[ico_fork.svg]: https://code.csdn.net/assets/ico_fork.svg
[ico_fork.svg 1]: https://code.csdn.net/snippets/501476/fork
[SouthEast]: /images/20220731/bc6c7201ccc343769c8447ca26029145.png
[SouthEast 1]: /images/20220731/e1a9421f24ef4b38adb73ed7e72edb96.png
[SouthEast 2]: /images/20220731/32e20a18b2b4489cba7d00ecf418ddca.png
[SouthEast 3]: /images/20220731/2c14335592624b719f21eb35d6ce93f4.png