调用CloseHandle()后Event仍在Process Explorer可见的原因是什么？

首先需要明确Windows内核对象的生命周期规则：

• 包括Event在内的所有Windows内核对象都采用引用计数机制管理生命周期，每次任意进程打开该对象的句柄，引用计数+1；每次调用CloseHandle关闭对应句柄，引用计数-1，只有引用计数归0时，内核才会真正销毁该对象，从系统中移除。
• 你代码中调用OpenEventA获取的hEvent，只是当前进程持有的该命名Event的句柄副本，调用CloseHandle(hEvent)仅会减少该Event的1次引用计数，只要创建这个Event的源进程（也就是你遍历找到的program.exe）还持有它自己的Event句柄，该Event的引用计数就不会归0，自然会在Process Explorer中持续显示。

• 存在明显的句柄泄漏：OpenProcess返回的hProcess没有调用CloseHandle释放，程序长时间运行会导致当前进程句柄数持续上涨，消耗系统资源。
• 调用OpenEventA时没有做返回值校验，如果该命名Event不存在，后续CloseHandle传入空指针会调用失败。

如果你要让这个Event从系统中消失，需要关闭所有进程持有的该Event的句柄，仅关闭当前进程的副本没有效果，你可以选择两种实现方案：

1. 向program.exe注入代码，在目标进程内部调用CloseHandle关闭它自己持有的Event句柄
2. 调用DuplicateHandle函数，传入目标进程的hProcess和目标进程内的Event句柄值，同时指定DUPLICATE_CLOSE_SOURCE标记，有权限的前提下可以直接关闭目标进程持有的Event句柄

内容的提问来源于stack exchange，提问作者WhimsicalGamez