如何从Windows进程完整转储文件中获取句柄信息（WinDbg调试场景）

1. 查看转储文件中的句柄列表是否需要开启内核调试？ #

不需要。用户模式进程转储的句柄信息属于用户态调试范畴，仅需要转储文件包含进程句柄表相关数据即可，不需要开启内核调试权限。
你之前遇到的内核调试相关报错，是因为误用了kdexts内核调试扩展模块的命令，!devhandles、!handles属于内核调试专用命令，仅适用于内核态转储、实时内核调试场景，不能用于用户态进程转储。

2. 任务管理器生成的完整转储是否支持内核调试？还是需要采用其他方式生成转储？ #

任务管理器生成的是用户模式进程完整转储，不包含内核全局数据，不支持内核调试。
如果仅需要排查当前进程的句柄泄漏问题，任务管理器生成的转储本身已经足够包含进程句柄相关信息，不需要更换转储生成方式。如果确实需要内核级调试数据，需要通过LiveKD抓取系统内核转储、采集系统崩溃转储等方式获取。

3. 如何判断转储文件是否包含句柄相关信息？ #

用WinDbg打开转储文件后，执行!dumpminidumpinfo命令，查看输出的MinidumpStreamType列表中是否存在HandleDataStream项，存在就说明转储包含完整的句柄表信息。
也可以执行||命令查看转储属性，输出中如果包含User mini dump: Full字样，说明是完整用户态转储，默认会包含句柄数据。

4. 如何正确使用!handle命令？ #

使用前先执行.unload kdexts卸载之前加载失败的内核调试扩展，再执行.load ext加载正确的用户态调试扩展，再执行对应命令：

• 列出进程所有句柄：!handle 0 0
• 仅列出指定类型的句柄（以文件句柄为例）：!handle 0 0 File，注意句柄类型首字母大写
• 查看单个句柄的详细信息：!handle [句柄十六进制值] f，示例：!handle 0x2c f
  特殊注意：如果当前转储对应32位进程，在64位WinDbg中需要先执行.effmach x86切换到32位调试模式，再执行上述命令。

5. 是否有其他替代方案，例如使用Visual Studio或其他工具实现需求？ #

存在多个可替代的方案：

• Visual Studio 2019及以上版本：直接打开转储文件，选择「调试本机代码」进入调试状态后，可在即时窗口执行和WinDbg语法一致的!handle命令，也可以通过菜单栏「调试」->「窗口」->「句柄」可视化查看所有句柄的类型、引用计数、关联对象信息。
• Process Explorer：直接打开转储文件即可在主界面看到按类型分类的句柄列表，不需要记忆调试命令，适合快速排查。
• 如果可以获取远程机器的实时访问权限，可直接使用Process Explorer、Handle.exe工具查看运行中进程的句柄信息，不需要抓取转储。

内容的提问来源于stack exchange，提问作者tamir