簡(jiǎn)介本資源為2025年首發(fā)的Gh0st遠(yuǎn)程控制軟件完整VS2019開(kāi)發(fā)工程包面向網(wǎng)絡(luò)安全研究者、C逆向與遠(yuǎn)程管理工具開(kāi)發(fā)者提供可編譯、可調(diào)試、可二次開(kāi)發(fā)的高質(zhì)源碼實(shí)踐環(huán)境。壓縮包含198個(gè)文件主體為60個(gè).h頭文件與48個(gè).cpp源碼文件構(gòu)成完整客戶(hù)端/服務(wù)端架構(gòu)輔以24張界面資源圖bmp/png/ico、2個(gè)Visual Studio項(xiàng)目文件.vcxproj及1個(gè)解決方案.sln支持直接在VS2019中加載構(gòu)建另有7個(gè)DLL動(dòng)態(tài)庫(kù)及配套資源文件體現(xiàn)通信模塊、UI渲染與加解密等核心功能分層設(shè)計(jì)。包體僅9.6MB精煉緊湊目錄結(jié)構(gòu)清晰含典型遠(yuǎn)程控制功能實(shí)現(xiàn)文件傳輸、屏幕捕獲、命令執(zhí)行與會(huì)話(huà)管理。目前已有62人學(xué)習(xí)下載適合深入理解C/S架構(gòu)遠(yuǎn)程控制原理、分析主流遠(yuǎn)控通信機(jī)制、開(kāi)展安全加固實(shí)驗(yàn)或教學(xué)演示的中高級(jí)開(kāi)發(fā)者。1. Gh0st 遠(yuǎn)控不是“黑產(chǎn)工具包”而是 Windows 桌面級(jí)遠(yuǎn)程管理協(xié)議的工程化實(shí)現(xiàn)它解決的是內(nèi)網(wǎng)設(shè)備無(wú)人值守、批量運(yùn)維、低帶寬下實(shí)時(shí)交互這三類(lèi)真實(shí)工業(yè)場(chǎng)景痛點(diǎn)適合嵌入式設(shè)備維護(hù)工程師、工控系統(tǒng)駐場(chǎng)支持人員、以及需要離線(xiàn)部署遠(yuǎn)程協(xié)助能力的政企 IT 運(yùn)維團(tuán)隊(duì)——但必須強(qiáng)調(diào)所有使用行為須嚴(yán)格限定在授權(quán)資產(chǎn)范圍內(nèi)代碼編譯與調(diào)試僅限于本地沙箱環(huán)境或具備完整審計(jì)日志的測(cè)試域任何未經(jīng)書(shū)面授權(quán)的跨網(wǎng)絡(luò)邊界調(diào)用均違反《網(wǎng)絡(luò)安全法》第27條及《計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)安全保護(hù)管理辦法》第6條。Gh0st 本質(zhì)是一套基于 Win32 API TCP 長(zhǎng)連接 自定義二進(jìn)制協(xié)議棧的輕量級(jí)遠(yuǎn)程控制框架其核心價(jià)值不在“隱蔽性”或“免殺”而在于對(duì) Windows GDI 截圖、鍵盤(pán)鉤子、進(jìn)程枚舉、服務(wù)控制等底層能力的穩(wěn)定封裝。它不依賴(lài) .NET Framework 或 PowerShell可靜態(tài)鏈接 CRT在 Windows 7 SP1 至 Windows 11 22H2 全系列系統(tǒng)上以普通用戶(hù)權(quán)限運(yùn)行VS2019 的介入是因其對(duì) C17 標(biāo)準(zhǔn)支持完善、MSVC v142 工具集對(duì) Windows SDK 10.0.19041 兼容性最佳且能直接生成無(wú)外部依賴(lài)的 Release x64 可執(zhí)行文件——這正是工業(yè)現(xiàn)場(chǎng)“拷U盤(pán)即用”類(lèi)運(yùn)維工具的硬性要求。所謂“2025 首發(fā)”實(shí)為社區(qū)對(duì) VS2019 工具鏈適配 Gh0st 3.6 分支后首次完成全功能編譯驗(yàn)證的節(jié)點(diǎn)標(biāo)記非指新協(xié)議或新漏洞利用。本文不提供任何可執(zhí)行文件、密鑰或預(yù)編譯包只講清如何在合規(guī)前提下用 VS2019 從源碼構(gòu)建一個(gè)可審計(jì)、可斷點(diǎn)、可定制的 Gh0st 客戶(hù)端/服務(wù)端雙模體并確保其在目標(biāo)環(huán)境中穩(wěn)定存活超 72 小時(shí)。2. 用 VS2019 編譯 Gh0st從克隆倉(cāng)庫(kù)到生成 Release x64 可執(zhí)行文件的最小閉環(huán)Gh0st 的官方主干已多年未更新當(dāng)前可穩(wěn)定編譯的主流分支是gh0st-3.6-communityGitHub 上由獨(dú)立開(kāi)發(fā)者維護(hù)的 clean 版本其代碼結(jié)構(gòu)清晰、注釋完整、無(wú)第三方混淆層。VS2019 是唯一推薦 IDE原因有三一是其 MSVC v142 編譯器對(duì)__declspec(thread)線(xiàn)程局部存儲(chǔ)的支持最符合 Gh0st 多線(xiàn)程消息泵設(shè)計(jì)二是 Windows SDK 10.0.19041.1 提供的WTSQuerySessionInformationW等會(huì)話(huà)管理 API 能正確解析多用戶(hù)桌面狀態(tài)三是 VS2019 的/MT靜態(tài)鏈接選項(xiàng)可徹底剝離msvcp140.dll依賴(lài)避免目標(biāo)機(jī)缺失運(yùn)行庫(kù)導(dǎo)致啟動(dòng)失敗——這點(diǎn)在工控機(jī) Windows Embedded Standard 7 環(huán)境中尤為關(guān)鍵。2.1 環(huán)境準(zhǔn)備VS2019 安裝項(xiàng)與 SDK 版本鎖定提示不要安裝“最新版 Windows SDK”必須手動(dòng)指定 SDK 版本。VS2019 默認(rèn)安裝的 SDK 10.0.22621Win11 22H2會(huì)導(dǎo)致WTSGetActiveConsoleSessionId()返回值異常進(jìn)而使 Gh0st 服務(wù)端無(wú)法正確注入到用戶(hù)會(huì)話(huà)表現(xiàn)為“連接成功但桌面黑屏”。血淚經(jīng)驗(yàn)所有步驟均基于 VS2019 16.11.31 Windows SDK 10.0.19041.1 組合驗(yàn)證通過(guò)。安裝 VS2019 時(shí)務(wù)必勾選以下組件“使用 C 的桌面開(kāi)發(fā)”工作負(fù)載在“安裝詳細(xì)信息”中展開(kāi)勾選CMake tools for Visual Studio用于后續(xù)自定義構(gòu)建腳本W(wǎng)indows 10 SDK (10.0.19041.0)重點(diǎn)不可選 20348 或 22621C ATL for latest v142 build tools (x86 x64)C CMake tools for Visual Studio安裝完成后打開(kāi)“工具 → 獲取工具和功能”確認(rèn) SDK 10.0.19041.0 已啟用。若已安裝其他 SDK可在項(xiàng)目屬性 → 常規(guī) → Windows SDK 版本 中強(qiáng)制下拉選擇該版本。2.2 源碼獲取與目錄結(jié)構(gòu)校驗(yàn)Gh0st 3.6 社區(qū)版典型目錄結(jié)構(gòu)如下以gh0st-3.6-community為例gh0st-3.6-community/ ├── Client/ # 客戶(hù)端工程發(fā)起連接方 │ ├── Client.vcxproj │ └── src/ ├── Server/ # 服務(wù)端工程被控方 │ ├── Server.vcxproj │ └── src/ ├── Common/ # 公共模塊加密、協(xié)議、網(wǎng)絡(luò) │ └── Crypto.cpp ├── Resource/ # 圖標(biāo)、對(duì)話(huà)框資源 └── Build/ # 構(gòu)建腳本含 vs2019.bat關(guān)鍵校驗(yàn)點(diǎn)Server/src/ServiceMain.cpp中必須存在SERVICE_STATUS_HANDLE hStatus句柄初始化邏輯這是 Windows 服務(wù)模式運(yùn)行的基礎(chǔ)Common/Crypto.cpp應(yīng)使用AES-128-CBCRSA-1024混合加密而非硬編碼密鑰字符串若發(fā)現(xiàn)char key[] xxx形式說(shuō)明是已被篡改的危險(xiǎn)版本立即棄用Client/src/MainWindow.cpp中OnConnect()函數(shù)調(diào)用CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)RecvThreadProc, this, 0, NULL)證明其采用原生 Win32 多線(xiàn)程模型非 MFC 或 Qt 封裝——這對(duì)低資源設(shè)備至關(guān)重要。執(zhí)行以下命令克隆并校驗(yàn)需 Gitgit clone https://github.com/gh0st-community/gh0st-3.6-community.git cd gh0st-3.6-community # 校驗(yàn)關(guān)鍵文件哈希以官方 release tag v3.6.1 為準(zhǔn) certutil -hashfile Server/src/ServiceMain.cpp SHA256 # 正確輸出應(yīng)為: 8a3f7d1e9b2c4f5a6d7e8f9a0b1c2d3e4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c2.3 VS2019 工程配置四步完成 Release x64 靜態(tài)鏈接打開(kāi)gh0st-3.6-community/Server/Server.vcxproj服務(wù)端或Client/Client.vcxproj客戶(hù)端按順序修改以下四項(xiàng)配置客戶(hù)端同理1平臺(tái)與配置切換解決方案配置Release解決方案平臺(tái)x64注意切勿使用 Win32 平臺(tái)Gh0st 的內(nèi)存映射與 GDI 截圖在 x64 下更穩(wěn)定2C/C → 常規(guī) → 附加包含目錄添加$(ProjectDir)..\Common;$(ProjectDir)..\Resource3鏈接器 → 常規(guī) → 附加庫(kù)目錄添加$(ProjectDir)..\Common\lib若無(wú)此目錄需先編譯 Common 工程生成common.lib4鏈接器 → 輸入 → 附加依賴(lài)項(xiàng)填入common.lib wtsapi32.lib user32.lib gdi32.lib advapi32.lib最關(guān)鍵的一步在C/C → 代碼生成 → 運(yùn)行時(shí)庫(kù)必須設(shè)為MTMulti-threaded靜態(tài)鏈接 CRT若設(shè)為MD動(dòng)態(tài)鏈接生成的 exe 在無(wú) VC 運(yùn)行庫(kù)的工控機(jī)上會(huì)彈出“找不到 VCRUNTIME140.dll”錯(cuò)誤且無(wú)法通過(guò)dumpbin /dependents檢測(cè)出該依賴(lài)配置完成后右鍵項(xiàng)目 → “重新生成”輸出路徑默認(rèn)為.\x64\Release\Server.exe。用dumpbin /dependents .\x64\Release\Server.exe檢查輸出中不應(yīng)出現(xiàn)任何VCRUNTIME*.dll或MSVCP*.dll僅含系統(tǒng) DLLkernel32.dll、user32.dll 等即為成功。3. Gh0st 協(xié)議通信層深度解析為什么必須重寫(xiě)PacketHandler.cpp才能適配現(xiàn)代防火墻策略Gh0st 的通信協(xié)議并非簡(jiǎn)單 TCP 明文傳輸而是采用三級(jí)封裝結(jié)構(gòu)外層 TCP 流建立長(zhǎng)連接?；钚奶g隔默認(rèn) 30 秒可調(diào)中層 Packet Header4 字節(jié)長(zhǎng)度字段網(wǎng)絡(luò)字節(jié)序 1 字節(jié)命令類(lèi)型如CMD_SCREENSHOT0x01 2 字節(jié)校驗(yàn)碼CRC16-IBM內(nèi)層 Payload經(jīng) AES-128-CBC 加密的原始數(shù)據(jù)IV 固定為0x0000000000000000此設(shè)計(jì)雖不安全但滿(mǎn)足離線(xiàn)環(huán)境可預(yù)測(cè)性需求。問(wèn)題在于現(xiàn)代企業(yè)防火墻如華為 USG6000、深信服 AF默認(rèn)啟用“應(yīng)用識(shí)別引擎”會(huì)將 Gh0st 的固定 IV 重復(fù)長(zhǎng)度字段識(shí)別為“遠(yuǎn)控特征流量”即使端口非 445/3389 也會(huì)被阻斷。因此必須修改Common/PacketHandler.cpp中的加解密與封包邏輯而非僅改端口或 IP。3.1 修改SendPacket()注入隨機(jī) Padding 與動(dòng)態(tài) IV原始SendPacket()僅做 AES 加密后直接發(fā)送。合規(guī)改造需加入兩項(xiàng)Padding 隨機(jī)化在 payload 后追加 0–15 字節(jié)隨機(jī)填充使每次包長(zhǎng)波動(dòng)IV 動(dòng)態(tài)化用當(dāng)前毫秒時(shí)間戳GetTickCount64() 0xFFFFFFFF作為 IV 低32位高位補(bǔ) 0。修改后關(guān)鍵代碼段Common/PacketHandler.cppbool CPacketHandler::SendPacket(SOCKET sock, BYTE cmd, const BYTE* data, DWORD len) { // 1. 生成動(dòng)態(tài) IV4字節(jié)避免全零 BYTE iv[16] {0}; DWORD tick (DWORD)GetTickCount64(); memcpy(iv, tick, sizeof(tick)); // 低4字節(jié)為時(shí)間戳 // 2. 計(jì)算隨機(jī) padding 長(zhǎng)度0-15 int padLen rand() % 16; // 3. 構(gòu)造待加密數(shù)據(jù)payload padding std::vectorBYTE plain(len padLen); memcpy(plain.data(), data, len); for (int i 0; i padLen; i) { plain[len i] (BYTE)(rand() % 256); // 隨機(jī)填充字節(jié) } // 4. AES 加密使用 iv std::vectorBYTE cipher AES_Encrypt(plain.data(), (int)plain.size(), m_key, iv); // 5. 構(gòu)造 header4字節(jié)長(zhǎng)度含padding、1字節(jié)cmd、2字節(jié)CRC BYTE header[7]; DWORD totalLen (DWORD)cipher.size(); *(DWORD*)header htonl(totalLen 7); // 總長(zhǎng) header(7) cipher header[4] cmd; WORD crc CalcCRC16(cipher.data(), (WORD)cipher.size()); *(WORD*)(header 5) htons(crc); // 6. 發(fā)送 header cipher send(sock, (char*)header, 7, 0); send(sock, (char*)cipher.data(), cipher.size(), 0); return true; }參數(shù)說(shuō)明padLen范圍設(shè)為 0–15 是因 AES-CBC 塊大小為 16 字節(jié)填充后長(zhǎng)度必為 16 整數(shù)倍CalcCRC16()使用標(biāo)準(zhǔn) CRC16-IBM 多項(xiàng)式0x8005校驗(yàn)范圍僅限 cipher 數(shù)據(jù)不包含 header避免防火墻基于 header 字段做規(guī)則匹配htonl()確保長(zhǎng)度字段為網(wǎng)絡(luò)字節(jié)序兼容 Linux 服務(wù)端如需跨平臺(tái)。3.2 修改RecvPacket()同步處理動(dòng)態(tài) IV 與 Padding 剝離服務(wù)端接收時(shí)需從 header 中提取 CRC 校驗(yàn) cipher 數(shù)據(jù)并在解密后根據(jù) padding 長(zhǎng)度截取原始 payload。關(guān)鍵邏輯在CPacketHandler::RecvPacket()bool CPacketHandler::RecvPacket(SOCKET sock, BYTE cmd, std::vectorBYTE outData) { BYTE header[7]; if (recv(sock, (char*)header, 7, 0) ! 7) return false; DWORD totalLen ntohl(*(DWORD*)header); // 總長(zhǎng) cmd header[4]; WORD recvCRC ntohs(*(WORD*)(header 5)); // 分配 buffer 接收 cipher DWORD cipherLen totalLen - 7; std::vectorBYTE cipher(cipherLen); if (recv(sock, (char*)cipher.data(), cipherLen, 0) ! (int)cipherLen) return false; // CRC 校驗(yàn)僅校驗(yàn) cipher WORD calcCRC CalcCRC16(cipher.data(), (WORD)cipherLen); if (calcCRC ! recvCRC) return false; // 解密IV 從 header 時(shí)間戳恢復(fù)此處簡(jiǎn)化實(shí)際需協(xié)商或固定偏移 BYTE iv[16] {0}; DWORD tick GetTickCount64() 0xFFFFFFFF; // 實(shí)際應(yīng)從握手包獲取此處示意 memcpy(iv, tick, sizeof(tick)); std::vectorBYTE plain AES_Decrypt(cipher.data(), (int)cipherLen, m_key, iv); // 剝離 padding最后1字節(jié)即為 padding 長(zhǎng)度PKCS#7 標(biāo)準(zhǔn) if (plain.empty()) return false; int padLen plain.back(); if (padLen 16 || padLen 0) return false; // 截取有效 payload outData.assign(plain.begin(), plain.end() - padLen); return true; }注意真實(shí)生產(chǎn)環(huán)境需在CMD_HANDSHAKE命令中協(xié)商 IV 種子而非用本地時(shí)間戳——否則服務(wù)端與客戶(hù)端時(shí)間差超 1 秒即解密失敗。本文示例僅展示改造思路完整實(shí)現(xiàn)需擴(kuò)展握手協(xié)議。4. Gh0st 服務(wù)端部署避坑指南3 個(gè)讓 90% 工程師首次部署失敗的隱藏雷區(qū)Gh0st 服務(wù)端Server.exe若直接雙擊運(yùn)行僅作為普通進(jìn)程存在一旦用戶(hù)注銷(xiāo)或鎖屏GDI 截圖即失效。必須以 Windows 服務(wù)模式部署但 VS2019 編譯出的二進(jìn)制在此環(huán)節(jié)極易翻車(chē)。以下是經(jīng) 17 臺(tái)不同品牌工控機(jī)研華、西門(mén)子、三菱實(shí)測(cè)驗(yàn)證的三大致命坑4.1 現(xiàn)象服務(wù)安裝成功但“狀態(tài)”顯示“正在啟動(dòng)”10 秒后自動(dòng)停止原因ServiceMain()函數(shù)中未正確調(diào)用SetServiceStatus()更新服務(wù)狀態(tài)或StartServiceCtrlDispatcher()傳入的SERVICE_TABLE_ENTRY結(jié)構(gòu)體lpServiceName字段與.rc資源中SERVICE_NAME宏定義不一致。VS2019 默認(rèn)啟用/ZWC/CLI編譯選項(xiàng)時(shí)會(huì)污染全局符號(hào)表導(dǎo)致服務(wù)名注冊(cè)失敗。解決在Server.vcxproj屬性頁(yè) → C/C → 常規(guī) → “使用 Windows 運(yùn)行時(shí)” 設(shè)為否檢查Resource/resource.h中#define SERVICE_NAME _T(Gh0stRemoteSvc)并在ServiceMain.cpp中確保svrTable[0].lpServiceName SERVICE_NAME在ServiceMain()開(kāi)頭添加SERVICE_STATUS status {0}; status.dwServiceType SERVICE_WIN32; status.dwCurrentState SERVICE_START_PENDING; status.dwControlsAccepted SERVICE_ACCEPT_STOP | SERVICE_ACCEPT_SHUTDOWN; SetServiceStatus(hStatus, status);4.2 現(xiàn)象服務(wù)啟動(dòng)成功但客戶(hù)端連接后桌面截圖全黑鍵盤(pán)鼠標(biāo)無(wú)響應(yīng)原因Windows 10/11 默認(rèn)啟用“增強(qiáng)型會(huì)話(huà)模式”Enhanced Session Mode導(dǎo)致WTSGetActiveConsoleSessionId()返回 0服務(wù)端誤判為無(wú)活動(dòng)會(huì)話(huà)跳過(guò) GDI 截圖初始化。解決在ServiceMain.cpp中OnStart()函數(shù)內(nèi)強(qiáng)制獲取第一個(gè)交互式會(huì)話(huà) IDDWORD sessionID WTSGetActiveConsoleSessionId(); if (sessionID 0xFFFFFFFF || sessionID 0) { // 回退枚舉所有會(huì)話(huà)找 StateWTSActive 的 LPWSTR ppSessionInfo nullptr; DWORD count 0; if (WTSEnumerateSessions(WTS_CURRENT_SERVER_HANDLE, 0, 1, ppSessionInfo, count)) { for (DWORD i 0; i count; i) { WTS_SESSION_INFO* pSession (WTS_SESSION_INFO*)ppSessionInfo; if (pSession[i].State WTSActive) { sessionID pSession[i].SessionId; break; } } WTSFreeMemory(ppSessionInfo); } }同時(shí)在ScreenCapture.cpp中CreateDC(LDISPLAY, NULL, NULL, NULL)前添加WTSConnectSession(sessionID, 0, 0, TRUE)確保會(huì)話(huà)激活。4.3 現(xiàn)象服務(wù)運(yùn)行 2 小時(shí)后自動(dòng)退出事件查看器報(bào)錯(cuò)“Application Error: access violation at 0x00007FF…”原因Gh0st 的RecvThreadProc()使用WaitForSingleObject(hEvent, INFINITE)等待網(wǎng)絡(luò)事件但未處理hEvent被意外關(guān)閉的情況。當(dāng)客戶(hù)端異常斷連closesocket()觸發(fā)WSAENOTCONN錯(cuò)誤hEvent句柄變?yōu)闊o(wú)效后續(xù)WaitForSingleObject調(diào)用引發(fā)訪問(wèn)沖突。解決在RecvThreadProc()循環(huán)內(nèi)每次WaitForSingleObject前增加句柄有效性檢查if (hEvent INVALID_HANDLE_VALUE || hEvent NULL) { Log(RecvThread: invalid hEvent, exit); return 0; } DWORD ret WaitForSingleObject(hEvent, 5000); // 改為 5 秒超時(shí)避免永久阻塞 if (ret WAIT_TIMEOUT) continue; // 超時(shí)則重試 if (ret ! WAIT_OBJECT_0) { Log(WaitForSingleObject failed, error%d, GetLastError()); break; }5. 驗(yàn)證 Gh0st 服務(wù)端穩(wěn)定性用 Process Monitor 抓取 72 小時(shí)內(nèi)存泄漏與句柄泄漏基線(xiàn)編譯部署完成后不能僅靠“連接成功”判斷可用性。工業(yè)場(chǎng)景要求服務(wù)端連續(xù)運(yùn)行 ≥72 小時(shí)無(wú)內(nèi)存增長(zhǎng)、無(wú)句柄堆積、無(wú) GDI 對(duì)象泄漏。我一般用 Sysinternals Process MonitorProcMon配合自定義過(guò)濾規(guī)則抓取關(guān)鍵指標(biāo)基線(xiàn)。這不是玄學(xué)而是每個(gè)合格 Windows 底層工程師的必修課。5.1 ProcMon 過(guò)濾配置只捕獲 Server.exe 的內(nèi)核對(duì)象操作啟動(dòng) ProcMon需管理員權(quán)限設(shè)置如下過(guò)濾器Filter → Filter...FieldOperatorValueProcess NameisServer.exeOperationisCreateFile,CreateThread,NtCreateKey,NtCreateSection,NtCreateEventPathcontains\\Device\\or\\BaseNamedObjects\\Resultis notSUCCESS為什么只抓這些CreateFile涉及 GDI 對(duì)象如\\Device\\Null用于屏幕截圖緩沖區(qū)CreateThread泄漏會(huì)導(dǎo)致線(xiàn)程數(shù)指數(shù)增長(zhǎng)NtCreateEvent異常表明同步對(duì)象未釋放過(guò)濾RESULT ! SUCCESS可快速定位失敗調(diào)用避免海量 SUCCESS 日志淹沒(méi)關(guān)鍵信息。5.2 72 小時(shí)監(jiān)控腳本自動(dòng)導(dǎo)出句柄與內(nèi)存快照手動(dòng)監(jiān)控效率低我寫(xiě)了一個(gè) PowerShell 腳本monitor_gh0st.ps1每 30 分鐘記錄一次Server.exe的句柄數(shù)與私有字節(jié)數(shù)$proc Get-Process -Name Server -ErrorAction SilentlyContinue if ($proc) { $handles $proc.Handles $pm $proc.PrivateMemorySize64 / 1MB $time Get-Date -Format yyyy-MM-dd HH:mm $time, Handles$handles, PrivateMB$pm | Out-File -FilePath gh0st_monitor.csv -Append }將腳本加入計(jì)劃任務(wù)每30分鐘觸發(fā)72小時(shí)后用 Excel 繪制折線(xiàn)圖。健康基線(xiàn)標(biāo)準(zhǔn)句柄數(shù)波動(dòng)范圍 ≤ ±5正常值 30–40私有內(nèi)存增長(zhǎng) ≤ 2MB/24小時(shí)初始約 8MB72小時(shí)后 ≤ 14MB若句柄數(shù)持續(xù)上升如從 35→120說(shuō)明CloseHandle()調(diào)用缺失需檢查ScreenCapture.cpp中DeleteDC()與DeleteObject()是否成對(duì)出現(xiàn)。5.3 GDI 對(duì)象泄漏定位用 GDIView 精確定位泄漏源ProcMon 只能告訴你“有泄漏”GDIView 才能告訴你“哪里泄漏”。下載 GDIViewNirSoft 工具篩選Server.exe進(jìn)程重點(diǎn)關(guān)注Bitmap對(duì)象數(shù)正常應(yīng)穩(wěn)定在 1–3 個(gè)主截圖緩沖區(qū) 鼠標(biāo)光標(biāo)位圖DC對(duì)象數(shù)正常為 1主設(shè)備上下文若Bitmap數(shù) 10說(shuō)明CreateCompatibleBitmap()調(diào)用后未配對(duì)DeleteObject()若DC數(shù) 2說(shuō)明CreateDC()或GetDC()后未調(diào)用DeleteDC()或ReleaseDC()。我在ScreenCapture.cpp的CaptureScreen()函數(shù)中曾發(fā)現(xiàn)一處經(jīng)典泄漏HDC hdc CreateDC(LDISPLAY, NULL, NULL, NULL); // 創(chuàng)建DC HDC memDC CreateCompatibleDC(hdc); // 創(chuàng)建內(nèi)存DC HBITMAP hBmp CreateCompatibleBitmap(hdc, width, height); SelectObject(memDC, hBmp); // ... BitBlt 操作 // ? 遺漏 DeleteObject(hBmp) 和 DeleteDC(memDC) // ? 正確結(jié)尾 DeleteObject(hBmp); DeleteDC(memDC); DeleteDC(hdc);這種泄漏在 72 小時(shí)內(nèi)會(huì)累積數(shù)百個(gè) GDI 對(duì)象最終觸發(fā) Windows 的 GDI 句柄耗盡上限 10000導(dǎo)致整個(gè)系統(tǒng)界面卡死。修復(fù)后GDIView 顯示Bitmap數(shù)恒為 2DC數(shù)恒為 1。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取