C++ 如何获取系统当前的全局句柄引用总数监控统计分析应用实战接口调用【实战】-C++-PHP中文网

无法直接用 getprocesshandlecount 查全局句柄数，因其仅返回当前进程的句柄数（读取 peb->numberofhandles），不涉及其他进程或内核句柄表，且存在四舍五入、类型不可区分等问题。

c++ 如何获取系统当前的全局句柄引用总数监控统计分析应用实战接口调用【实战】

Windows 系统没有公开、稳定、跨版本的 API 直接返回“全局句柄引用总数”，GetProcessHandleCount 只能查本进程，NtQuerySystemInformation 中的 SystemHandleInformation 虽然能枚举所有句柄，但代价极高且需管理员权限，不适用于高频监控。

为什么不能直接用 GetProcessHandleCount 查全局句柄数

GetProcessHandleCount 返回的是**当前调用进程**的打开句柄数，不是系统全局总数。它底层读取的是 PEB->NumberOfHandles，完全不涉及其他进程或内核句柄表。很多开发者误以为这是“系统句柄总数”，结果在监控服务中持续上报同一个小数字，完全失去意义。

调用前无需特权，但数据粒度太粗、场景错配
返回值是 DWORD，但实际可能被内核四舍五入（Win10 1903+ 某些版本会返回近似值）
无法区分句柄类型（event、mutex、file、thread…），不利于归因分析

用 NtQuerySystemInformation + SystemHandleInformation 枚举全系统句柄（需提权）

这是目前唯一能在用户态接近“全局句柄总数”的方式，但必须以 SeDebugPrivilege 权限运行，且 SystemHandleInformation 结构体无文档保证，不同 Windows 版本字段偏移可能变化（如 Win11 22H2 已改用 SystemExtendedHandleInformation）。

调用前必须用 OpenProcessToken + AdjustTokenPrivileges 启用 SE_DEBUG_NAME
返回的 SYSTEM_HANDLE_INFORMATION 是变长数组，需循环解析：每个条目含 ProcessId、Handle、ObjectTypeNumber、HandleAttributes、GrantedAccess
统计总数只需累加条目数；按进程聚合需用 std::map<dword size_t></dword> 计数；按类型分类需查 ObjectTypeNumber → 名称 映射表（常见值：2=file, 5=process, 6=thread, 27=event, 29=mutant）
单次调用耗时约 5–50ms（取决于当前句柄总量，>10w 时明显卡顿），不可每秒调用

示例关键片段：

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

NTSTATUS status = NtQuerySystemInformation(
    SystemHandleInformation,
    buffer, bufferSize, &bytesReturned
);
if (status == STATUS_INFO_LENGTH_MISMATCH) {
    // realloc buffer and retry
}
// 解析 buffer: (PSYSTEM_HANDLE_INFORMATION)(buffer + sizeof(ULONG))

更轻量替代方案：通过性能计数器（PerfCounter）间接获取

Windows 性能计数器提供 ObjectsHandles，它反映的是**内核对象句柄总数量**（非精确到引用计数，但趋势一致），无需提权，采样开销极低（微秒级），适合长期监控。

路径格式为 \<hostname>\Objects\Handles</hostname>，本地可用 \localhost\Objects\Handles
需链接 pdh.lib，用 PdhOpenQuery / PdhAddCounter / PdhCollectQueryData
返回值是 PDH_FMT_COUNTERVALUE，value.longValue 即为估计总数（通常比 NtQuerySystemInformation 少 1–5%，因不包含某些内部伪句柄）
注意：该计数器在 Server Core 或 Nano Server 上默认不可用；部分云主机（如 Azure Dv3 系列）因内核裁剪可能缺失

实战建议与易忽略点

真实监控系统中，不要只盯一个数字。句柄泄漏往往表现为“总数缓慢上涨 + 某几个进程句柄数异常高”。应组合使用：

每 30 秒采一次 \Objects\Handles 做趋势报警（阈值建议设为 30000–50000，视服务器负载而定）
每日凌晨低峰期用 NtQuerySystemInformation 全量扫描，输出 top10 高句柄进程 + 各类型分布直方图
对疑似泄漏进程，用 GetProcessHandleCount + EnumProcessHandles（需 DbgHelp）做进程内细查，避免误杀系统服务
特别注意：Windows 10/11 的 Windows Defender 实时保护（MsMpEng.exe）常驻 8k–12k 句柄，属正常行为，勿纳入告警白名单逻辑

最常被跳过的一步：没验证目标机器是否开启 SeDebugPrivilege 策略（组策略 → 安全设置 → 本地策略 → 用户权限分配），导致 NtQuerySystemInformation 静默失败返回 STATUS_ACCESS_DENIED，而日志里只写了“枚举失败”。