Windows 是多任务操作系统，有很多程序同时在后台运行。当你看到机箱灯在频繁闪烁，可能会想要知道磁盘当前正在被哪个程序写入、删除或修改。有些操作是你主动发起的，所以对其知情，如​​文件下载、​​视频编码、防病毒扫描等，但有些操作​​隐藏于后台，​​在你不知情的情况下修改了磁盘。

全面监控文件的读写是可行的，但并不实用，自己监视所有这些活动是一项艰巨的任务，但如果有现成的软件帮助你找出正在​​创建或修改​​的文件，就可以节省大量的时间。幸运的是，本文介绍的10个工具可以帮你解决此问题，它们可以监视磁盘/文件/文件夹变化的相关动作，可用于跟踪磁盘使用情况、逆向工程或者软件分析。所有工具都在Windows 10和Windows 7 64位中进行了测试。

​本文所有软件下载：​​https://share.weiyun.com/BiWyDn8M​​​

1. Watch 4 Folder

Watch 4 Folder 是一款功能强大的文件夹监视和自动化实用程序，它可以做到：

触发警告信息可以是桌面弹出窗口、出现在系统托盘上方的自定义警告窗口，也可以执行另一个程序，并使用变化的对象作为参数输入。这些事件可以写入外部日志文件，或通过Live log选项卡查看。按“Apply”应用，然后在“Watch List”(监视列表)选项卡上按“Start”开始监视。

Watch 4 Folder 维护一个实时日志，记录每一个事件、行动或设置变化。运行于后台托盘，占用资源很少，并可以使用命令行参数以不同的配置启动。免费版只能监视1个文件夹，付费版最多可以同时监视4个文件夹，除此以无其它限制。Watch 4 Folder 是便携程序，兼容 XP ~ Win10 。

一个例子：

监视某文件夹，如果在其下新创建了新文件，就调用Outlook将该文件作为附件发送。

创建你的批处理，在其中添加一行： 

其中”subject=“之后的”Scanned Document“替换为你的主题，[email protected] 替换为你的邮件地址。

接下来运行 W4F 并进行设置：

① 单击“本机照片”文件夹，再勾选“File Create”（文件创建）事件，这将监控”本机照片“文件夹的文件创建过程，如果还要监控其下的子文件夹就勾选 Watch sub-folders。

② 勾选“Execute a program,batch or script: ” 选择批处理文件，以便在新建文件时自动执行。

③ 勾选"Add changed object name as argument" （将更改的对象添加为参数），选择“File Create - file name“ 将新建文件的文件名作为参数返回给批处理，本例的批处理参数表示为 %1。

④ 点击”Watch list“选项卡，单机Start开始监控。

资源1：命令行发送邮件的程序：​​http://www.blat.net/​​​​​

资源2：如果要监控IP地址的变化，见​​这篇博客。​​

​​Download Watch 4 Folder​​

2. Disk Pulse

Disk Pulse 实时监视磁盘变化。可监视一个或多个磁盘或目录、可将监视报告通过 ODBC 接口输出到 SQL 数据库，可在检测到未经授权的磁盘更改时发送电子邮件通知。

Disk Pulse 有5个版本：4个付费版和1个功能受限的免费版。令人烦恼的是，官方没有说明那些功能受限。据我们的测试，电子邮件通知、数据库日志记录和自定义操作被禁用，且限制为只有3个配置文件。但文件类型监视、过滤器、类别和规则不被禁用。

Disk Pulse 会监视文件/文件夹的创建、修改、重命名和删除，更精细的控制如名称、大小、时间和属性变化由 Porfiles（配置文件）选项控制。尽管免费版只有三个可用的 Porfiles，但可以在每个 Porfiles 中添加多个要监控的文件夹。双击 Porfiles 进入选项可添加多个排除文件夹、规则并编辑事件/主监视器类型选项。

Charts（图表）选项显示漂亮的条形图或饼图，可以打印、保存或复制到剪贴板。Save 以几种不同的格式输出报告。Wizard（向导）按钮提供了一些为特定场景预先配置的配置文件，例如对图片文件、新创建的文件或Windows系统文件的监控。

注意：一个可能的错误是，如果 Disk Pulse 连续处理几千个事件（例如解压缩或复制文件），会在没有警告的情况下退出，请尽量确保你所选的文件夹在监控期间不会有这种类型的活动。

Disk Pulse 一直在活跃开发，适用于从 XP 到 2022 全系列 Windows 版本。

​​​Download Disk Pulse​​​​

3. Directory Monitor

Directory Monitor 可用于监视文件夹和网络共享文件夹，并实时通知文件的更改，访问，删除，修改，新建文件和不活动等状态，可以检测到进行更改的用户和进程；Directory Monitor 还提供文本日志，事件触发执行脚本/应用程序，电子邮件，写入数据库，声音通知，打印等自动化功能。

尽管 Directory Monitor 的免费版本仍然给力，但还是有大量的功能保留给付费版本。与 Disk Pulse不同，被限制的功能都列在了网站上，包括发送电子邮件、数据库选项、声音事件、打印、不活动事件、快照、用户事件监控、作为服务运行、在后台执行程序以及Growl通知。

可以在文本框中右键→新增，或点击“新增”按钮快速添加文件夹进行监控，在进行一番规则设置之后，即可监控文件/文件夹的删除、修改、重命名和文件访问动作；可添加多个文件夹到监控列表，包括网络共享文件夹。

目录监控选项还提供“排除”和“包含”过滤器，记录到文本文件，以及在对事件执行文件，其它的功能对于免费版都是禁用的。如果你不希望每次记录事件时都出现系统通知框，请进入文件>选项，关闭或增加间隔时间。Directory Monitor 提供便携版和安装版，支持中文，持续开发中，适用于XP ~ 10。

​​​Download Directory Monitor​​​​

4. TheFolderSpy

该程序是一个小巧的便携程序，只有120KB，能同时监控多个文件夹，可以监视文件的创建、删除、属性改变、访问日期以及大小的变化。从主页下载的文件是一个RAR压缩包，所以你需要​​​第三方工具解压，如WinRAR或7-Zip​​​，Windows 10用户需要.NET框架3.5。

TheFolderSpy 有通配符选项用以监视特定类型的文件，尽管一次只能监视一种。一个相当有用的功能是事件被触发时给你发送邮件，显然这只适用于稀有事件。任何被触发的事件都会显示在主窗口中，可选动作是记录日志文件、系统托盘气泡弹出或执行一个程序，包括音频文件。

​​​Download TheFolderSpy ​​​

5. Folder Monitor

这是一个300KB左右的便携程序，可监控文件和文件夹的创建、更改、重命名和删除等事件，一旦检测到变化就会被触发。Windows 7用户将需要.NET Framework 4.5或以上版本。

双击程序即进入托盘，双击托盘图标打开监控文件夹窗口，右键选择 "Add folder "添加文件夹，或选择“Add path” 添加路径，可添加（监视）多个文件夹。在条目上右键 → Options，在这里选择哪些事件被监控，包括创建、更改、改名和删除，当事件触发就执行外部命令，也可添加包含/排除过滤器。每个被监视的文件夹都有自己独立的选项。

可以监视本地驱动器和共享文件夹（同时监视多个），如果某个远程位置在一段时间内无法访问，FolderMonitor 会尝试重新连接到该文件夹。

右键托盘图标有更多的功能，这些是全局的，会影响所有被监视的文件夹，比如更改通知的样式（视觉通知或声音通知）。Folder Monitor支持命令行参数，可以在About选项中找到，支持Win10。

​​​Download Folder Monitor​​

6. Phrozen Windows Files Monitor

尽管 Phrozen 网站不再列出甚至提及这款工具，但 Windows Files Monitor 仍然可用。这是款便携程序，可以监控近 20 个不同的事件，包括属性、创建、删除、重命名、更新和关联。还有一些其他系统事件，如驱动器和介质添加/删除、网络共享/取消共享和服务器断开连接。

默认监控所有已安装的驱动器，若要禁用驱动器请进入 settings > Drives to Monitor。但我们发现驱动器选择有点问题，而且选项不稳定，你可以在 Filters Manager 菜单下指定特定的文件扩展名和特定的目录，这样操作更加稳定。

需按 Record（记录）开始监控，结果将以列表或树状格式显示在窗口中，结果可导出为文本日志文件。

​​​Download Phrozen Windows Files Monitor​​​

7. FolderChangesView

FolderChangesView 是​​​Nirsoft​​​出品的一款小巧、简单、便携的实用工具，可以实时监控文件、文件夹或整个驱动器，也包括远程网络共享文件夹（只要你拥有对该文件夹的访问权限），会显示出哪些文件正在被修改、创建、删除或重命名。FolderChangesView 提供事件触发后播放声音、在新的/更新的项目上执行命令或脚本，在特定的时间间隔内以文本、HTML或XML格式保存日志文件。

初次启动会弹出一个窗口，要求输入要监控的 Base folders(基本文件夹)，以逗号分隔，可选监控所有子文件夹。还有文件夹排除列表和文件显示/隐藏通配符。文件夹排除列表允许可以只添加部分文件夹名称或文件名。

主窗口将以列表的形式展现出自监测开始以来被修改、创建、重命名或删除的所有文件，并为每个文件列出可能的操作计数器。还会显示其他信息，如文件的完整路径、扩展名、所有者和事件时间。使用工具栏上的按钮可以很容易地停止或开始监测。兼容任何版本的 Windows。

​​​Download FolderChangesView​​​

8. SpyMe Tools

SpyMe Tools 的独特功能是在软件安装之前和之后创建快照以进行比较，这在我们的​​《在Windows中安装软件时跟踪注册表和文件的变化》​​一文中也有提及，它即可以跟踪注册表，也可以实时监控文件夹或整个驱动器。

在工具栏中找到  Current Mode（当前模式）并点击 File Mode 图标，然后点击右边的 Real time Monitor（实时监控 ）图标打开配置窗口，在这里可以监控文件和文件夹的活动，包括创建、删除、重命名、时间戳的变化，也可以禁用文件或文件夹监控。如果需要观察某些类型的文件可以设置通配符，然后切换到 View 选项卡开始监控。

9. Track Folder Changes

这一个非常简单、小巧、便携的工具，没有任何配置选项。它能检测到的文件和文件夹的变化类型也比其他的程序略少，但仍能识别它们何时被创建、修改或删除。Windows 10 会提示安装 .NET Framework 3.5。

默认情况下 Track Folder Changes 会监视整个 C 盘，这显然会产生大量的动作，可以通过 browse（浏览）按钮改为特定的文件夹。所有操作都会实时显示，并且会展开完整的目录树来显示变化。检测到的文件/文件夹的任何改变都用颜色标识：新建文件绿色，修改蓝色，删除橙色。

如果一个文件被重命名，你得到一个橙色和一个绿色的条目，因为程序将其视为旧文件被删除，并在其位置创建一个新文件。你可以通过右键单击条目以打开文、打开文件路径或者复制路径。

​​​Download Track Folder Changes​​​

10. Moo0 File Monitor

这是另一个非常易用的工具。与 Track Folder Changes 类似，一开始运行就实时监控所有的盘符，并把变化显示在主界面，虽然比前者多了一些选项，但并不复杂。Moo0 File Monitor 监视特定驱动器文件/文件夹的创建、写入、重命名和删除动作，可以使用顶部的复选框启用或禁用这些功能。

Moo0 File Monitor 无法监视特定文件夹，只能是整个分区，包括U盘等外部驱动器。一些选项在“视图”菜单中可用，如窗口刷新频率、显示日志大小、窗口皮肤和不同的语言。右下方的“保存日志”按钮将显示日志数据保存为 HTML 网页文件。本软件有便携版和安装版，支持 XP ~ 8，简体中文。

​​​Download Moo0 File Monitor​​​

结语：本文未列出的其他实时监视文件和文件夹的工具包括 ​​​File Watcher Utilities ​​​和 ​​​DaemonFS​​​，​另外广受技术人员欢迎的​​​ Process Monitor​​​ 也可以配置为以某种方式执行这些功能，问题是用它来监控文件和文件夹的创建/删除/重命名操作很繁琐，需要大量使用过滤器功能。