Nein, nun mal im Ernst. Da Windows ja nicht die Option der "show open Files" bietet (bzw. nur sehr sehr eingeschränkt), musst Du Dich auf den Spooler-Service konzentrieren. Je nach Applikation werden die Temp-Dateien entweder in speziellen Verzeichnissen aufbereitet oder direkt in C:\WINNT\TEMP. Das EventMessageFile liegt in WINNT\System32\winspool.drv (also offene Datei) und die Zugriffsdatei des Services liegt unter \System32\spoolsv.exe (wenn in Gebrauch des Hochladens in den Arbeitsspeicher).