深入 Windows 基础信息收集：本机进程信息篇

阿贾克斯的黎明

于 2025-02-28 23:25:46 发布

阅读量850

点赞数 21

分类专栏：网络安全文章标签： windows

本文链接：https://blog.csdn.net/m0_57836225/article/details/145940211

版权

网络安全专栏收录该内容

786 篇文章

订阅专栏

深入 Windows 基础信息收集：本机进程信息篇

在 Windows 系统的渗透测试与安全防护领域，基础信息收集是极为关键的环节，其中本机进程信息的收集不仅能帮助安全从业者深入了解系统的运行状态，还能为检测潜在威胁、排查安全隐患提供有力支持。接下来，让我们一同深入探究 Windows 下本机进程信息收集的方法与实践。

一、进程信息收集的重要性

进程作为 Windows 系统中程序的执行实例，承载着系统运行和各种应用程序的功能实现。收集本机进程信息，就如同打开一扇观察系统内部活动的窗户，从中我们可以知晓当前系统正在运行哪些程序、它们的运行状态是否正常、是否存在异常或恶意进程等关键信息。这些信息对于渗透测试人员而言，是发现潜在漏洞和攻击入口的重要线索；对于安全防护人员来说，则是及时发现并阻止恶意软件入侵、保障系统安全稳定运行的关键依据。

二、使用任务管理器查看进程信息

在 Windows 系统中，任务管理器是最直观、便捷的查看进程信息的工具。用户只需按下 “Ctrl + Shift + Esc” 组合键，即可快速调出任务管理器。在 “进程” 选项卡中，我们能清晰看到正在运行的各类进程的名称、描述、状态、CPU 使用率、内存使用量等信息。例如，若发现某个进程占用过高的 CPU 资源，导致系统运行缓慢，我们就需要进一步排查该进程是否正常。同时，通过观察进程的描述和发行者信息，也能初步判断其可信度。若出现未知或可疑的进程，这可能意味着系统已遭受恶意软件感染，需及时进行处理。

三、命令行工具收集进程信息

（一）Tasklist 命令

tasklist命令是 Windows 命令行中用于获取进程列表的强大工具。在命令提示符（CMD）中输入 “tasklist”，即可列出当前系统中所有正在运行的进程。它会显示进程的名称、PID（进程标识符）、会话名、会话 #、内存使用量等详细信息。例如：

C:\Users\Admin>tasklist
映像名称                       PID 会话名              会话#       内存使用
========================= ======== ================ =========== ============
System Idle Process              0 Services                   0          8 K
System                           4 Services                   0       1,048 K
smss.exe                       388 Services                   0       1,024 K
csrss.exe                      508 Services                   0       4,240 K

tasklist命令还支持多种参数，以实现更精准的信息筛选。比如，使用 “/FI” 参数可以根据指定条件筛选进程。若要查找所有状态为 “运行中” 的进程，可执行命令 “tasklist /FI "STATUS eq RUNNING"”；若想查看特定名称的进程，如 “notepad.exe”，则使用 “tasklist /FI "IMAGENAME eq notepad.exe"”。

（二）WMIC 命令

Windows Management Instrumentation Command - Line（WMIC）是一个功能更为强大的命令行工具，它可以通过 WMI（Windows Management Instrumentation）管理信息格式来管理和查询系统信息，包括进程信息。使用 WMIC 获取进程信息的命令格式为 “wmic process list brief”，执行该命令后，会以简洁的格式列出进程的基本信息，如进程 ID、名称、路径等：

C:\Users\Admin>wmic process list brief
ProcessId  Name                    Path
1234       notepad.exe             C:\Windows\System32\notepad.exe
5678       explorer.exe            C:\Windows\explorer.exe

此外，WMIC 还支持对进程进行更深入的操作。例如，使用 “wmic process where (name='notepad.exe') call terminate” 命令可以强制终止名为 “notepad.exe” 的进程，在处理异常或恶意进程时非常实用。

（三）PowerShell 命令

PowerShell 作为 Windows 系统下功能强大的脚本语言和命令行工具，在进程信息收集方面也有着出色的表现。通过 “Get - Process” 命令，我们可以获取系统中所有进程的详细信息，包括进程的各种属性，如进程名、ID、CPU 使用率、内存使用情况、启动时间等。例如：

PS C:\Users\Admin> Get - Process
Handles  NPM(K)    PM(K)      WS(K)     CPU(s)     Id  SI ProcessName
-------  ------    -----      -----     ------     --  -- -----------
123      10        2345       4567      0.5        1234 1  notepad
234      15        3456       5678      1.0        5678 1  explorer

如果只想获取特定进程的信息，可在 “Get - Process” 后指定进程名称，如 “Get - Process - Name notepad”。同时，PowerShell 还允许对获取到的进程信息进行灵活的筛选和处理。例如，通过 “Where - Object” 命令筛选出内存使用量大于 100MB 的进程：

PS C:\Users\Admin> Get - Process | Where - Object { $_.WorkingSet64 -gt 100MB }

四、使用第三方工具收集进程信息

（一）Process Explorer

Process Explorer 是一款由 Sysinternals 开发的专业进程查看工具，它提供了比 Windows 任务管理器更为详细和丰富的进程信息。打开 Process Explorer 后，会以树状结构展示系统中的进程，清晰呈现进程之间的父子关系。在进程详细信息窗口中，不仅能看到进程的常规信息，还能深入查看进程的线程、模块、网络连接、句柄等高级信息。例如，通过查看进程的网络连接信息，可以发现哪些进程正在进行网络通信，是否存在异常的网络连接，这对于检测恶意软件的网络活动非常关键。

（二）Autoruns

Autoruns 主要用于查看系统启动时自动运行的程序和进程。它能列出注册表、文件系统、计划任务等多个位置的启动项，并详细显示每个启动项的相关信息，如发布者、描述、启动位置等。通过分析 Autoruns 的扫描结果，我们可以识别出不必要或可疑的启动项，及时禁止它们自动运行，从而提高系统的安全性和启动速度。例如，若发现一个未知的启动项，其发布者信息不明确，且启动位置异常，那么就需要进一步检查该启动项是否为恶意软件的自启动项。

在 Windows 基础信息收集过程中，对本机进程信息的全面、深入收集是至关重要的。无论是使用系统自带的任务管理器、命令行工具，还是借助功能强大的第三方工具，我们都需要熟练掌握其使用方法，以便在不同场景下准确获取所需的进程信息，为系统安全防护和渗透测试工作提供坚实的支持。随着网络安全形势的日益复杂，持续学习和探索新的信息收集技巧与工具，将有助于我们更好地应对各种安全挑战，保障 Windows 系统的安全稳定运行。