[ 应急响应基础篇 ] 使用 Process Explorer 进程分析工具分析系统进程(附Process Explorer安装教程)

🍬 博主介绍

👨‍🎓 博主介绍:大家好,我是 _PowerShell ,很高兴认识大家~
✨主攻领域:【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯(一键三连)😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限,欢迎各位大佬指点,相互学习进步!

一、环境介绍

在应急响应过程中,进程分析是至关重要的。
这里简单介绍一下windows官方提供的进程分析工具Process Explorer,包含他的简单介绍,下载及其简单使用。

二、Process Explorer介绍

Process Explorer可以看成是一个加强版的任务管理器。
在较早的Windows版本中,任务管理器提供的功能是非常简单的(比如查看CPU、内存的使用情况,强制结束进程等),很难满足我们高级一些的需求。在这种情况下,Process Exploere就应运而生了,大大的方便了我们工作中监测进程和排除故障的工作。
这里我会从实际应用的角度对Process Explorer的一些功能点进行简单的介绍。

三、Process Explorer下载

Process Explorer是微软官方提供的,直接在官网下载就可以了
官网下载:

https://learn.microsoft.com/zh-cn/sysinternals/downloads/process-explorer

四、Process Explorer使用

1、替换任务管理器

Process Explorer提供了相对与任务管理器更加强大实用的功能,所以有的时候就会想着直接把任务管理器给替换掉得了。
Process Explorer提供了这样一个功能,可以在用户触发打开任务管理器的操作的时候直接打开Process Explorer。

1.操作步骤

选项(Options) --> 替换任务管理器(Replace Task Manager)

在这里插入图片描述

2.替换成功

之后在我们运行任务管理器打开的就是Process Explorer了。

3.taskmgr打开

taskmgr

在这里插入图片描述

4.Ctrl+Shift+Del打开

Ctrl+Shift+Del的时候打开任务管理器

在这里插入图片描述

2、查看当前系统中运行的进程

1.树形图展示进程

Process Explorer对进程以树形图的形式进行展示,这样方便我们观察父子进程之间的关系。从这里我们可以看出来,绝大部分的窗体应用程序都是wininit.exe的子进程

在这里插入图片描述

2.颜色标示不同状态的进程

Process Explorer会以不同的颜色标示不同状态的进程

在这里插入图片描述

这里我弄了一个中英文对照,因为我有汉化版,汉化版下载链接在文末给出

在这里插入图片描述

3.选择显示不同字段

我们还可以通过右键点击右侧列头选择显示我们感兴趣的属性

在这里插入图片描述

这里我弄了一个中英文对照,因为我有汉化版,汉化版下载链接在文末给出

在这里插入图片描述

3、查看进程的详细信息

如果我们对某个进程的感兴趣,我们可以双击这个进程查看它的详细信息Command line和Current directory这两个属性比较重要。

Command line: 
启动进程的时候调用的命令。从这里我们可以了解怎么样去调用这个进程,和有关当前进程启动的详细信息。
Current directory: 
当前进程活动所在的文件夹。

在这里插入图片描述

4、查看文件正在被什么进程占用

我们在操作文件(删除、重命名等)的时候遇到错误提示,说文件正在被其他进程占用,无法执行操作。这个时候可以打开Process Explorer对文件进行查找:

Ctrl + f

输入要查找的文件名就可以看到有那些进程正在使用这个文件了,双击搜到的进程Process Explorer会在下面高亮显示出对应的文件句柄。
从这里我们可以强制关闭对应的句柄以达到不让文件被继续占用的目的。

在这里插入图片描述

5、实时监控系统的性能

通过视图(View) --> 系统信息(System Info)我们可以打开Performance窗口查看过去一段时间内系统的性能数据

在这里插入图片描述

我们也可以通过设置把感兴趣的性能数据固定在任务栏里显示

在这里插入图片描述

6、获取Dump文件

Dump文件是进程的内存镜像,通常在进程没有反应或者崩溃的时候我们需要借助Dump文件来分析进程里面发生了什么,Process Explorer提供了一个快捷的方式来获取Dump文件。
直接右键,创建就可以了Create Dump
我们可以根据需要选择获取最小的dump还是完整的dump文件。

在这里插入图片描述

7、官方文档

Process Explorer是很强大的,还有很多的功能这里就不详细介绍了,有需要的可以看官方文档,链接如下

https://windowsexplored.com/2012/01/31/resolve-symbols-in-process-explorer-monitor-without-installing-the-debugging-tools/

五、相关资料

1、Process Explorer英文版
2、Process Explorer中文版
3、Process Explorer官方文档

  • 5
    点赞
  • 12
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
一个能实现类似超线程功能的软件Process Tamer,电脑防死机专家,能让CPU拥有超线程能力的软件。 超线程技术让Intel处理器获得性能提升,同时让CPU工作效率更快。但是只有部分Intel用户才能享受这一功能,对于AMD以及Intel非超线程CPU而言,超线程技术对他们似乎就无缘了。事实上,超线程技术不仅提升了性能,同时也具有资源分配功能,该功能可以带来更快的程序执行效率。这因为如此我们才有幸借助Process Tamer这款软件,让非超线程CPU摇身一变为超线程CPU。 实现原理 在赛扬D、低端P4以及AMD处理器上,并没有采用超线程技术,这样用户就享受不到超线程技术带来的好处,但Process Tamer软件可以成全这些用户。该软件的工作原理是自动调节进程优先级,并自动判断应用程序对处理器的占用率,再由占用率进而自动调整软件的执行优先权,并将适当的资源分配给其他正在同时执行的应用程序;等到该其他软件执行结束或是不再一直占用CPU资源后,就会自动调回CPU使用率,这样的工作原理正类似超线程技术。 实现方法 运行Process Tamer软件后,软件会以最小化的方式运行在任务栏托盘,当检测到CPU资源占用过高时,会自动降低对应程序的优先级,同时显示如图1所示的弹出消息。当对应程序占用过高的CPU资源被释放后,软件会还原程序运行的优先级,这样就充分利用了CPU的资源,让CPU工作的效率更快。 但有时进行一些更复杂的工作时,比如3D游戏、图形处理软件、视频电影播放以及DVD光盘刻录等,此时我们不希望软件进行自动调整程序优先级,那么可以手动进行设置,用鼠标有键点任务栏右小角的“Process Tamer”图标,然后选择“Configure”进入软件主界面 进入“Process”选项卡,首先可以看到目前正在运行的程序进程,同时显示了各程序所占用CPU资源的情况,如果你不希望某个程序进行自动调整程序优先级,可以鼠标左键点“Priority”旁边的三角箭头,然后在下拉菜单下选择对应程序的优先程度,其中“IGNORE”表示忽略该程序,不调整该程序的优先级;“HIGH”表示高优先级;“IDLE”表示低优先级;“KILL”表示关闭应用程序。 如果你希望预设某个特殊软件,比如你经常用Realplay播放网上电影,希望对Realplay进行特殊性能优化以获得更流畅的播放速度,那么可以进入“Configuration”选项卡,然后点“浏览”图标选择Realplay安装目录下的Realplay.exe执行文件,接着按自己的需要设置好参数,最后点选“Start with Windows”让每次开机时自动运行 Process Tamer,正如其名,“进程驯服手”,大概作者的原意就是把不驯服的进程当野兽一样驯服,所以称 Process Tamer。网络上一直流传 Process Tamer 是(HT)超线程能力的软件,其实这是以讹传讹,Process Tamer 离超线程差得有十万八千里,不知这“超线程”一说从何而来。不过话又说回来,Process Tamer 确实有其独到之处,它独到在哪里呢?独到在它会自动调整进程的优先级,在某些进程狂吃 CPU 的时候把它降低,在不足的时候又把它调高,这样,就把电脑死机的可能性降到了最低,再也不会出现打开一个软件直接让电脑重启的情况了。基于这一点,把 Process Tamer 称为“电脑防死机专家”。有了 Process Tamer,会大大降低你的电脑死机的

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

_PowerShell

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值