Process Explorer.exe的使用

Process Explorer.exe的使用

下载地址

https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer

作用

察看当前主机上的进程信息

使用场景

当需要察看当前主机上有哪些程序在运行，或者察看某个文件被某个进程占用时使用。

工作原理

通过在系统中创建进程快照，然后遍历进程快照中的进程获得其信息然后显示出来。（实质是通过遍历R0层中进程的EPROCESS内核结构组成的双向链表来枚举系统中的进程）

字段及功能介绍

需要使用该软件时只需双击运行即可，初始界面如图:

重要字段信息介绍

何为一个进程

进程名

进程ID(PID)，该进程在主机上的唯一标识符

对该进程的简单描述

进程实体文件的签名情况

进程实体文件的绝对路径

进程实体文件在VirusTotal.com上的扫描结果，例如0/72，解释为72家病毒厂商中有0家对其报毒。

以上只是该进程相关的部分信息，当你想了解关于该进程的更多信息时，可以使用下面的方法选择显示更多信息。

想要显示什么信息，勾选上就行了

重要功能介绍

File按钮

运行命令行，相当于win+r

保存当前主机进程信息

主机操作

Options按钮

验证进程实体文件签名

将进程实体文件在VT上进行检查，下面一条为提交未知文件，不建议勾选。

进程具有特殊属性或者或者在特定状态时具有特定的颜色。

View按钮

察看主机上的资源使用情况，如CPU,GPU占用率，内存使用情况等。


按树状显示进程关系，更能体现进程之间的父子关系。

Process按钮

对某条进程的操作选项，选中某条进程单击process选项（或者右键）就可以就该进程进行操作了，红框中的选项意思依次是：

1，结束该进程。

2，结束进程树，即结束该进程及其子进程。

3，重新启动该进程。

4，暂停该进程。

5，调试该进程，即将该进程附加到调试器中。

6，将该进程空间中的数据dump下来。

7，将该进程的实体文件在VT上进行检查。

8，察看该进程的属性，双击该进程也能察看。

9，在线搜索该进程的实体文件。

双击察看该进程的属性，下面是对其属性中关键字段的说明。

Find按钮

在所有进程中查找句柄或者某个DLL被谁占用，快捷键ctrl+f，只需输入句柄名或者DLL文件名即可。

如：输入DLL名即可找到是哪个进程占用了他。

双击该条目，就能找到其具体的占用信息。

察看进程模块加载及句柄占用情况

察看某条进程加载了哪些模块，快捷键Ctrl+D或者Ctrl+L，Ctrl+L可以关闭此察看窗口。

右键某个模块可以

1，察看其属性。

2，在线搜索其实体文件。

3，使用VT扫描其报毒情况。

察看某条进程占用了哪些句柄，快捷键Ctrl+H。

右键某个句柄可以

1，关闭该句柄，即解除该进程对该句柄的占用。

2，察看该句柄的属性。