windows下的進程分析

如果你在LINUX下習慣了命令行，相信大家在WINDOWS下也會自然有用命令行(CMD)解決問題的習慣，起碼我感覺自己在處理Windows系統故障時越來越離不開CMD了，今天我給大家介紹一下WINDOWS下的進程分析

一、查看進程與結束進程

CMD下查看進程及結束進程命令

1)查看佔用3389端口的進程號

>netstat –aon | find “3389”

結果如下

可知，進程號爲16376的進程佔用了3389端口

直接查看端口號 c:\windows\system32\drivers\etc\services

還使用命令 tasklist | find“16376”進一步查看16376進程的具體信息。

> tasklist | find “16376”

結果如下

可知16376進程爲svchost.exe。

殺掉進程

> tskill 16376

就可以結束該進程，切斷3389的遠程連接

偶爾碰上Tskill無法結束的進程，大家還可以試試ntsd命令
格式爲: ntsd -c q -p {進程ID｝
參數含義：
-c是表示執行debug命令;
q表示執行結束後退出;
-p 表示後面緊跟着是你要結束的進程對應的PID;

-pn 表示後面緊跟着是你要結束的進程名;

例如：

>ntsd -c q -p 5923

>ntsd -c q -pn wot.exe

如果我們只是查看本地主機進程信息，直接輸入命令即可。如果你要從客戶機遠程查看內網中某臺主機的進程信息。可以這樣來操作。
例如：我們有一臺服務器：
內網地址：10.4.125.211
管理員帳號：administrator
管理員密碼：*********
我們需要在CMD窗口輸入：
tasklist /s 10.4.125.211 /u administrator /p *****
這條命令可以使我們方便的查看到遠程主機的進程運行情況，當然前提是保證RPC服務正常啓動。

二、在命令行下顯示當前進程相對應程序的路徑

WMIC擴展WMI（Windows Management Instrumentation，Windows管理規範） ，提供了從命令行接口和批命令腳本執行系統管理的支持。

C:\users\Administrator>wmic
wmic:root\cli>

這時，在命令行再輸入process

而且程序的一些參數也顯示出來了。

注意第一次執行WMIC命令時，Windows首先要安裝WMIC，然後顯示出WMIC的命令行提示符。

WMIC的使用介紹：

在WMIC命令行提示符上，命令以交互的方式執行。例如，執行下面的命令將關閉正在運行的IE瀏覽器：

process where name='iexplore.exe' call terminate

命令運行結束後，WMIC命令行提示符重新出現。

WMIC也可以按照非交互的模式運行。如果要執行某個單步的任務，或者運行批命令中的一系列WMIC命令，非交互模式就很有用。要使用非交互模式，只要在同一個命令行上啓動WMIC並輸入要執行的命令就可以了。例如，執行cmd.exe打開一個命令行窗口，然後執行下面的命令，就可以輸出連接到tongas1的打印機清單：

wmic /node:tongas1 printer list status

在這個例子中，第一個操作是啓動WMIC，然後是根據/node參數建立一個到tongas1的遠程連接，最後執行一個WMIC命令顯示出打印機狀態信息。命令運行結束後，返回到Windows命令行提示符狀態。

三、進程分析工具

windows的任務管理器是很好的進程查看工具，當然大家還可以使用一些其他工具，比如Kernel Detective 來幫助你檢測、分析、手動修改進程等。