Process Explorer

[!info] related notes

• windows-crash-diagnostics
• hardware-diagnostics-moc

[!abstract] 工具定位 观察进程树、CPU、私有内存、数字签名与已打开句柄。

什么时候使用

CPU/内存占用异常、后台进程来源不明、文件被占用无法移动时，查看进程树和句柄。

如何操作并记录证据

1. 检查前提：记录程序路径、签名、命令行、父进程、PID 和 CPU/Private Bytes，先辨别系统服务与用户程序。
2. 最小测试：按资源使用排序并核对 PID、程序路径和签名；需要时搜索被占用文件的句柄。
3. 交叉验证：与任务管理器/资源监视器对比，排查文件占用时使用 Find Handle 并确认同一 PID。
4. 将结果填入 windows-crash-diagnostics 的检测记录，而不是只留下“通过/不通过”。

分发与启动

• E 盘工具包相对位置：Tools/07-System/ProcessExplorer/procexp64.exe。
• 版本按 2026-10-17 整理时本地或官网下载快照固定，不自动追踪更新。
• 当前副本主要供 Windows x64 上便携运行，部分功能仍可能要求管理员权限、运行库或驱动。
• 官方项目入口：打开来源。

误判、局限和风险

结束进程可能导致数据丢失，不能将签名无效简单等同于恶意。

强制结束系统服务可能导致数据丢失或崩溃；观察和终止是不同权限及风险等级。

关联笔记

• 检测方案：windows-crash-diagnostics。
• 相关工具与场景导航：hardware-diagnostics-moc。
• 基础硬件知识入口：hardware-moc。