windows下的进程分析

如果你在LINUX下习惯了命令行，相信大家在WINDOWS下也会自然有用命令行(CMD)解决问题的习惯，起码我感觉自己在处理Windows系统故障时越来越离不开CMD了，今天我给大家介绍一下WINDOWS下的进程分析

一、查看进程与结束进程

CMD下查看进程及结束进程命令

1)查看占用3389端口的进程号

>netstat –aon | find “3389”

结果如下

可知，进程号为16376的进程占用了3389端口

直接查看端口号 c:\windows\system32\drivers\etc\services

还使用命令 tasklist | find“16376”进一步查看16376进程的具体信息。

> tasklist | find “16376”

结果如下

可知16376进程为svchost.exe。

杀掉进程

> tskill 16376

就可以结束该进程，切断3389的远程连接

偶尔碰上Tskill无法结束的进程，大家还可以试试ntsd命令
格式为: ntsd -c q -p {进程ID｝
参数含义：
-c是表示执行debug命令;
q表示执行结束后退出;
-p 表示后面紧跟着是你要结束的进程对应的PID;

-pn 表示后面紧跟着是你要结束的进程名;

例如：

>ntsd -c q -p 5923

>ntsd -c q -pn wot.exe

如果我们只是查看本地主机进程信息，直接输入命令即可。如果你要从客户机远程查看内网中某台主机的进程信息。可以这样来操作。
例如：我们有一台服务器：
内网地址：10.4.125.211
管理员帐号：administrator
管理员密码：*********
我们需要在CMD窗口输入：
tasklist /s 10.4.125.211 /u administrator /p *****
这条命令可以使我们方便的查看到远程主机的进程运行情况，当然前提是保证RPC服务正常启动。

二、在命令行下显示当前进程相对应程序的路径

WMIC扩展WMI（Windows Management Instrumentation，Windows管理规范） ，提供了从命令行接口和批命令脚本执行系统管理的支持。

C:\users\Administrator>wmic
wmic:root\cli>

这时，在命令行再输入process

而且程序的一些参数也显示出来了。

注意第一次执行WMIC命令时，Windows首先要安装WMIC，然后显示出WMIC的命令行提示符。

WMIC的使用介绍：

在WMIC命令行提示符上，命令以交互的方式执行。例如，执行下面的命令将关闭正在运行的IE浏览器：

process where name='iexplore.exe' call terminate

命令运行结束后，WMIC命令行提示符重新出现。

WMIC也可以按照非交互的模式运行。如果要执行某个单步的任务，或者运行批命令中的一系列WMIC命令，非交互模式就很有用。要使用非交互模式，只要在同一个命令行上启动WMIC并输入要执行的命令就可以了。例如，执行cmd.exe打开一个命令行窗口，然后执行下面的命令，就可以输出连接到tongas1的打印机清单：

wmic /node:tongas1 printer list status

在这个例子中，第一个操作是启动WMIC，然后是根据/node参数建立一个到tongas1的远程连接，最后执行一个WMIC命令显示出打印机状态信息。命令运行结束后，返回到Windows命令行提示符状态。

三、进程分析工具

windows的任务管理器是很好的进程查看工具，当然大家还可以使用一些其他工具，比如Kernel Detective 来帮助你检测、分析、手动修改进程等。