Process Explorer可直观查看进程树、定位真实路径、逆向追踪句柄、PowerShell导出结构化进程数据、靶标图标捕获未知窗口进程。
一、使用 Process Explorer 以树形视图直观查看进程父子关系
Process Explorer 是微软官方提供的增强型进程监视工具，其核心优势在于以实时、可交互的树形结构呈现所有进程的启动依赖关系，父进程与子进程层级清晰可见，便于识别异常启动链或隐蔽服务。
1、访问微软 Sysinternals 官网下载 Process Explorer：https://learn.microsoft.com/zh-cn/sysinternals/downloads/process-explorer。
2、解压 ZIP 文件后，**双击 procexp64.exe（推荐64位系统）直接运行，无需安装**。
3、启动后默认即为树形视图；若显示为扁平列表，点击左上角树形图标（ resembling a folder hierarchy）切换回树状模式。
4、观察左侧进程节点前的三角箭头：展开后可见全部子进程；父进程名加粗显示，子进程缩进排列，颜色标识其类型（如粉红为服务进程、淡紫为当前用户进程）。
5、将鼠标悬停在任一进程节点上，底部状态栏实时显示该进程 PID、父 PID、映像路径及启动命令行。
二、启用“命令行”与“映像路径”列精准定位进程真实来源
仅靠进程名称（如 svchost.exe 或 conhost.exe）无法判断其合法性，启用关键列可揭示完整执行上下文，避免误判系统关键进程。
1、在 Process Explorer 主界面顶部标题栏（如“Name”“PID”所在行）右键 → 选择“Select Columns…”。
2、在弹出窗口中切换至“Process Image”选项卡。
3、勾选以下三项：Image Path、Command Line、Verified Signer；点击“确定”应用。
4、此时列表新增三列：Image Path 显示可执行文件绝对路径；Command Line 显示完整启动参数；Verified Signer 显示数字签名验证结果（“Microsoft Windows”或“Microsoft Corporation”为可信）。
5、按 Ctrl+F 调出搜索框，输入可疑路径关键词（如“Temp”、“AppData\Local\Low”），快速高亮匹配进程树根节点。
三、利用“查找句柄或 DLL”功能逆向追踪进程行为源头
某些进程本身不显眼，但通过占用特定文件、注册表项或注入 DLL 实施恶意行为。该方法可穿透进程树表层，定位其实际操作对象。
1、在主界面右键目标进程 → 选择“Properties”打开属性窗口。
2、切换至“Strings”选项卡，Process Explorer 将扫描该进程内存镜像中的可读字符串。
3、在 Strings 内容区按 Ctrl+F 搜索关键词，例如：“.exe”、“.dll”、“http”、“regedit”、“C:\Users”，识别可疑加载模块或远程通信痕迹。
4、返回主界面，点击菜单栏View → Lower Pane View → Handles，下方面板即显示该进程当前打开的所有句柄。
5、在 Handles 列表中查找类型为File、Key、Event、Section的条目，双击某一行可反向定位到占用该资源的线程及调用栈。
四、通过 PowerShell 关联 Win32_Process 获取结构化进程树数据
PowerShell 提供面向对象的查询能力，可导出带父进程 ID（ParentProcessId）的完整进程快照，适用于脚本化分析或日志留存。
1、以管理员身份启动 PowerShell（右键开始按钮 → “Windows Terminal (Admin)”）。
2、执行命令获取全部进程及其父子关系：Get-CimInstance Win32_Process | Select-Object Name, ProcessId, ParentProcessId, CreationDate, CommandLine | Sort-Object ParentProcessId。
3、为聚焦某类进程，添加过滤条件：例如筛选所有 chrome.exe 及其子树，运行：Get-CimInstance Win32_Process | Where-Object {$_.Name -match "chrome"} | ForEach-Object { $_; Get-CimInstance Win32_Process | Where-Object {$_.ParentProcessId -eq $_.ProcessId} }。
4、将结果导出为 CSV 便于后续分析：追加 | Export-Csv -Path "$env:USERPROFILE\Desktop\process_tree.csv" -NoTypeInformation。
5、打开生成的 CSV 文件，按 ParentProcessId 列排序，即可人工构建出完整的树状层级结构。
五、使用靶标图标（Crosshair）实时捕获未知窗口对应进程
当发现弹窗、悬浮广告或无标题窗口无法识别归属时，该功能可瞬间锁定其宿主进程并展开其整个启动树，无需猜测或反复排查。
1、在 Process Explorer 界面左上角找到靶标图标（Crosshair，形似准星）。
2、鼠标左键按住该图标不放，拖动至目标窗口任意位置（如弹窗标题栏或空白区域）。
3、松开鼠标，Process Explorer 自动高亮并滚动至该窗口所属进程，并自动展开其父进程链直至根节点（通常为 explorer.exe 或 svchost.exe）。
4、右键该高亮进程 → 选择“Properties”，在“Image”标签页确认其路径与签名；在“Strings”标签页检查是否含可疑域名或路径。
5、如需进一步分析，右键该进程 → 选择“Create Dump” → “Full dump”，生成内存转储文件供离线深度检测。
