如果你在LINUX下习惯了命令行,相信大家在WINDOWS下也会自然有用命令行(CMD)解决问题的习惯,起码我感觉自己在处理Windows系统故障时越来越离不开CMD了,今天我给大家介绍一下WINDOWS下的进程分析

一、查看进程与结束进程

CMD下查看进程及结束进程命令

1)查看占用3389端口的进程号

>netstat –aon | find 3389

结果如下

162938315.jpg

可知,进程号为16376的进程占用了3389端口

直接查看端口号 c:\windows\system32\drivers\etc\services

还使用命令 tasklist | find16376”进一步查看16376进程的具体信息。

> tasklist | find 16376

结果如下

163241269.jpg

可知16376进程为svchost.exe

杀掉进程

> tskill 16376

就可以结束该进程,切断3389的远程连接


偶尔碰上Tskill无法结束的进程,大家还可以试试ntsd命令
格式为: ntsd -c q -p {进程ID}
参数含义:
-c是表示执行debug命令;
q表示执行结束后退出;
-p 表示后面紧跟着是你要结束的进程对应的PID;

-pn 表示后面紧跟着是你要结束的进程名;

例如:

>ntsd -c q -p 5923

>ntsd -c q -pn wot.exe


如果我们只是查看本地主机进程信息,直接输入命令即可。如果你要从客户机远程查看内网中某台主机的进程信息。可以这样来操作。
例如:我们有一台服务器:
内网地址:10.4.125.211
管理员帐号:administrator
管理员密码:*********
我们需要在CMD窗口输入:
tasklist /s 10.4.125.211 /u administrator /p *****
这条命令可以使我们方便的查看到远程主机的进程运行情况,当然前提是保证RPC服务正常启动。

165744233.jpg



二、在命令行下显示当前进程相对应程序的路径


WMIC扩展WMI(Windows Management Instrumentation,Windows管理规范) ,提供了从命令行接口和批命令脚本执行系统管理的支持。


C:\users\Administrator>wmic
wmic:root\cli>

这时,在命令行再输入process

170245561.jpg

而且程序的一些参数也显示出来了。


注意第一次执行WMIC命令时,Windows首先要安装WMIC,然后显示出WMIC的命令行提示符。

WMIC的使用介绍:

在WMIC命令行提示符上,命令以交互的方式执行。例如,执行下面的命令将关闭正在运行的IE浏览器:

process where name='iexplore.exe' call terminate

命令运行结束后,WMIC命令行提示符重新出现。

171429602.jpg

WMIC也可以按照非交互的模式运行。如果要执行某个单步的任务,或者运行批命令中的一系列WMIC命令,非交互模式就很有用。要使用非交互模式,只要在同一个命令行上启动WMIC并输入要执行的命令就可以了。例如,执行cmd.exe打开一个命令行窗口,然后执行下面的命令,就可以输出连接到tongas1的打印机清单:
wmic /node:tongas1 printer list status

在这个例子中,第一个操作是启动WMIC,然后是根据/node参数建立一个到tongas1的远程连接,最后执行一个WMIC命令显示出打印机状态信息。命令运行结束后,返回到Windows命令行提示符状态。


三、进程分析工具

windows的任务管理器是很好的进程查看工具,当然大家还可以使用一些其他工具,比如Kernel Detective 来帮助你检测、分析、手动修改进程等。

173502824.jpg