Process Explorer 功能详解

它不只是「好看一点的任务管理器」。下面按界面结构拆开讲：每个区域能看到什么、对应哪个菜单入口、在什么情况下真正有用，以及它做不到什么。

更新：2026-10-19适用版本：Process Explorer v17.x界面语言：英文

本页目录
  1. 功能总览
  2. 进程树与可自定义列
  3. 句柄与 DLL 双窗格
  4. 查找：定位占用者
  5. 属性对话框里的五类证据
  6. 签名与 VirusTotal
  7. 便携与替换任务管理器
  8. 它不擅长的事

功能总览

官方把 Process Explorer 定义为「显示进程打开了哪些句柄、加载了哪些 DLL」的工具。它的全部功能都围绕这条主线展开，而不是一个通用系统优化器。

常用功能的菜单入口与适用场景。不同版本菜单措辞可能略有差异。
功能入口解决什么问题
进程树View → Show Process Tree看清父子关系与启动来源
选择列View → Select Columns加上命令行、签名者、公司等字段
下部窗格View → Show Lower Pane查看句柄或 DLL
窗格模式View → Lower Pane View → Handles / DLLs在对象视角与模块视角间切换
句柄搜索Find → Find Handle or DLL（Ctrl+F）反查谁锁住了文件或目录
进程属性双击进程行或右键 → Properties镜像、性能、线程、环境变量、字符串
签名校验Options → Verify Image Signatures批量标记可执行文件的签名状态
云查询Options → VirusTotal.com按哈希补充多引擎扫描结果
系统信息View → System Information（Ctrl+I）查看分核心 CPU、内存与 I/O 走势
替换任务管理器Options → Replace Task Manager让 Ctrl+Shift+Esc 直接打开它
置顶Options → Always On Top（Ctrl+T）排查时窗口不被遮挡
挂起进程右键 → Suspend / Resume保留现场而不是直接结束

进程树与可自定义列

进程列表默认以树形展示，子进程缩进挂在父进程下面。这条缩进关系比 PID 更有用：看到某个可疑进程时，能顺着缩进往上翻，找到它是被谁拉起的——是资源管理器、某个服务宿主，还是一个已经退出的安装程序。

列可以按需增减。排查不同问题时常用的组合不一样：

  • CPU 类问题：CPU、CPU History、Threads、Command Line。
  • 内存类问题：Private Bytes、Working Set、Virtual Size、Peak Private Bytes。
  • 安全研判：Company Name、Verified Signer、Image Path、Command Line、User Name。
  • 文件占用：不需要加列，直接用句柄搜索。
颜色是有含义的 列表用不同底色区分自有进程、服务进程、.NET 进程、打包（Store）应用、挂起进程等类型。颜色只是辅助线索，判定可疑与否仍要回到路径、签名和命令行上；配色可以在 Options → Configure Colors 里核对含义。
Process Explorer 进程树与列示意：进程、CPU、内存、公司
进程树示意：缩进表示父子关系，右侧为资源与来源信息列。

句柄与 DLL 双窗格

这是 Process Explorer 和其他任务管理器最本质的区别：它能看到进程「握着什么」。

句柄模式（Handles）

列出选中进程打开的内核对象：文件、目录、注册表键、事件、互斥体、命名管道、节对象等，并显示对象名称与类型。文件删不掉时，看的就是这里。

DLL 模式（DLLs）

列出进程已加载的 DLL 与内存映射文件，包括路径与版本信息。用于排查模块版本冲突、异常注入和「某个 DLL 被谁加载着」。

右键下部窗格中的一行，可以把该对象所在目录直接打开，或复制对象名称；部分对象类型还支持关闭句柄。关闭句柄属于强制操作，可能让目标进程异常退出或数据损坏，只建议在确认对象可丢弃时使用。

不要用关闭句柄代替正常释放 对正在写入的文件强制关闭句柄，可能造成日志截断、数据库文件损坏。优先顺序是：确认占用进程用途 → 正常停止对应服务或应用 → 最后才考虑强制手段。

查找：从对象反查进程

倒过来想一个问题：不是「这个进程打开了什么」，而是「谁打开了这个文件」。Find → Find Handle or DLL（Ctrl + F）就是入口，输入文件名或路径的一段即可，结果会列出持有该对象的进程名、PID 与对象类型。

搜索的几个实用细节：

  • 输入部分文件名即可，不区分大小写，但要求英文与路径拼写一致。
  • 搜索的是「当前已打开的句柄」与「已加载模块」，瞬时打开又关闭的文件可能搜不到。
  • 被杀软、索引服务、备份代理短暂占用的情况，建议在操作触发的同一时间点搜索。
  • 结果窗口支持双击跳回主列表，直接定位到对应进程。

完整流程见：文件被占用无法删除的排查步骤

Process Explorer 查找句柄与定位进程的流程示意
从对象名反查进程，再回到主列表确认。

属性对话框里的五类证据

双击任意进程会打开属性窗口，多个选项卡分别回答不同的问题。研判一个不熟悉的进程时，按下面的顺序看效率最高。

属性选项卡的用途。选项卡是否出现与进程类型有关，例如 .NET 相关选项卡只对托管进程显示。
选项卡能看到什么用来判断
Image完整路径、命令行、当前目录、父进程、启动时间、版本与公司信息是不是从正常位置启动、参数是否异常
PerformanceCPU、内存、I/O、句柄数与线程数的实时值是否持续增长（疑似泄漏）
Threads每个线程的起始地址、状态、CPU 时间哪个线程在吃 CPU
TCP/IP该进程的网络端点与连接状态是否有异常外联
Security进程令牌、所属账户与权限是否以过高权限运行
Environment进程实际继承的环境变量路径劫持、代理配置异常
Strings从镜像中提取的可读字符串粗略判断程序用途或内嵌地址

这些信息单独看都只是线索。可靠的做法是交叉验证：路径正常但签名失效、签名正常但父进程可疑、父进程正常但外联地址陌生——组合起来才有判断价值。

签名与 VirusTotal

两个可选功能，都需要在选项里手动开启，且都需要联网或读取本地证书链。

Verify Image Signatures

开启后对列表中的可执行文件做签名校验，并新增「Verified Signer」列。它不会告诉你文件是否安全，只告诉你镜像是否被正确签名、签名者是谁。

建议常开 用它能很快发现「伪装成系统进程但签名缺失」的情况。

VirusTotal 查询

在 Options → VirusTotal.com 中勾选后，会上传镜像的哈希用于比对，并在列表中显示检出数量。首次使用需要通过官方条款确认。

注意隐私 需要联网与第三方服务；对涉密环境，应关闭此功能。

两者都不是「安全认证」 有合法签名的软件也可能被滥用（例如被利用的签名工具）；VirusTotal 的检出数也只是多引擎结果的汇总。它们的作用是降低误判成本，而不是给出结论。

便携运行与替换任务管理器

官方发布的是一个 ZIP 包，解压后直接双击 procexp.exe 即可运行，不安装服务、不写注册表、不常驻。你可以把它放在 U 盘或工具箱目录里，在任意一台机器上临时使用。

如果希望长期使用，可以打开 Options → Replace Task Manager，之后按 Ctrl + Shift + Esc 会打开 Process Explorer 而不是系统任务管理器。该设置可以随时取消。

需要处理系统进程、服务进程或其他用户会话时，必须以管理员身份启动；否则部分进程的句柄、路径与签名信息会显示不全或无法读取。

适合放哪里 单独的排查工具目录（例如 D:\tools\procexp），避免放进系统目录或与安装型软件混放，便于日后核对版本。
不要长期开着 它以较高频率刷新整个进程与句柄快照，在低配机器上会带来可观测的 CPU 开销。排查结束后关闭即可。

它不擅长的事

把工具用对，比把工具用熟更重要。以下场景请换工具。

需要记录事件流

Process Explorer 给的是「此刻的快照」。要回答「刚才这 3 秒谁在读这个注册表键」，应使用 Process Monitor。

需要管理开机启动项

启动项、计划任务、服务的完整清单与禁用操作属于 Autoruns 的职责，Process Explorer 只能看到它们启动后的进程。

需要清理而不是诊断

它不做垃圾清理、驱动更新、启动加速。把「结束进程」当清理手段，通常会触发自动重启循环，问题依旧。

相关：Sysinternals 工具套件怎么搭配使用、Process Explorer 与任务管理器的 12 项对比。

先拿到官方版本，再对照功能逐项验证

下载页包含官方地址、系统要求与文件核对方法。

查看下载说明

继续阅读

使用教程从下载到第一次完整排查的分步说明。 CPU 占用排查排序、线程、父子进程的定位路径。 文件占用排查句柄搜索与强制释放的风险。