1
获取并解压官方压缩包
从 Microsoft Sysinternals 下载 ProcessExplorer.zip，解压到一个独立的工具目录，例如 D:\tools\procexp。包里通常包含 32 位与 64 位两个可执行文件和一个许可说明文件，直接运行对应位数的程序即可。
核对方式：右键可执行文件 → 属性 → 数字签名，确认签名者为 Microsoft。完整说明见 下载中心。
Process Explorer 使用教程：七步完成一次排查
不需要记命令，也不需要读完全部文档。下面这条路径覆盖了八成以上的日常场景：找到异常进程、弄清它的来历、确认它动了什么、最后再决定怎么处理。
开始前的两个准备
1. 先保存正在编辑的文件
排查过程可能涉及结束或挂起进程。结束一个正在写盘的程序，代价往往是未保存的内容。
2. 想清楚「排查」还是「处置」
排查只是收集信息，风险很低；处置（结束、挂起、关闭句柄）才可能影响业务。建议先完整走完前六步，再动手。
另外提醒一句：Process Explorer 能读取系统中几乎所有进程的信息，它本身就是一个高权限工具。请只从官方渠道获取，并确认文件带有微软签名。
2
以管理员身份运行
右键 procexp.exe → 「以管理员身份运行」。普通权限下，服务进程、系统进程与其他用户会话的信息会显示不全，句柄搜索也会漏掉结果。
如果长期使用，可以在 Options → Replace Task Manager 中设为默认，之后 Ctrl + Shift + Esc 直接打开它。
3
看懂上下两个窗格
上部是进程树：缩进代表父子关系，右侧是各种指标列。下部默认可能是收起的，用 View → Show Lower Pane 打开，再用 View → Lower Pane View 在 Handles（句柄）与 DLLs（模块）之间切换。
下部窗格跟着上方选中的进程走。选中哪个进程，下面显示的就是它持有的对象。
4
按 CPU 或内存列排序
点击列头排序。CPU 看瞬时占用，Private Bytes 看私有提交内存（排查泄漏更准），Working Set 看当前驻留的物理内存。异常项通常集中在列表顶部。
找到异常项后不要急着结束，先看它的缩进位置：父进程是谁，往往决定了它是正常业务还是可疑程序。
5
打开属性，收集四类证据
双击进程打开属性窗口，按这个顺序看：Image 里的完整路径、命令行、父进程与启动时间；Performance 里的内存与句柄数是否持续增长；Threads 里哪个线程在消耗 CPU；TCP/IP 与 Security 确认外联与权限。
路径在
%Temp%、Downloads 或用户目录下，却自称是系统组件，这类矛盾是最值得追的信号。6
用 Find Handle or DLL 查占用
文件删不掉时，按 Ctrl + F 打开搜索窗，输入文件名或路径中的一段，例如 report.docx，结果会列出持有该文件的进程。双击结果可以跳回主列表。
完整流程与风险说明见 文件被占用排查。
7
确认影响后再处置
处置有三档：先尝试正常停止对应服务或应用；需要保留现场时用右键 Suspend 挂起；确认无业务影响后才使用 Kill Process。结束进程树会连带结束子进程，操作前要看清缩进范围。
挂起是排查中很实用的一招：进程不再消耗 CPU，但仍保留句柄与内存，便于观察系统反应。
操作速查表
常用功能的菜单路径，照着点即可。不同版本菜单措辞可能略有差异。
| 想做的事 | 操作路径 | 备注 |
|---|---|---|
| 打开下部窗格 | View → Show Lower Pane | 默认可能关闭 |
| 切换句柄 / DLL | View → Lower Pane View | 两个视角共享同一选中进程 |
| 增加命令行列 | View → Select Columns → Process Image → Command Line | 建议常开 |
| 校验签名 | Options → Verify Image Signatures | 会新增 Verified Signer 列 |
| 查文件占用 | Find → Find Handle or DLL | 快捷键 Ctrl + F |
| 看分核心 CPU | View → System Information | 快捷键 Ctrl + I |
| 窗口置顶 | Options → Always On Top | 快捷键 Ctrl + T |
| 结束整棵进程树 | Process → Kill Process Tree | 会连带子进程，慎用 |
四个实战场景
同一套界面，不同场景的入手点不一样。下面只写「第一步看哪里」和「怎么下结论」。
CPU 一直跑满
先按 CPU 排序，记下第一名；看它下面是否有子进程；再看 Threads 里是单线程还是多线程在跑。若是系统进程占用高，多半和处理驱动、杀软实时扫描有关。
文件或日志删不掉
用 Ctrl + F 搜文件名，注意结果里的对象类型是 File 还是 Directory；找到进程后优先关闭对应应用，而不是直接关句柄。
进程名看着像系统组件
对照完整路径与签名者。真正的系统组件通常位于 System32 且有微软签名；同名但路径在用户目录、签名缺失的，基本可以判定为伪装。
应用启动不了，怀疑 DLL
选中目标进程切到 DLL 模式，比对加载路径，常见原因是同名 DLL 被替换或版本冲突；看不到进程时，用 Process Monitor 记录加载过程更有效。
三个常见误区
误区一：结束进程就等于解决问题
结束只是打断症状。若进程由服务、计划任务或自动恢复机制拉起，它会在几秒内重新出现，真正的修复要落到配置源头。
误区二：进程名对得上就是安全的
进程名可以随意伪造。路径、签名者、命令行参数与父进程，四者组成的证据链才可靠。
误区三：CPU 列的数字可以直接和任务管理器对比
两者统计口径与刷新频率不同，数值存在差异是正常的。判断趋势比判断瞬时值更有意义。
准备好可以上手了
下载官方 ZIP 包，按上面七步走一遍。
夸克网盘 App 扫码
百度网盘 App 扫码