开机慢、登录后一堆进程
Autoruns 看自启动项与服务 → Process Explorer 看这些条目对应的进程是否有签名、路径是否异常 → Process Monitor 开着过滤条件记录一次开机过程，看哪些文件访问耗时最长。
Sysinternals 工具套件与 Process Explorer 的搭配
Process Explorer 只回答「此刻是什么」。真实排障往往还要回答「刚才发生了什么」「谁让它在开机时启动」「它连去了哪里」。这正好是同一个工具集里其他工具负责的部分。
Sysinternals 是什么
Sysinternals 是 Mark Russinovich 创建的一套 Windows 系统诊断工具集，现由 Microsoft 维护，通过 Microsoft Learn 与 Sysinternals Live 免费发布。它不提供一键优化，而是把 Windows 的底层机制暴露出来：进程、句柄、驱动、注册表访问、网络连接、内存分布。
Process Explorer 是其中知名度最高的一个，但只用一个工具很容易卡在「看得见现象、拿不到证据」的位置。
常用工具的分工
| 工具 | 回答什么问题 | 与 Process Explorer 的关系 |
|---|---|---|
| Process Explorer | 现在有哪些进程、它们握着什么 | 快照与入口 |
| Process Monitor | 刚才这几秒，谁访问了哪个文件、注册表键或网络地址 | 把快照变成时间线 |
| Autoruns | 开机、登录、计划任务里都挂了多少东西 | 回答「它为什么在启动」 |
| TCPView | 哪个进程连着哪个地址、端口状态如何 | 补上连接视角 |
| RAMMap | 物理内存被谁占了，待机与修改页占用多少 | 内存异常的量化依据 |
| Sigcheck | 文件版本、签名、哈希是否可信 | 批量核验签名与哈希 |
| Handle | 命令行查某文件被谁打开 | 句柄搜索的无界面版本 |
| ListDLLs | 命令行列进程加载了哪些 DLL | DLL 模块视角的批量版 |
| ProcDump | 在指定条件下抓取进程转储 | 需要调用栈证据时的下一步 |
| PsTools | 本地/远程执行命令、列进程、结束进程 | 批量与远程运维 |
| AccessChk | 某个账户或组对哪些对象有权限 | 排查权限拒绝 |
| Sysinternals Suite | 全部工具打包下载 | 一次性备齐工具箱 |
三套实战组合
怀疑进程被替换或伪装
Process Explorer 看路径、命令行、父进程与签名 → Sigcheck 核验哈希与签名链 → TCPView 看是否外联 → Process Monitor 记录它落地的文件与注册表改动。
内存越用越少、疑似泄漏
Process Explorer 看 Private Bytes 是否持续单调增长 → RAMMap 看物理内存构成 → 确认泄漏后用 ProcDump 抓转储，交给调试工具分析调用栈。
怎么获取
| 方式 | 适用 | 说明 |
|---|---|---|
| 单个工具下载 | 只需要 Process Explorer | 从 Microsoft Learn 对应页面下载 ZIP |
| Sysinternals Suite | 需要整套工具箱 | 一个压缩包包含数十个工具，体积较大 |
| Sysinternals Live | 临时使用、不落地 | 通过 \\live.sysinternals.com\tools\ 或 https 地址直接运行 |
Process Explorer 本体仍建议下载到本地工具目录，长期复用；其他工具按需取用即可。
使用前必须知道的三件事
一、这些工具权限很高
它们能读取进程内存、加载驱动、远程执行命令。部分能力会被安全软件判定为风险行为（尤其是 ProcDump、PsExec 一类），这是工具本身的性质，不代表文件被感染。
二、只在有授权的机器上使用
远程执行、抓取转储、读取其他用户进程都可能涉及合规问题。生产环境使用前应确认变更流程与数据留存要求。
三、只从官方渠道获取
这些工具的知名度很高，二次打包版本在网络上大量流传。核对签名者是否为 Microsoft，是成本最低的一道防线。
从哪个工具开始
如果只打算装一个，就装 Process Explorer：它覆盖了日常八成的「为什么」。当你开始频繁需要「刚才发生了什么」，再补 Process Monitor；当问题指向自启动与残留，补 Autoruns；当问题指向内存与外联，补 RAMMap 与 TCPView。
先把最常用的那个装好
Process Explorer 免安装，解压后即可使用。
夸克网盘 App 扫码
百度网盘 App 扫码