process monitor怎么用

process monitor怎么用

Process Monitor 是一款用于监控系统进程活动的工具，可实时跟踪进程的文件、注册表、网络等操作，以下是具体使用步骤：

在 Architecture 下拉框中选择 Process Name。

在输入框中填写要分析的应用程序名称（如 notepad.exe）。

点击 Add 添加过滤规则，最后点击右下角的 Apply 应用设置。此步骤可筛选特定进程的活动，避免无关信息干扰。

程序是否通过修改注册表实现开机自启动（如记录中显示注册表键值被修改）。

程序是否在特定路径创建了可执行文件（如 0.exe 或 1.exe）。

若程序修改了注册表，跳转后可查看具体键值内容。

若程序创建了文件，跳转后可直接打开文件所在目录。此功能便于进一步分析程序行为，例如发现某程序在 C:Documents and SettingsAdministratorMy Documents 下创建了 1.exe。

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

启动文件夹（如 C:Documents and SettingsAdministrator「开始」菜单程序启动）。通过监控这些位置，可识别潜在的恶意程序或不必要的自启动项。

注意事项：