## 系统进程 Windows ~~~ 通过任务管理器查看 查看进程与服务对应情况 tasklist /svc 对于某些DLL 恶意进程 tasklist /m 查看调用 ntdll.dll 模块的进程 tasklist /m ntdll.dll 可以通 /fi 进行过滤 tasklist /svc /fi "PID eq 2820" 查看当前网络连接 netstat -ano | findstr "ESTABLISHED" 通过netstat 定位出PID，通过tasklist 命令进行程序定位 wmic process get name,executablepath,processid|findstr pid（进程号） wmic process where processid=602444 get processid,executablepath,name 快速定位到端口对应的程序（管理员权限） netstat -anb 使用Powershell进行排查 get-wmiobject win32_process | select name,processid,parentprocessid,path 以csv格式显示数据 wmic process list full /format:csv wmic查询 • wmic process get name,parentprocessid,processid /format:csv • wmic process get executablepath,processid /format:csv • wmic process where processid=2020 get executablepath,processid /format:csv • wmic process where name="httpd.exe" get executablepath,processid /format:csv ~~~ Linux ~~~ 查看全部进程 netstat -anptl 查看3364进程的可执行程序 ls -alt /proc/3364 查看进程打开的文件 lsof -p 3364 杀掉进程 kill -9 3364 删除可疑木马 rm -rf 木马文件 查看属性 lsattr 文件名 移除 i 属性 chattr -i 文件名 查看cpu top ~~~