如何用工具查看进程路径？

联启电脑工具 2026-07-23 2

从命令行到图形界面的完整指南

目录导读

为什么需要查看进程路径？
Windows系统：任务管理器与Process Explorer详解
Linux系统：ps、lsof与/proc文件系统实战
macOS系统：Activity Monitor与命令行技巧
跨平台工具：Process Hacker与Sysinternals Suite
常见问题与安全警示
问答环节：解决你的实际困惑

为什么需要查看进程路径？

在日常系统运维或安全排查中，获取某个进程的可执行文件完整路径是一项基础但极其重要的技能，当你发现CPU占用异常时，通过查看进程路径可以快速判断是合法程序还是可疑的恶意软件，根据2024年CrowdStrike全球威胁报告，超过60%的端点入侵事件中，攻击者会伪装进程名以逃避检测，而路径信息往往是识别“李鬼”的关键证据。

如何用工具查看进程路径？-第1张图片-电脑手机工具软件下载 - 免费实用工具合集 | 联启科技

在以下场景中,查看进程路径同样不可或缺：

软件冲突排查（如多个版本Java并存）
文件锁定解除（定位占用文件的进程）
系统资源优化（识别冗余的后台服务）

Windows系统：任务管理器与Process Explorer详解

任务管理器（内置工具）

按 Ctrl+Shift+Esc 打开任务管理器。
切换到“详细信息”选项卡（Windows 10/11）。
右键点击任意列标题，选择“选择列”。
勾选“命令行”或“映像路径名称”（取决于系统版本）。
现在每个进程旁边都会显示完整路径。

注意：部分系统级进程（如System Idle Process）可能隐藏路径,此时需要更高权限工具。

Process Explorer（微软官方高级工具）

这是Sysinternals Suite中的王牌工具,比任务管理器强大10倍不止：

下载并解压Process Explorer（无需安装）。
以管理员身份运行 procexp.exe。
找到目标进程,双击打开属性窗口。
在“Image”选项卡中，查看“Path”字段。
还可以查看“Command Line”获得完整启动参数。

关键技巧：将鼠标悬停在进程上会弹出路径提示；点击工具栏“进程树”图标可直观看到父子进程关系,对排查恶意软件非常有用。

Linux系统：ps、lsof与/proc文件系统实战

ps命令（最常用）

ps -eo pid,user,cmd --sort=-%cpu | head -10

-e 显示所有进程
-o 自定义输出列，包括 pid（进程ID）、user（用户）、cmd（包含路径的命令）
若想仅显示完整路径，可配合 grep 过滤：
```
ps -eo pid,cmd | grep [关键词]
```

/proc文件系统（最底层）

每个进程在 /proc 下都有一个以其PID命名的目录：

ls -l /proc/PID/exe

ls -l /proc/1234/exe 会显示符号链接指向的实际可执行文件路径。
还可以查看 cmdline 文件获得完整启动命令行：
```
cat /proc/PID/cmdline | tr '\0' ' '
```

lsof命令（处理文件锁定）

当你想知道“哪个进程占用了某个文件”时,lsof是利器：

lsof /path/to/file

输出中包含进程名、PID和路径信息。

macOS系统：Activity Monitor与命令行技巧

macOS基于Unix内核,但图形工具与命令行略有差异：

活动监视器（Activity Monitor）

在“应用程序/实用工具”中打开。
选择目标进程，点击“显示进程信息”（或双击）。
在“文件”和“端口”选项卡中查看“可执行文件”路径。

命令行（与Linux类似）

# 使用ps命令（注意macOS的ps版本略有不同）
ps -p PID -o comm=  # 只显示命令名
ps -p PID -o pid,comm,args  # 显示完整参数
# 使用proc信息（macOS路径结构不同）
ls -l /proc/PID/exe  # macOS默认不挂载proc，需激活
# 更常用的是：
vmmap PID | grep "Main Binary"  # 显示主二进制路径

跨平台工具：Process Hacker与Sysinternals Suite

如果你需要在多个操作系统间切换,推荐：

Process Hacker（Windows）：开源且功能强大，支持查看进程路径、模块、句柄，甚至能直接右键“打开文件位置”。
htop（Linux/Unix）：增强版top，按F5树形显示,路径信息一目了然。
bmon（跨平台）：虽主要用于网络监控,但也能关联进程路径。

常见问题与安全警示

Q1：为什么某些进程路径显示为“access denied”？ A：通常是权限不足，在Windows以管理员身份运行工具，Linux使用 sudo 或 root 用户。

Q2：如何查看被我删除但仍在运行的进程路径？ A：此类进程已无文件系统路径，但可通过 /proc/PID/exe（Linux）或查看进程内存（如Process Explorer的“字符串”功能）获取线索。

安全警示：不要轻信路径名，恶意软件常伪装为 svchost.exe 但实际位于 C:\Users\Bad\ 而非系统目录，始终核对路径的“数字签名”（右键属性→数字签名选项卡）和“原始文件名”字段。

问答环节：解决你的实际困惑

问：我怀疑电脑中了挖矿病毒，怎么通过进程路径确认？
答：打开任务管理器，找到CPU占用最高的进程，查看其路径，如果路径是 C:\Users\你的用户名\AppData\Local\Temp\* 且名称随机混淆，极可能是挖矿木马，再用Process Explorer查看该进程的TCP连接，若连接已知矿池IP（可联网查询），可100%确认。

问：Linux下如何用一行命令监控所有新进程的路径？
答：使用 auditd 监控，或简单方法：

while true; do ps -eo pid,user,cmd --no-headers | sort -k1 -n; sleep 1; done

更高效的是用 pidstat -h 或 strace -f -e execve -p 1（需root）。

问：macOS上查看进程路径时发现 /System/Library/CoreServices/ 下的进程，是必要的吗？
答：大多数是系统核心服务（如WindowServer），建议不要终止，但如果路径指向 ~/Library/ 下的非苹果签名文件,则需警惕。

标签：进程路径

本文地址： https://lianqi.tech/post/18859.html