俞木發(fā)

1找出正在使用某文件的后臺進程

筆者近日在嘗試刪除“C：＼Windows＼assembly”下的一個文件時，系統(tǒng)彈出下圖的提示無法刪除，但是Windows 10并沒有在窗口中提示到底是什么程序在使用該文件（圖1）。此時，我們可以在任務欄的搜索框中輸入“資源監(jiān)視器”，啟動該組件后切換到“CPU”選項卡，接著展開下方的“關聯(lián)的句柄”，在其后的搜索框中輸入欲刪除文件的名稱，回車后開始搜索。在搜索結果窗口中，我們可以看到占用該文件的程序是powershell.exe（圖2）。

現(xiàn)在返回到圖2所示的窗口，在進程列表下右擊powershell.exe并選擇“結束進程”，最后再返回到資源管理器窗口，即可順利地刪除該文件。大家以后在遇到類似的問題時，可以參考上面介紹的方法找出占用文件的進程并將其終止，這樣就可以刪除文件了。

2找出可疑的聯(lián)網(wǎng)程序

除了查找文件占用的程序，借助資源監(jiān)視器還可以對本機中所有聯(lián)網(wǎng)的程序進行查看和控制。比如公司近日有臺電腦在使用瀏覽器訪問網(wǎng)站時，無論打開什么網(wǎng)頁，速度都非常緩慢，因此筆者懷疑系統(tǒng)后臺可能有惡意程序在連接外網(wǎng)。此時啟動資源監(jiān)視器，在圖2所示的窗口中切換到“網(wǎng)絡”選項卡，在這里就可以看到本機所有正在聯(lián)網(wǎng)的活動程序。按提示點擊“發(fā)送”或“接收”選項卡，這樣每個聯(lián)網(wǎng)程序會按照占用帶寬的大小進行排序（圖3）。

因為電腦的故障主要是打開網(wǎng)頁的速度慢，一般來說正常的網(wǎng)絡程序是不會導致這個問題的，所以為了方便排查，這里建議先將常用的網(wǎng)絡程序如QQ、微信、瀏覽器等退出。接著再次打開圖3所示的窗口排序，可以看到現(xiàn)在本機仍然有一個名為“tcd.exe”的進程在連接外網(wǎng)，那么這個進程在連接什么網(wǎng)站？按提示在“名稱”選項下勾選該進程，展開下方的網(wǎng)絡活動，在下面的窗格中就可以看到該進程正在連接多個外網(wǎng)的IP（圖4）。

那么，怎么判斷該進程連接的IP地址是否正常呢？我們可以使用“https：∥www.ip138.com/”提供的服務進行驗證。比如上述進程連接的一個IP地址為“45.34.10.165”，打開上述的網(wǎng)頁后將IP地址粘貼到搜索框中，回車后可以看到這里連接的是一個美國加利福尼亞洛杉磯的地址（圖5）。通過對本機常用的聯(lián)網(wǎng)程序進行排查，筆者發(fā)現(xiàn)目前使用的網(wǎng)絡程序并沒有需要連接到國外的，所以可以判斷“tcd.exe”是一個較為可疑的程序。

接下來我們通過任務管理器查找該進程的詳細位置并繼續(xù)進行判斷，啟動任務管理器后切換到“詳細信息”，在進程列表中找到tcd.exe并右擊，然后選擇“打開文件所在的位置”（圖6）。

這樣在打開的資源管理器窗口中可以看到，該文件在“C：＼Users＼當前用戶＼APPData＼Local＼Temp＼TCD9881.tmp”下。右擊該文件并選擇“屬性”，再切換到“詳細信息”，可以看到該文件的版本、名稱、版權都是空白（圖7）。

至此基本可以確定tcd.exe是一個惡意程序，返回圖4所示的窗口，右擊tcd.exe進程并選擇“終止進程”，最后再返回資源管理器窗口并將該文件刪除，重啟電腦后，網(wǎng)頁打開速度慢的問題得到解決。

當然，資源監(jiān)視器的用途還有很多，比如當前使用的電腦硬盤燈一直狂閃，那么就可以切換到“磁盤”選項卡，查看當前讀寫最頻繁的進程;切換到“內(nèi)存”選項卡則可以找到內(nèi)存占用最大的進程，大家不妨自行嘗試。