软件介绍
Process Monitor(常简称为 Procmon)是微软 Sysinternals 工具集中的一款系统监视工具，由 Mark Russinovich 等人开发，免费提供。它可以实时记录电脑上每个程序对文件系统、注册表、网络和进程线程的操作，是 Windows 系统排错和恶意软件分析中最常用的工具之一。Process Monitor 整合了早期的 Filemon(文件监视)和 Regmon(注册表监视)两个工具的功能。
实时记录文件、注册表和进程的每一次操作
运行 Process Monitor 后，它会记录每一次文件的打开、读取、写入，每一次注册表的查询和修改，以及进程和线程的创建和退出，并显示操作的结果(成功、拒绝访问、找不到路径等)。每条记录都包含进程名称、完整路径、命令行、用户、会话 ID 和时间等信息，还可以查看这次操作的调用堆栈，追查是哪个模块发起的。进程树功能可以显示记录中所有进程的父子关系。记录的数据可以保存为日志文件，之后在其他电脑上打开分析。
常见用法：排查闪退、找出修改文件的程序
Process Monitor 最常见的用途包括：软件打不开或闪退，查看它最后访问了哪些文件和注册表、哪一步返回了"找不到"或"拒绝访问"；设置保存不了，看看程序把配置写到了哪里、为什么失败；找出是谁修改了某个文件，监视这个文件路径，就能看到是哪个进程在读写它；分析可疑程序，观察它在后台创建了哪些文件、修改了哪些启动项。
怎么用：先过滤，再分析
Process Monitor 一启动就会产生大量记录，正确的用法是先设置过滤条件：按 Ctrl+L 打开过滤器，例如设置"Process Name(进程名)is 某某.exe"，只显示目标程序的操作;也可以按路径或结果(比如"Result is ACCESS DENIED")过滤。按 Ctrl+E 可以开始或暂停记录，按 Ctrl+X 清空已有的记录。复现问题后立即暂停记录，再从后往前查找失败的操作。过滤器不会删除数据，随时可以修改条件重新查看。
常见问题
Process Monitor 和 Process Explorer 有什么区别?
两者都是 Sysinternals 的工具。Process Explorer 用来查看当前正在运行的进程、占用的文件和资源，相当于增强版的任务管理器；Process Monitor 用来记录一段时间内程序的所有文件和注册表操作，更适合追查问题发生的过程。
需要管理员权限吗?
需要。Process Monitor 要以管理员身份运行，才能监视系统中的所有进程。
运行时间长了电脑变卡怎么办?
Process Monitor 记录的数据会占用大量内存，问题复现后请及时暂停记录(Ctrl+E)，长时间监视时可以在选项中把记录保存到硬盘上的日志文件。
下载前请核对软件版本、系统要求及文件大小，安装前建议进行安全扫描。软件授权及使用范围以开发者说明为准。
