http://www.56.com/redian/ODEwOTgzMg/NjI0NjA2NTg.html
http://pcedu.pconline.com.cn/soft/gj/sys/1003/2082421_1.html
Process Explorer软件的使用
注：要右击以管理员运行，不然有功能用不了，如Disk和NetWork的波形图。

特点：可结束进程、进程树，挂起、重启、恢复任务进程，查看进程信息等，包括系统关键进程，可以查看查看任务管理器看不到的隐藏进程的线程或句柄，
可通过颜色判断进程的状态（挂起，正在退出等）和类型（服务进程，普通进程）
用户进程前有图标，可通过图标来区别是那个程序的进程
可按CPU或I/O占用来排序，快速知道那个程序占用资源过大！
移动每个Svchost.exe服务宿主进程上可显示出它包含服务的名和缩写

进程树的好处：
1.能准确的显示进程的父子关系
2.系统和服务进程在最上面，用户进程在下面免误杀
3.平时可交系统进程进程折叠，只观察用户进程
3.分类成多层如svchost分类在Services.exe下表系统服务，主程序升级启动的update进程会自动跟在主程序之下

http://www.cr173.com/html/18315_1.html
1.检查进程的数字签名
点击Options，勾选verify Image Signatures，然后进程列表栏最后会多一个“Verified Signer”会显示签名情况。

2.检查进程中的线程的数字签名
点击Options，勾选verify Image Signatures，再勾选“View”菜单里的——“show lower pane”或点击一个进程按“Ctrl+d”就可以底部面板显示当前进程的线程项及签名信息。

3.用PE查看系统加载的驱动
点View>Show Lower Pane显示出下边栏面板，再点View>Lower Pane View>View DLL使下边栏显示DLL文件
点System进程就可以在下边栏显示出系统加载的所有驱动，再通过校验数字签名，找到Rootkit木马

4.显示进程加载的DLL，选择一个进程，勾选View菜单下的Show Lower Pane和View>Lower Pane View下的DLL（或选择一个进程按Ctrl +D）
注：通过查看进程加载的DLL和验证DLL签名，可以知道进程使用了那些编程技术及是否被注入了第三方DLL，还可修改DLL选项卡（View>Select Columns菜单下），显示更多的的DLL相关内容

5.显示当前进程占用的系统资源句柄，选择一个进程，勾选View菜单下的Show Lower Pane和View>Lower Pane View下的Handles（或选择一个进程按Ctrl +H）
注：这里可以查看进程打开了那些目录，文件或注册表项，创建了那些线程，方法：查看Type类型栏，Driectory打开目录，File打开的文件，Key表打开的注册表项，Thread表创建的线程，Event表发生的事件

6.查看当前进程的信息，右击进程——Properties查看进程信息，启动时间，包括用户组，申请的特权，进程环境变量。
在View>Select Columns>Process Image下可设置显示进程以下属性，包括进程的文件路径（Image Path），命令行参数（Command Line），64还是32位（Image Type），会话ID（Session ID），权限（User Name），GDI对象个数，线程个数等。

7.结束进程的部分线程，右击进程——Properties——Threads选项面，这里可以查看线程权限模块信息，中止或挂起线程

8.搜索功能：Ctrl+F即可搜索进程名，DLL名，模块名，还是句柄调用的文件夹，如某文件夹提示正在使用，无法删除，可搜索一下该文件夹的路径，看是那个进程在引用。如U盘的占用不能卸载等

9.进程的属性：这里可查看进程的服务，并停止，重启，暂停等；还可查看进程的线程信息，TCP/IP，环境变量，字符串，权限，性能，性能图形，磁盘和网络，GPU图形，进程启动时间，路径，命令行参数等，跳到进程窗体，结束进程等

10.关闭句柄：在下面栏显示出句柄后右击句柄，点Close Handle

11.PE的高级功能，重启Explorer.exe进程可不用重启电脑，重启软件比结束再打开更快效果相同。某程序不能运行，可以其它电脑查看程序运行需要的DLL，复制没有DLL到电脑即可！

file菜单
Run，同开始运行功能相同，也同任务管理器的新建任务
Run as Limited User  运行于受限的用户
Save  保存当前进程列表
Save As  如已保存过，需要保存到一个新文件点这个
Shutdown 关闭选项，包括Logoff,Shutdown,Stand By, Lock,Restart，stand By好角待机，休眠的意思
Exit

Options菜单
Run At Logon 登录时运行，勾选后在系统登录时会自动运行
Verify Image Signatures ，验证映像数字签名
VirusTotal.com ………… 好象是在线搜索
Always On Top 总是把程序显示在最上部
Replace Task Manager 替换系统任务管理器
Hide When Minimized 最小化时隐藏
Allow Only One Instance 只允许运行一个实例，不然可以重复打开
Confirm Kill 中止进程确认，即中止进程时是否提示确认
Tray Icons
Configure Symbols 配置符号
Configure Colors 配置颜色，给不同类进程设置不同的颜色并勾选前面的勾使之生效，如New Objects新建对象，Deleted Objects删除对象,Own Processes自有进程,Services服务, Suspended Processes挂起进程, Packed Images压缩映像(程序被UPX加壳的或包装一层的), Relocated DLLs重定位DLL, Jobs作业, .NET Processes .NET进程, Immersive Process模拟进程
Difference Highlight Duration
Font 设置显示的字体，字号和大小

View菜单
System Information 当前系统的运行占用资源信息，包括CPU，Memory,I/O,GPU
Show Process Tree  显示进程树,显示出进程的父子关系，当按PID或CPU等其它方式排序后，可点显示进程树按进程的父子排序。
Show Column Heatmaps 显示的列的热图
Scroll to New Processes 滚动到新进程，当有新进程运行时自动跳到新开程序的进程上
Show Unnamed Handles and Mappings 显示未知名称的句柄和映射，勾选后显示句柄时会在显示底部面板显示更多的信息
Show Processes From All Users  显示所有用户进程，不勾选时只显示当前用户的进程
Opacity（10%-90%，Opaque不透明的），不透明性，模糊，可设置窗体的透明度，可显示后面的窗口
Show Lower Pane 显示底部面板，用以在窗口底部增加一个面板，用以显示驱动，模块，句柄等
Lower Pane View 底部面板显示的内容，用以设置在底部面板显示进程的DLL还是进程的模块。
Refresh Now  现在刷新
Update Speed  更新速度 秒为单位，几秒更新一次显示
Organize Column Sets  组织栏设置
Save Column Set  好象保存栏设置，设置好要显示那些栏和属性后保存几来，下次载入就可以了
Load Column Set  好象是载入保存存的栏设置
Select Columns  设置要显示那些栏

Process菜单
Window
Set Priority 设置优先级
Kill Process  结束进程
Kill Process Tree  结束进程树
Restart  重启进程
Suspend  挂起进程
Create Dump 
Check VirusTotal
Properties  进程属性
Search Online  在线搜索

Find菜单
Find Handle or DLL  搜索模块或DLL，当用Autoruns查找可疑启动项，可用该功能搜索它是存在那个进程

DLL菜单
Properties 查看该DLL文件的属性
Search Online 在线搜索该DLL
Check VirusTotal

User菜单
Help菜单

用PChunter查看系统加载的可疑驱动：
也可以用PChunter——内核钩子——SSDT（系统服务描述表），如果驱动程序替换了系统服务表中的系统内核调用这里会显示出来。
找到后删除：
HKLM\System\CurrentControlset（CurrentControlset001-003下也有）\Enum\Root\Llegacy_驱动名
HKLM\System\CurrentControlset（CurrentControlset001-003下也有）\services\驱动名

http://wenku.baidu.com/link?url=kfJC63ZzCwlerk9rQ1E6Rexk186TUpDN1KoYLUmsIMB_ys9KuvfEYNn0quRBzEGorKfIfFF0X8UroSVujSybsbChAbzgVnOKQGAncvEgOy3
http://bbs.kafan.cn/thread-1301723-1-1.html
http://hi.baidu.com/chenshake/item/9966fdc832c6bf1150505878

http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx