Ntsd强行结束进程.docxVIP

Ntsd简介　　ntsd从Windows 2000开始就是系统自带的进程调试工具,在system32目录下。NTSD的功能非常的强大,用法也比较复杂,但如果只用来结束一些进程,那就比较简单了。编辑本段Ntsd用法　　Ntsd在Windows中只有System、SMSS.EXE和CSRSS.EXE不能杀。前两个是纯内核态的，最后那个是Win32子系统，ntsd本身需要它。lsass.exe也不要杀掉，它是负责本地账户安全的。被调试器附着的进程会随调试器一起退出，所以可以用来在命令行下终止进程。　　打开cmd 后输入以下命令就可以结束进程：利用进程PID结束进程　　命令格式：ntsd -c q -p pid　　命令范例： ntsd -c q -p 4 （结束System进程。当然，System进程是杀不掉的）　　范例详解：System的pid为4，但是如何获取进程的pid呢？在CMD下输入TASKLIST就可以获取当前任务管理器所有进程的PID。或者打开任务管理器，在菜单栏，选择“查看”—“选择列”，在打开的选择项窗口中将“PID（进程标识符）”项选择钩上，这样任务管理器的进程中就会多出PID一项了。（PID的分配并不固定，是在进程启动是由系统随机分配的，所以进程每次启动的进程一般都不会一样。）　　可使用以下批处理：　　=================================================　　rem 复制以下内容到记事本,另存为pid.bat　　@echo off　　mode con cols=30 lines=10　　color 1e　　echo.　　set /p t=请输入进程名:　　echo PID NAME echo ============　　for /f tokens=2 delims=, %%i in (tasklist /fo csv /fi imagename eq %t%.exe /nh) do ntsd -c q -p %%iecho %%i %t%　　　pause nul　　exit　　=================================================利用进程名结束进程　　命令格式：ntsd -c q -pn ***.exe （***.exe 为进程名,exe不能省）　　命令范例：ntsd -c q -pn explorer.exe　　另外的能结束进程的DOS命令还有taskkill和tskill命令：　　命令格式： taskkill /pid 1234 /f （也可以达到同样的效果。）　　taskkill /im ***.exe /f编辑本段Ntsd详解　　有一些高等级的进程,tskill和taskkill或许无法结束,那么我们还有一个更强大的工具,那就是系统debug级的ntsd.准确的说,ntsd是一个系统调试工具,只提供给系统开发级的管理员使用,但是对我们杀掉进程还是很爽的.基本上除了WINDOWS系统自己的管理进程,ntsd几乎都可以杀掉。NTSD 调试程序在启动时要求用户指定一个要连接的进程。使用 TLIST 或 PVIEWER，您可以获得某个现有进程的进程 ID，然后键入 NTSD -p pid 来调试这个进程。NTSD 命令行使用如下的句法：　　NTSD [options] imagefile　　其中，imagefile 是要调试的映像名称。　　用法usage: ntsd [-?] [-2] [-d] [-g] [-G] [-myob] [-lines] [-n] [-o] [-s] [-v] [-w]　　[-r BreakErrorLevel] [-t PrintErrorLevel]　　[-hd] [-pd] [-pe] [-pt #] [-pv] [-x | -x{e|d|n|i} event]　　[-- | -p pid | -pn name | command-line | -z CrashDmpFile]　　[-zp CrashPageFile] [-premote transport] [-robp]　　[-aDllName] [-c command] [-i ImagePath] [-y SymbolsPath]　　[-clines #] [-srcpath SourcePath] [-QR \\machine] [-wake ]　　[-remote transport:server=name,portid] [-server transport:portid]　　[-ses] [-sfce] [-sicv] [-snul] [-noio] [-failinc] [-noshell]　　where: -? displ