| 核心类 | Win32_Process |
|---|---|
| 字段 | ProcessId/ParentProcessId/Name/ExecutablePath/CommandLine |
| 排序 | 按 CreationDate 找最新进程 |
| 关联 | OwningProcess 与网络命令互查 |
查进程与父子关系
查进程与父子关系
Get-CimInstance Win32_Process | Select-Object ProcessId,ParentProcessId,Name,ExecutablePath,CreationDate | Sort-Object CreationDate -Descending | Select-Object -First 25
Get-CimInstance Win32_Process -Filter "Name='powershell.exe'" | Select-Object ProcessId,CommandLineCommandLine 常含下载地址与编码脚本：把可疑命令行整段留存并哈希。