resmon 是什么
resmon 是资源监视器，一屏显示 CPU、内存、磁盘、网络四类占用。最实用的地方是能按句柄或文件名搜索，定位“到底是谁占着这个文件”。删除或移动文件时提示被占用，它是找出占用进程最快的图形化工具。
基本信息
| 适用平台 | Windows 客户端与服务器 |
|---|---|
| 启动方式 | 运行 resmon，或 Start-Process resmon |
| 核心用途 | CPU 标签页按句柄搜索进程，磁盘标签页看文件读写占用，网络标签页看连接归属 |
| 权限要求 | 需要管理员权限才能看到全部进程的句柄信息 |
| 命令行补充 | 按句柄数排序可先筛出可疑进程，定位具体文件仍需图形界面 |
典型使用场景
- 删除或移动文件提示被占用时，快速找出占用它的进程
- 磁盘持续高占用，看是哪个进程在大量读写
- 定位网络连接的归属进程，确认是否存在异常外联
- 查看提交量与硬错误，判断是否出现换页压力
- 排查句柄泄漏：按句柄数排序找出长期增长的进程
常用示例
常用示例
# 启动资源监视器
Start-Process resmon
# 命令行替代：按句柄数排序，先筛出可疑进程
Get-Process | Sort-Object Handles -Descending | Select-Object -First 10 Name, Id, Handles
# 图形界面操作：CPU 标签页的关联句柄搜索框里输入文件名
# 网络连接按进程分组，看是谁建立了大量连接
Get-NetTCPConnection -State Established | Group-Object OwningProcess | Sort-Object Count -Descending | Select-Object -First 5 Name, Count标签页与用途
| 标签页 | 能看什么 | 典型用途 |
|---|---|---|
| 概述 | 四类资源的总体占用 | 快速判断瓶颈在哪一类 |
| CPU | 进程占用、关联句柄、关联模块 | 按文件名搜索出占用进程 |
| 内存 | 提交量、硬错误、进程内存 | 判断换页压力与内存大户 |
| 磁盘 | 各进程读写速率、文件占用 | 定位持续高 IO 的来源 |
| 网络 | TCP 连接、监听端口、进程归属 | 确认端口占用与异常外联 |
关联句柄搜索需要管理员权限才能覆盖全部进程，普通权限下部分进程信息缺失，容易得出“找不到占用者”的错误结论。
界面数据是实时刷新的，做取证或记录时应标明具体时间点，必要时用命令行把数据导出留档，避免事后无法复核当时的现场。