Отследить выполнение процесса c windows tasklist с помощью командной строки

Способов управлять процессами в Windows предостаточно, и командная строка занимает в них далеко не первое место. Однако иногда бывают ситуации, когда все остальные инструменты кроме командной строки недоступны, например некоторые вредоносные программы могут блокировать запуск Task Manager и подобных ему программ. Да и просто для общего развития полезно знать способы управления компьютером из командной строки.

Для управления процессами в командной строке есть две утилиты — tasklist и taskkill. Первая показывает список процессов на локальном или удаленном компьютере, вторая позволяет их завершить. Попробуем …

Если просто набрать команду tasklist в командной строке, то она выдаст список процессов на локальном компьютере.

По умолчанию информация выводится в виде таблицы, однако ключ /fo позволяет задать вывод в виде списка или в формате CSV, а ключ /v  показывает более подробную информацию о процессах, например команда tasklist /v /fo list выведет подробное описание всех процессов в виде списка.

Список получится довольно большой, поэтому попробуем уточнить запрос.  Для этого используем ключ /fi , который позволяет использовать фильтры для вывода данных, например команда tasklist /fi ″username eq user″ /fi ″memusage le 40000″ выводит список процессов пользователя user, которые потребляют не больше 40Мб памяти.

Найдя процессы, которые необходимо завершить, воспользуемся командой taskkill. Завершать процессы можно по имени, идентификатору процесса (PID) или задав условия с помощью фильтров. Для примера запустим несколько экземпляров блокнота (notepad.exe) и попробуем завершить его разными способами.

Ключ /f завершает процесс принудительно, а /t завершает все дочерние процессы.

Полную справку по командам tasklist и taskkill можно получить, введя их с ключом /?

Теперь пустим в ход тяжелую артиллерию — PowerShell. Его можно запустить не выходя из командной строки. Для получения списка процессов используем командлет Get-Process.

Чтобы не выводить весь список процессов можем воспользоваться командлетом Where-Object, который задает фильтр для выводимой информации. Для примера выведем список процессов, которые загружают процессор и отсортируем их по возрастанию нагрузки с помощью команды:

Get-Process | where {$_.cpu -gt 0} | sort cpu

С помощью PowerShell мы можем получить любую информацию о любом процессе. В качестве примера возьмем процесс cmd и выведем список его свойств командой:

Get-Process -Name cmd | Get-Member -Membertype property

Выбираем те свойства, что нам интересны ( в примере имя и ID процесса, путь к файлу, используемые модули и время запуска) и выводим их в виде списка командой:

Get-Process -Name cmd | Format-List name, id, path, modules, starttime

Таким образом мы можем посмотреть когда и кем был запущен процесс, сколько он потребляет ресурсов, где находится исполняемый файл и еще много различной информации.

Для завершения процесса в PowerShell есть командлет Stop-Process. Он завершает указанный процесс по его имени или идентификатору. Однако мы поступим по другому и передадим результат выполнения командлета Get-Process по конвейеру:

Get-Process | where {$_.name -match ″notepad″}  | Stop-Process

Get-Process не может показать процессы на удаленном компьютере, для этого воспользуемся командлетом Get-WmiObject , например посмотрим процессы на удаленном компьютере PC командой:

Get-WmiObject win32_process -computername PC | ft name, processid, description

Для боле полного ознакомления с PowerShell можно воспользоваться встроенной справкой, для вызова справки нужно набрать Get-Help ″имя командлета″

Ну и для полноты обзора рассмотрим еще одно средство для управления процессами из командной строки. Это утилиты Pslist и Pskill входящие в состав пакета PSTools от компании Sysinternals.

Эти утилиты не требуют специальной установки, достаточно просто скопировать их на диск. Для запуска нужно зайти в папку с утилитами и ввести в командной строке необходимую команду.

Pslist может выводить информацию о процессах по имени или ID, например командой pslist notepad -x выведем подробную информацию о нашем «многострадальном» блокноте.

Особенностью утилиты Pslist является режим task-manager. В  этом режиме информация автоматически обновляется, причем можно задать время работы и интервал обновления. Запускается режим ключом -s , например командой tasklist -s -r 10 запускаем режим программу в режиме task-manager с обновлением раз в 10 сек.

Завершение процесса программой pskill предельно просто, вводим команду и имя (или ID) процесса и все.

Справку по утилитам Pslist и Pskill можно посмотреть, введя команду с ключом /?

И еще, все манипуляции с процессами необходимо выполнять с правами администратора, для этого командную строку требуется запускать с повышением привилегий.

Анализ выполняемых процессов — Tasklist

Просмотр выполняемых процессов через командную строку

При помощи утилиты командной строки Tasklist можно проверить процессы, работающие в локальной или удаленной системе. Tasklist позволяет:

• получить идентификатор процесса, его состояние и другие важные сведения о процессах в системе;
• увидеть зависимости между выполняемыми процессами и службами, настроенными в системе;
• просмотреть список DLL, задействованных выполняемыми в системе процессами;
• использовать фильтры для включения или исключения процессов, показываемых Tasklist.

Чтобы увидеть список выполняемых задач в локальной систе­ме, просто введите в командной строке tasklist. Как и многие другие утилиты командной строки, Tasklist по умолчанию вы­полняется с разрешениями зарегистрированного пользовате­ля. Вы можете указать удаленный компьютер, а также запус­тить эту утилиту от имени другого пользователя. Для этого применяется расширенный синтаксис:

/s Компьютер /u [Домен]Пользователь [/р Пароль]

где Компьютер — имя или IP-адрес удаленного компьюте­ра, Домен — необязательное имя домена, где находится учет­ная запись пользователя, Пользователь — имя учетной за­писи пользователя, разрешения которой вы хотите задейст во­вать, а Пароль — необязательный пароль для этой учетной записи. Если домен не указан, подразумевается текущий. А если вы не задали пароль, вам будет предложено ввести его.

Примеры команды Tasklist

Чтобы понять применение в синтаксисе команды информации о компьютере и пользователе, рассмотрим пример.

Проверка выполняемых задач на компьютере с именем Mail: tasklist /s mail

Поля, выводимые Tasklist, содержат следующую информацию:

• Image Name (Имя образа) — имя процесса или исполняе­мого образа.
• PID (PID) — числовой идентификатор процесса.
• Session Name (Имя сессии) — имя сеанса, из которого за­пущен процесс. 
• Mem Usage (Память) — общий объем памяти, занимаемой процессом на момент запуска Tasklist.
• Status (Статус) — текущее состояние процесса: Running (Работает), Not Responding (Не отвечает) или Unknown (Не известно). Процесс может быть в состоянии Unknown и продолжать нормально работать и отвечать на запросы. Однако процесс в состоянии Not Responding должен быть остановлен или перезапущен.
• User Name (Пользователь) — учетная запись, от имени ко­торой выполняется процесс; указывается в виде домеи пользователь. Для процессов, которые запускаются систе­мой, указывается имя системной учетной записи, такое как SYSTEM, LOCAL SERVICE или NETWORK SERVICE с NT AUTHORITY в качестве домена.
• CPU Time (Время ЦП) — общее количество процессорно­го времени, использованного процессом с момента его за­пуска.
• Window Title (Заголовок окна) — название окна процес­са в GUI, если оно есть, В ином случае вместо названия вы­водится N/A (Н/Д). Например, для процесса Helpctr.exe заголовок окна — Help and Support Center (Центр справки и поддержки).

В этой статье мы рассмотрим две утилиты командной строки, который служат для работы с процессами, а именно, утилиту tasklist и taskkill.

Командная строка процессы, утилита tasklist

Утилита командной строки tasklist служит для вывода списка процессов Windows (пример использования: «Получение списка процессов средствами командной строки и сервера Windows Script Host«)

tasklist[.exe] [/s <система>] [/u [<домен>]<пользователь> [/p <пароль>]] [/fo {TABLE|LIST|CSV}] [/nh] [/fi фильтр [/fi фильтр2 [ … ]]] [/m <модуль> | /svc | /v]

Параметры:

/s <система> — данный ключ позволяет задать имя или же IP-адрес удаленной системы. При отсутствии ключа, информация извлекается для текущей системы.

/u [<домен>]<пользователь> — позволяет задать имя домена/пользователя, под разрешением учетной записи которого должна выполниться команда. При отсутствии, принимаются права текущего пользователя, того, что запустил утилиту.

/p <пароль> — данный ключ актуален лишь в том случае, если прису

тствует параметр /u. Ключ задает пароль учетной записи.

/fo {TABLE|LIST|CSV} – тут мы можем задать формат выходных данных: TABLE – таблица,LIST – список иCSV – таблица в формате csv файла. При отсутствии ключа, данные выводятся в формате TABLE. Командная строка и процессы.

/nh – отключение вывода заголовка для столбца, ключ актуален лишь тогда, когда для параметр /fo установлены значения TABLE или CSV

/fi – данный ключ позволяет задать фильтры, по которым будет отсеиваться список выводимых процессов в командной строке. Фильтры можно указывать через запятую, в кавычках прописываем имя фильтра, оператор и значение.

Виды фильтров:

• STATUS (состояние) – eq, ne — RUNNING | NOT RESPONDING
• IMAGENAME (имя образа) – eq, ne – имя процесса
• PID (ID процесса) — eq, ne, gt, lt, ge, le – значение идентификатора процесса PID
• SESSION (сеанс) — eq, ne, gt, lt, ge, le – номер сессии
• SESSIONNAME (имя сеанса) — eq, ne – имя сессии
• CPUTIME (неизвестно!!!) — eq, ne, gt, lt, ge, le – время ЦП в формате hh (часы):mm (минуты):ss (секунды).
• MEMUSAGE (память) — eq, ne, gt, lt, ge, le – потребляемое значение памяти в КБ
• USERNAME (пользователь) — eq, ne – задает имя пользователя в формате [<домен><пользователь>]
• SERVICES(службы) — eq, ne – имя службы
• WINDOWTITLE — eq, ne – название окна
• MODULES (модули) — eq, ne – название DLL библиотеки

Значения операторов:

• eq – определяет равенство заданному значению
• ne — определяет неравенство заданному значению
• gt — Больше указанного числа
• lt — Меньше указанного числа
• ge — Больше или равно указанному числу
• le — Меньше или равно указанному числу

Обратите внимание, что при указании имени фильтра, я указал рядом в круглых скобках его русское значение (при возможности). Так как в русской сборке Windows умудрились сделать перевод, и при вызове фильтра на английском, возникает ошибка CMD “Фильтр поиска не опознан”.

/m <модуль> — присутствие данного ключа включает отображение всех процессов в командной строке, использующих заданную библиотеку (фильтр MODULES). Не используется совместно с параметрами /svc и /v

/svc – определяет отображение служб для каждого процесса, актуален, если параметр /fo имеет значение TABLE. Не используется совместно с параметрами /m и /v

/v – включает отображение подробной информации. Не используется совместно с параметрами /svc и /m.

Командная строка процессы, утилита tasklist

Утилита taskkill позволяет завершить работу заданного процесса или группы, завершение может осуществляется по имени процесса или по его идентификатору

TASKKILL [/S <система> [/U <пользователь> [/P [<пароль>]]]]{ [/FI <фильтр>] [/PID <процесс> | /IM <образ>] } [/F] [/T]

Фактически, значение параметров те же, что и для утилиты tasklist, кроме:

/F – задает принудительное завершение заданного процесса

/PID <процесс> — тут мы можем указать идентификатор того процесса, который нужно убить.

/IM  <образ> — задаем имя образа, для определения всех процессов, можно прописать символ подстановки ‘*’.

/T – если данный ключ включен, то произойдет завершение заданного процесса в командной строке и всех его дочерних.

Хорошо, как известно, для вывода справки по заданной утилите CMD, нужно прописать ее имя и параметр /?. Для направления данных в файл используется символ “>” после которого следует путь к файлу, в который будут записываться данные. Но, есть одна проблема – нужно определить правильную кодировку, иначе мы получим крякозябы. Дело в том, что некоторые утилиты уперто не хотят перенаправить данные в файл в той кодировке, которую мы прописали с помощью утилиты chcp. И поэтому, нужно писать отдельный батник.

Я не силен в командной строке, поэтому на просторах интернета нашел следующий пример:

@echo offchcp 866>nultasklist/?>test_bat.txtfor/f "tokens=*"%%a in(test_bat.txt)do call :convert %%agoto :eof :convertchcp 1251>nulecho%*>>tasklist.txtchcp 866>nul

Сохраните данный текст в файле с расширением bat и запустите, в итоге вы получите в текущем каталоге два текстовых файла, один с крякозябрами, а другой в кодировке 1251.

Windows Task Manager shows the list of processes currently running in the System. Not only the processes, it also displays the list of Services that are registered in the Windows Operating System.

We can display the list of processes & services from the command prompt also, and especially these are helpful when we are writing the scripts to manage the processes and services.

Windows Operating System provides the TASKLIST.EXE tool to list the processes & services from the command prompt.

We do have several tools, to display the list of processes & services currently running from the command prompt. In this article, I would like to explain TASKLIST.EXE.

From the command prompt, run TASKLIST.EXE; to display the list of processes or services currently running in the System.

Type the tasklist at the command prompt & it displays the list of processes currently running. The output looks like the below:

C:>tasklist

Image Name                     PID Session Name        Session#    Mem Usage
========================= ======== ================ =========== ============
System Idle Process              0 Services                   0         24 K
System                           4 Services                   0      4,336 K
smss.exe                       468 Services                   0      1,328 K
...
...
cmd.exe                      10404 Console                    1      3,868 K
taskmgr.exe                   3604 Console                    1     12,048 K
taskeng.exe                   7424 Console                    1      6,788 K
tasklist.exe                 11000 Console                    1      6,464 K

C:>

We can even display the list of services currently running. By using the “/SVC” switch at the command prompt, we can display the list of services associated with the processes. Type “tasklist /svc” at the command prompt. The output looks like the below:

C:>tasklist /svc

Image Name                     PID Services
========================= ======== ============================================
System Idle Process              0 N/A
System                           4 N/A
smss.exe                       468 N/A
...
lsass.exe                      964 KeyIso, Netlogon, SamSs
svchost.exe                   1076 AudioEndpointBuilder, CscService, Netman,
                                   PcaSvc, SysMain, UxSms, Wlansvc, wudfsvc
svchost.exe                   1100 EventSystem, FontCache, netprofm, nsi,
                                   SstpSvc, W32Time, WdiServiceHost,
                                   WinHttpAutoProxySvc
svchost.exe                   1152 AeLookupSvc, BDESVC, BITS, CertPropSvc,
                                   EapHost, gpsvc, hkmsvc, IKEEXT, iphlpsvc,
                                   LanmanServer, ProfSvc, RasMan, Schedule,
                                   SENS, ShellHWDetection, Themes, Winmgmt
stacsv64.exe                  1188 STacSV

Observe that, the list of services associated with the processes is displayed under the “Services” column.

We can even apply a filter to verify whether the application is currently running.

For example: to verify whether “chrome.exe” is running; you can type the below command.

C:>tasklist /fi "imagename eq chrome.exe"

Image Name                     PID Session Name        Session#    Mem Usage
========================= ======== ================ =========== ============
chrome.exe                    1948 Console                    1    165,936 K
chrome.exe                    9052 Console                    1     34,452 K

C:>

Where “/fi” is the switch used to filter the list of tasks on certain conditions. The condition should be in double quotes (“) and “eq” or “ne” are the operators, we can use for equal or non-equal checks respectively. The “imagename” is the filter name we can use, to filter the tasks or processes based on the name.

To know the list of processes or tasks using memory > Size (for example 100 MB), the filter looks like the below:

/fi “memusage gt 102400”

when we use the “memusage” filter, the memory value we need to specify in KBs. So 100 MB = 102400 KB. The result looks like the below:

C:>tasklist /fi "memusage gt 102400"

Image Name                     PID Session Name        Session#    Mem Usage
========================= ======== ================ =========== ============
svchost.exe                   1076 Services                   0    244,776 K
chrome.exe                    1948 Console                    1    166,408 K

C:>

Even we can find out the list of processes that are not responding, by using the below command.

C:>tasklist /fi "status eq not responding"

Image Name                     PID Session Name        Session#    Mem Usage
========================= ======== ================ =========== ============
jusched.exe                   6576 Console                    1     11,444 K

C:>

If you like this Article, post your comments in the Comments section. See also, “How to kill Windows process from command prompt?“.

🙂 Sahida.

Иногда возникают ситуации, когда обычные средства управления операционной системой Windows дают сбои. Например, известный, пожалуй, каждому пользователю, «Диспетчер задач» вдруг отказывается запускаться. В этой ситуации можно воспользоваться консолью Windows (Пуск->Выполнить в поле «Открыть» набираем cmd и нажимаем кнопку «ОК») Получаем чёрное окошко консоли с заголовком «С:Windowssystem32cmd.exe», а внутри будет ссылка на профиль пользователя в ОС Windows, например «C:Documents and Settingsaeelistratov>». Консольных команд достаточно много, и описать их в рамках одной статьи не представляется возможным. Сегодня речь пойдёт о двух командах, позволяющих управлять процессами, запущенными в системе Windows.

Первая команда — tasklist, запущенная без параметров  выводит в окно консоли список запущенных процессов в системе. Полный список параметров можно получить, запустив tasklist /? (параметры передаются через знак слеш «/», опции задаются с помощью дефиса «-«).

В заголовке списка мы увидим поля: Имя образа, PID (ProcessID), Имя сессии (актуально при работе с удалённым компьютером), № сеанса (так же для удалённой работы), Память.

Имя образа — как правило, совпадает с именем исполняемого файла приложения, службы или процесса. Например, для блокнота имя образа будет Notepad.exe, а для MS Word — WINWORD.exe.

PID — идентификационный номер процесса в системе, он позволяет идентифицировать конкретный процесс, а в нашем примере снять зависшую задачу, конкретную зависшую задачу, не заморачиваясь вводом имени образа.

Имя сессии и номер сеанса мы рассматривать не будем, т.к. для локальной системы имя сессии всегда будет «Console«, а номер сеанса равным нулю.

Память — это количество памяти, выделенной системой для того или иного процесса.

Итак, чтобы закрыть зависшее приложение (зная его название), мы даём команду tasklist, таким образом, узнаём идентификатор процесса (PID). Далее мы используем команду taskkill /PID <ID Процесса> или же команду taskkill /IM <Имя образа>

Варианты действий с парой команд tasklist и taskkill:

Вариант 1. Мы знаем,  какое приложение является причиной зависания системы:

Например, у нас намертво повис Word. Мы знаем, что называется он winword.exe. Завершить работу зависшего word’a мы можем двумя путями: используя  taskkill /PID <ID Процесса>, предварительно узнав ID процесса с помощью команды tasklist или же используя tasklist с параметром /IM: tasklist /IM  winword.exe.

Вариант 2. Мы не знаем, какое приложение является причиной зависания системы:

В этом варианте нам понадобятся полные сведения о процессах, запущенных в системе. Чтобы вывести полные сведения о процессах, необходимо задать параметр /V в команде tasklist. В таком варианте команда возвращает нам расширенную таблицу, с дополнительными сведениями о процессах. К пяти предыдущим колонкам добавляются ещё 4:

Статус — Имеет два возможных значения «Работает» и «Не отвечает»

Пользователь — Имя пользователя, запустившего процесс (Тут могут быть как системные пользователи вроде NT AUTHORITYSYSTEM , и пользователи <домен><имя пользователя>, пока на этом не будем останавливаться)

Время ЦП — отображает время, затраченное процессором на обработку данного процесса (своеобразный показатель нагрузки на процессор)

Заголовок окна — в заголовке окна приложения частенько выводится имя открытого документа, что позволяет идентифицировать процесс.

В расширенном списке нас интересуют два поля — это статус и заголовок окна. По этим двум полям мы можем точно определить, какое из запущенных приложений зависло, определив его имя (образа) и Идентификатор процесса (PID). Далее, как и в первом варианте с помощью команды taskkill мы закрываем зависшее приложение.

В чём разница между применением параметра /PID и /IM?

Когда мы снимаем процесс с помощью параметра /PID — мы даём команду, завершающую конкретный процесс по идентификатору. Когда мы используем параметр /IM — мы даём команду, завершающую ВСЕ процессы, с соответствующим именем образа.

Что ещё необходимо знать?

0. Любой инструмент требует бережного обращения.

1. Закрывая приложение, с помощью команды taskkill вы теряете все несохранённые данные приложения. А в случае применения параметра/IM — все не сохранённые данные всех копий приложения!

2. При закрытии процессов, относящихся к системным службам, Вы можете нарушить работу системы, что приведёт к её перезагрузке. Выяснить, какие процессы относятся к системным службам, можно дав команду tasklist /SVC.

Навскидку, системные процессы это svchost.exe, lsass.exe, services.exe, winlogon.exe, smss.exe, csrss.exe, spool.exe, FrameworkService.exe, их завершение может привести к перезагрузке системы и потере данных. Если Вам нужно остановить какую-либо службу, то лучше это делать через служебную консоль Windows или командой net stop, о которой пойдёт речь в одном из следующих ликбезов.

3. С помощью данных команд можно управлять процессами на удалённом компьютере в сети, но для этого у Вас должны быть соответствующие привилегии (права администратора), тогда через ключ /S можно указать имя удалённой системы. Например, tasklist /S somecomp – вернёт список процессов, запущенных на компьютере с сетевым именем somecomp, a taskkill /S somecomp /IM notepad.exe – принудительно закроет на удалённом компьютере все процессы блокнота.