查找进程是由谁启动的（父进程 PID）

用 Win32_Process 的 ParentProcessId 追溯可疑进程的来源。

Windows进程WMI系统PowerShell低风险

运行 `Get-CimInstance Win32_Process | Select-Object ProcessId, ParentProcessId, Name`，再用 `Get-Process -Id <ParentProcessId>` 查看父进程。

01命令

命令

$ Get-CimInstance Win32_Process | Select-Object ProcessId, ParentProcessId, Name    ::  then look up the parent:  Get-Process -Id <ParentProcessId>

02作用说明

Windows 的每个进程都会记录创建它的进程 PID，保存在 Win32_Process.ParentProcessId 中。把 ProcessId、ParentProcessId 和 Name 一起列出，就能沿着链条回溯——例如发现某个可疑脚本是由 Office 而不是资源管理器启动的，这是典型的恶意程序特征。如果父进程已退出，就只能看到 PID，说明其来源程序早已关闭。

03风险

风险低风险

!注意: PID 会被系统复用，旧的父 PID 现在可能属于无关进程——下结论前先核对父进程名称。

04撤销

✓无需撤销——该命令不会改变持久状态。

05来源

Win32_Process class
Microsoft Learn · vendor-doc · 2026-09-17
依据: Class definition lists the ParentProcessId uint32 property ('the process ID of the process that created this process') alongside ProcessId and Name.
Get-CIMInstance — Get WMI/CIM class instances
SS64 · technical · 2026-09-17
依据: Shows Get-CimInstance -ClassName <String> syntax for querying WMI classes like Win32_Process, with results piped to Select-Object to pick properties.

最后验证: 2026-09-19 · 分类: 系统与设置