Windows procmon：如何仅捕获来自特定命令的事件？

Question

Sysinternals procmon有时非常有价值，但我经常发现它用起来很尴尬，因为我通常必须浏览大量不相关的结果才能找到我想要的东西。

我正在尝试使用特定命令来诊断问题，因此理想情况下，我希望告诉 procmon 启动什么，并让它自动开始捕获，运行命令，等待退出，然后停止捕获。

这可能吗？

Answer 1

1. 在进程名称列下查找该命令的任意实例。
2. 直接右键单击Process Name并选择Include <process_name_here>。
3. 您可以从那里缩小范围，但这将限制进入窗口的大量垃圾。

正如您在评论中提到的，如果您尝试监视 WSL 并且不必担心进程名称，则可能需要采取一些技巧并将过滤器限制到特定路径。

我自己喜欢在开始之前通过我创建的常用过滤器过滤掉所有“垃圾”。这需要几分钟，但我没有使用上面描述的方法，而是开始右键单击我不关心的内容并排除这些项目。最终，窗口平静下来，我可以开始弄清楚还发生了什么。

有时，我需要撤消我添加的过滤器，因为我正在寻找的东西消失了。

使用此工具中的过滤器是一门艺术。这门艺术将使您变得非常厉害。