powershell 是定位和监控 windows 进程内存泄漏最直接有效的工具，通过监测工作集增长趋势、导出高内存进程路径清单、记录私有内存日志及自动终止可疑进程实现精准排查与防御。
powershell 是定位和监控 windows 进程内存泄漏最直接有效的工具之一，它能绕过任务管理器的表层限制，获取进程真实内存行为、历史趋势与路径签名等关键信息。重点不是“看当前占多少”，而是“是否持续增长、是否无释放、是否来源可疑”。
查工作集增长趋势（识别泄漏苗头）
内存泄漏最典型特征是工作集（Working Set）随时间单调上升。用以下命令每分钟采样一次，连续观察 3–5 分钟：
-
运行命令（管理员终端）：
while($true){ $t=Get-Date -Format "HH:mm:ss"; $p=Get-Process dwm -ErrorAction SilentlyContinue; if($p){ "$t : $($p.WorkingSet64/1MB)" }; Start-Sleep -Seconds 60 } - 重点关注 dwm.exe、explorer.exe、chrome.exe 或你怀疑的应用；若数值每分钟稳定增加 50MB 以上，基本可判定存在泄漏
- 把输出重定向到文件便于比对：
... | Out-File C:\Logs\DWM_Monitor.log -Append
导出带路径的高内存进程清单（揪出伪装进程）
很多恶意或异常进程会伪装成 svchost、rundll32 等系统名，但路径为空或指向临时目录。PowerShell 可一次性暴露全部线索：
-
执行命令：
Get-Process | Where-Object {$_.WorkingSet64 -gt 300MB} | Select-Object Name, Id, @{n="Path";e={$_.Path}}, @{n="Memory(MB)";e={[math]::Round($_.WorkingSet64/1MB,2)}}, Company, Product | Sort-Object "Memory(MB)" -Descending | Format-Table -AutoSize - 重点检查：Path 为空或含 Temp、AppData\Local\Temp、%USERPROFILE%\Downloads；Company 显示“Unknown”或空白
- 该结果比任务管理器“详细信息”页更完整，尤其对无数字签名的第三方软件非常有效
记录私有内存增长日志（验证泄漏方向）
私有内存（Private Memory）才是真正由进程独占、无法共享的内存。持续增长的私有内存是用户模式泄漏的铁证：
-
为指定进程创建小时级追踪日志：
$procName = "YourApp"; $log = "C:\Logs\$procName\_$(Get-Date -Format 'yyyyMMdd_HH').csv"; "Time,PrivateMB,WorkingSetMB,Handles" | Out-File $log; while($true){ $p = Get-Process $procName -ErrorAction SilentlyContinue; if($p){ "$((Get-Date).ToString('HH:mm')),$([math]::Round($p.PrivateMemorySize64/1MB,2)),$([math]::Round($p.WorkingSet64/1MB,2)),$p.HandleCount" | Out-File $log -Append }; Start-Sleep -Seconds 120 } - 日志生成后可用 Excel 打开，画折线图：若 PrivateMB 曲线持续上扬且不回落，就是典型的内存泄漏
- 对比 WorkingSetMB 和 PrivateMB 走势——若前者波动大、后者单边涨，说明泄漏发生在应用层而非系统缓存
自动终止无签名+高内存进程（防御性处置）
对已确认风险的进程，可设定阈值并批量终结，避免手动操作延误：
-
安全终止条件示例（仅限非系统进程）：
Get-Process | Where-Object { $_.WorkingSet64 -gt 400MB -and $_.Path -notlike "*Windows*" -and $_.Company -eq $null } | ForEach-Object { Write-Host "Killing $($_.Name) (PID $($_.Id))"; Stop-Process $_.Id -Force -ErrorAction SilentlyContinue } - 加了三重过滤：内存超 400MB + 路径不含 Windows 目录 + 无发布者签名
- 建议先测试不加
Stop-Process，只用Write-Host预览匹配项，确认无误再启用终止逻辑
