win11后台无故弹出cmd.exe黑框需用procmon定位源头：以管理员运行→重置筛选器→开启捕获→用“process create”+“cmd.exe”过滤或反向查父进程→导出调用堆栈中的完整路径。
Win11电脑在后台无故弹出命令提示符黑框（cmd.exe），既不显示内容也不接受输入，几秒后自动关闭，这种现象往往由计划任务、启动项、服务或恶意脚本触发，必须用Procmon捕获其完整调用路径才能定位源头。
以管理员身份运行Procmon并重置筛选器
右键点击Procmon64.exe → 选择“以管理员身份运行”；首次运行或不确定筛选器状态时，按 Ctrl+L 打开筛选器窗口 → 点击“重置”按钮 → 确认清空所有已有规则。这一步不可跳过，否则可能漏掉关键的父进程创建事件。
Procmon默认会自动开始捕获，但需确认状态栏左下角显示“Capturing”且计数持续上升；若未启动，按 Ctrl+E 手动开启。
设置精准过滤条件锁定cmd.exe启动行为
方法一：基础进程名过滤
点击工具栏“筛选器”按钮 → 在弹出窗口中依次设置：
① “Process Name” → “is” → “cmd.exe” → 点击“Add”；
② 再添加一条：“Operation” → “is” → “Process Create” → 点击“Add”；
③ 最后点击“OK”启用过滤。
方法二：反向追溯父进程（更推荐）
仅保留“Process Create”事件，不指定进程名；启动Procmon后，让黑框再次弹出 → 立即暂停捕获（Ctrl+E）→ 在结果列表中找到刚出现的cmd.exe对应行 → 右键该行 → 选择“Properties” → 切换到“Process Tree”选项卡 → 查看“Parent Process Name”字段值；这个父进程名就是真正触发cmd的源头，比如可能是wscript.exe、powershell.exe或某个.exe文件。
【注意：必须在黑框出现后5秒内暂停捕获，否则大量日志滚动会导致目标事件被冲刷出可视区域】
导出关键事件并定位启动路径
第一步：在已过滤出的cmd.exe创建事件中，找到时间戳最新的一条；
第二步：双击该行打开属性窗口 → 切换到“Stack”选项卡 → 展开调用堆栈，从最底层往上找第一个非系统DLL的模块名（如：C:\Windows\System32\WScript.exe 或 C:\Program Files\XXX\update.bat）；
第三步：回到主界面，右键该事件 → 选择“Include ‘Path’ in filter” → 此时Procmon会自动新增一条按“Path”字段精确匹配的筛选规则；
第四步：点击“File” → “Export…” → 保存为.PML格式文件，供后续离线分析或提交给安全人员。
导出后，你已获得触发cmd.exe的完整可执行路径、父进程名、启动参数（如有）和调用上下文——下一步只需检查该路径对应程序的来源即可。
