资源监视器是揪出c盘异常写入进程最可靠的工具，需在磁盘活动尖刺出现瞬间右键图表选择“转到进程”，或手动比对i/o写入字节与实时速率，再通过关联句柄筛选c盘敏感路径并导出证据。
当你发现 Win11 的 C 盘在无操作时硬盘灯狂闪、系统变卡、风扇持续高速运转，且任务管理器“磁盘”列显示某进程长期霸占 80% 以上资源，说明很可能有恶意或失控进程正在向 C 盘写入大量临时文件、日志、缓存甚至加密垃圾数据——资源监视器的“磁盘活动”图表能绕过图形界面刷新延迟，直接捕获底层 I/O 触发源，是揪出这类写入行为最可靠的入口。
启动资源监视器并定位高写入峰值时刻
按下 Win + R 打开运行框 → 输入 resmon 并回车 → 等待左下角状态栏显示“正在收集数据…”完成（通常需 3～5 秒）→ 切换到“磁盘”选项卡。
顶部“磁盘活动”折线图默认显示所有磁盘总吞吐，但你要盯住的是那根突然拉高的尖刺——它代表某一毫秒内发生的密集写入爆发。不要等它平缓，【必须在尖刺出现的瞬间右键图表区域】，否则峰值过后就无法关联到真实进程。
从图表直击写入源头进程
方法一：转到进程（推荐用于瞬时爆发型写入）
在“磁盘活动”图表区域右键 → 选择“转到进程” → 系统自动跳转至任务管理器“详细信息”页，并高亮标出当前 I/O 最强的进程（注意：不是按百分比排序后的第一名，而是此刻真正触发硬件中断的那个 PID）。
方法二：手动比对时间戳（适用于持续写入型）
保持资源监视器“磁盘”页打开 → 同时按 Ctrl + Shift + Esc 唤出任务管理器 → 切换到“详细信息”页 → 拖动右侧滚动条，找到“I/O 写入字节”列 → 按该列降序排列 → 将数值最高者与资源监视器图表中当前写入速率（B/sec）最高的进程名称交叉核对，确认是否为同一 PID。
若两个工具显示的进程名不同（如资源监视器显示 svchost.exe，任务管理器显示多个 svchost#3、svchost#7），请右键任务管理器中对应项 → “转到详细信息” → 查看“命令行”字段：含 -c "powershell -enc ..." 或指向 C:\Users\Public\Temp\ 的路径，基本可判定为恶意载荷。
验证写入目标路径并锁定证据
第一步：勾选可疑进程左侧复选框
在资源监视器“磁盘活动”列表中，找到刚定位出的进程 → 勾选其最左侧的方框（不是点击进程名）→ 底部“关联的句柄”面板立即刷新。
第二步：筛选 C 盘敏感路径
在“关联的句柄”搜索框中输入 C:\ → 回车 → 列表将收缩为仅显示访问 C 盘的句柄 → 重点关注以下三类路径：
• C:\Windows\Temp\*.tmp（系统级临时目录，正常进程极少持续写入）
• C:\Users\[用户名]\AppData\Local\Temp\（用户级临时区，恶意软件最爱落脚点）
• C:\ProgramData\*.log（伪装成服务日志，实际每秒写入数 MB）
第三步：导出句柄快照留证
右键“关联的句柄”任意空白处 → 选择“导出列表” → 保存为 disk_write_handles_$(date).csv → 文件中包含 PID、进程名、完整路径、访问模式（WRITE、DELETE、CREATE），可作为后续查杀依据。
