必须用Process Monitor实时捕获程序行为，以管理员身份运行并精准过滤目标进程及RegSetValue/RegCreateKey、WriteFile/CreateFile事件，复现操作后按时间倒序定位关键注册表或文件路径。
要精准定位某个程序在安装、运行或崩溃时悄悄修改了哪些注册表项、读取或写入了哪些文件，必须用Process Monitor实时捕获其底层行为，否则仅靠日志或现象推测极易遗漏关键路径。
以管理员身份启动并初步过滤目标进程
右键点击 ProcessMonitor.exe → 选择“以管理员身份运行”；不这样做会导致大量注册表写入（尤其是HKLM）和系统级文件操作被静默拦截，日志中只显示“ACCESS DENIED”而无实际内容。
启动后默认已开始捕获，先点击工具栏红色方块图标暂停记录，避免从开机起堆积无关事件。
点击菜单栏【Filter】→【Filter…】→ 在弹出窗口中点击【Reset】清空所有默认规则 → 在第一行条件中：下拉选择【Process Name】→【is】→ 输入目标程序名（如 chrome.exe 或 setup.exe），注意必须拼写完全一致，大小写不敏感但扩展名不能省略 → 勾选【Include】→ 点击【Add】→ 看到左侧出现绿色对勾即表示添加成功 → 点击【OK】。
精准筛选注册表写入与文件写入事件
方法一：聚焦注册表修改
点击工具栏第二个图标【Registry】确保其高亮（仅显示注册表事件）→ 再次打开【Filter】→ 【Filter…】→ 添加新规则：【Operation】→【is】→【RegSetValue】→【Include】→【Add】；再加一条：【Operation】→【is】→【RegCreateKey】→【Include】→【Add】→【OK】。这两类操作直接对应键值写入和子键创建，是自启动、配置持久化等行为的核心痕迹。
方法二：捕获所有文件写入动作
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
点击工具栏第一个图标【File System】高亮启用 → 打开【Filter】→ 【Filter…】→ 添加规则：【Operation】→【is】→【WriteFile】→【Include】→【Add】；再加一条：【Operation】→【is】→【CreateFile】→【Include】→【Add】→【OK】。注意：【CreateFile】操作结果为 SUCCESS 才代表真实创建或覆盖，若为 NAME NOT FOUND 则只是尝试打开不存在的文件，不必过度关注。
复现问题并定位具体路径
第一步：点击工具栏绿色三角形图标重新开始捕获 → 立即执行你要监控的操作（例如双击安装包、启动故障程序、点击触发报错的按钮）。
第二步：待行为完成（如安装结束、程序闪退、界面卡死），立刻点击红色方块图标停止捕获。
第三步：在事件列表中按【Time of Day】倒序排列（最新事件在最上方），快速扫描顶部几条【RegSetValue】或【WriteFile】事件 → 找到时间戳紧贴你操作完成时刻的那几条 → 右键该事件 → 选择【Jump to Registry】或【Jump to File】，将直接在系统注册表编辑器或资源管理器中打开对应路径。
第四步：若需导出全部相关记录供后续分析，点击【File】→【Save】→ 保存为.PML格式；如需分享给他人查看，可另存为CSV（但会丢失堆栈等高级信息）。
