Windows 应急响应进程排查工具 - ProcIR

GSDK
GSDK

GSDK安全团队

2026年10月14日 18:59
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

01 项目地址

https://github.com/dogadmin/ProcIR

02 项目介绍

项目描述

ProcIR 是一个非常驻、非 Agent、纯本地的 Windows 应急响应排查工具。

设计场景：你接到应急响应任务，上机后需要在最短时间内搞清楚：

哪些进程可疑？有没有持久化后门？有没有白加黑 / DLL 劫持？有没有历史执行痕迹？攻击链是怎样的？

传统做法是手动跑一堆命令（tasklist、netstat、autoruns、schtasks...），逐个比对，费时费力。ProcIR 把这些全自动化了，一次扫描，全维度分析，按风险排序，直接告诉你该看哪个。

核心理念：不是杀软，不做查杀，只做发现和研判辅助。

CLI 模式（纯命令行）

无需 GUI，扫描完成后直接导出数据文件，适合自动化脚本、远程 SSH、无桌面环境等场景。

# 扫描并导出 JSON（默认格式）procir.exe -cli -o result.json
# 扫描并导出 CSVprocir.exe -cli -o result.csv -format csv
# 加载 YARA 规则扫描，导出全量结果procir.exe -cli -yara ./rules -o scan.json
# 仅导出 YARA 匹配结果procir.exe -cli -yara ./rules -yara-export -o yara_hits.json
# 不指定 -o，自动生成带时间戳的文件名procir.exe -cli

注：工具仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。信息及工具收集于互联网，真实性及安全性自测！！