系统环境

Windows7旗舰版，极域教室，ntsd

ntsd

借用百度百科的说法，ntsd是一个用户态进程调试工具，从Windows 2000就开始被附随在System32目录下。它能够结束除System、smss.exe、csrss.exe、lsass.exe及各种rootkit程序外所有的程序。但在Windows Vista及以上版本的Windows中不含ntsd，必须手动下载至电脑中才可使用。

ntsd 使用方法

在这里插入图片描述

然后打开任务管理器，点击查看再选中查看PID，或者使用tasklist命令查看pid，因为使用任务管理器和taskkill方式无法结束进程，所以使用ntsd的命令工具来结束进程。

这里会发现已经结束了studentMain.exe进程。

关于ntsd命令

方法一：利用进程的PID结束进程
命令格式：ntsd -c q -p pid
命令范例： ntsd -c q -p 1332 （结束PID为1332的explorer.exe进程）
范例详解：explorer.exe的pid为1332，但是如何获取进程的pid呢？在CMD下输入TASKLIST就可以获取当前任务管理器所有进程的PID（并不是所有的exploer.exe进程都是1332）

方法二：利用进程名结束进程
命令格式：ntsd -c q -pn ***.exe （***.exe 为进程名，exe不能省）
命令范例：ntsd -c q -pn explorer.exe
另外的能结束进程的DOS命令还有taskkill：
命令格式： taskkill /pid 1234 /f （也可以达到同样的效果。）

ntsd命令详解

有一些高等级的进程，tskill和taskkill或许无法结束，那么我们还有一个更强大的工具，那就是系统debug
级的ntsd.准确的说，ntsd是一个系统调试工具，只提供给系统开发级的管理员使用，但是对我们杀掉进程还是很爽的.基本上除了WINDOWS系统自己的管理进程，ntsd都可以杀掉.

当然咯，有些rootkit级别的超级木马，还是无能为力，幸好这种牛牛级别的木马还是很少的.
ntsd 调试程序在启动时要求用户指定一个要连接的进程。使用 TLIST 或 PVIEWER，您可以获得某个现有
进程的进程 ID，然后键入 ntsd -p pid 来调试这个进程。ntsd 命令行使用如下的句法：

ntsd [options] imagefile
其中，imagefile 是要调试的映像名称，options 是下面选项之一：
选项说明-2打开一个用于调试字符模式的应用程序的新窗口-d将输出重定向到调试终端-g 使执行自动通过第一个断点-G使 ntsd 在子程序终止时立即退出o启用多个进程的调试，默认值为由调试程序衍生的一个进程-p指定调试由进程 ID 标识的进程-v产生详细的输出。