3 条 WQL 查询定位 Windows 异常：WMI Explorer 监控诊断速记-编程实验室

3 条 WQL 查询定位 Windows 异常：WMI Explorer 监控诊断速记

【免费下载链接】slickthe last carousel you'll ever need项目地址: https://gitcode.com/GitHub_Trending/sl/slick

WMI Explorer 是一款图形化的 WMI 管理工具，能浏览命名空间、类和实例，执行 WQL 查询，完成 Windows 系统监控与故障诊断。最高频的三个动作：揪出吃资源的进程、远程巡检机器、把查询变成定时脚本。

🔧 装好它

WMI Explorer 基于 .NET Framework 开发，装完就能跑。两条路：克隆源码编译，或直接下预编译版。只想要个界面看看，预编译版解压即用，不用管编译器版本。启动后它会自动连上本地 WMI 服务，不用额外配置。

克隆并启动，其实就一步：

git clone https://gitcode.com/GitHub_Trending/sl/slick

编译后双击启动，左侧树里已经能看到root\CIMV2、root\SecurityCenter2这些命名空间，说明连接正常。如果连不上，先确认本机 WMI 服务是开启状态，重启服务再试。

⚡ 跑通你的第一条 WQL 查询

界面长什么样

记住三块就够：左边是命名空间树，中间查询面板是输入 WQL 的地方，下面结果面板是看输出的地方。WQL（WMI 的查询语言，语法长得像 SQL）在查询面板里敲，回车执行。还有个省事的功能：在类列表里点一个 WMI 类，它会直接帮你生成一条SELECT * FROM 类名的查询，你只管改字段。

最小查询示例

最小能跑的查询就两行：

SELECT Caption, Version, BuildNumber FROM Win32_OperatingSystem

这条查的是操作系统实例，一台机器就一行，结果面板会列出系统名、版本、构建号。只要这里出数，说明查询链路通了，后面换任意查询都能跑。结果面板还能把结果导出来，方便存档和比对。

🔍 场景一：定位高耗资源进程

CPU 飙高，你不知道是谁在吃。说白了，监控就两步：把可疑项排出来，再盯住排前面的。先跑一条，把占用按 CPU 排序：

SELECT Name, ProcessId, WorkingSetSize, PercentProcessorTime FROM Win32_PerfFormattedData_PerfProc_Process WHERE PercentProcessorTime > 0 ORDER BY PercentProcessorTime DESC

结果按 CPU 从高到低排，前几名就是嫌疑对象。想看单个进程，把表换成Win32_Process再挂个WHERE Name LIKE '%chrome%'就行。

内存这条线也一样，直接按内存排：

SELECT Name, ProcessId, WorkingSetSize FROM Win32_Process ORDER BY WorkingSetSize DESC

WorkingSetSize单位是 KB，换算成 MB 再对比，不然数字看着吓人。

排查服务启动失败也走同一路子，把表换成Win32_Service，看State和ExitCode：

SELECT Name, DisplayName, State, ExitCode FROM Win32_Service WHERE Name = 'YourServiceName'

ExitCode非零就是启动出错的信号，配合系统事件日志能定位到具体原因。

🔍 场景二：远程机器巡检

要巡检远程机器，不用记什么特殊语法。连接对话框里输入目标机器名或 IP，填上凭据，连上就完事。凭据用域账号最稳，机器名和 IP 都行。

连上之后，本地的查询原样复用。在远程服务器上跑刚才那条进程查询，结果同样按 CPU 排好序，哪台机器哪个进程在吃，一目了然。批量巡检的话，把要看的机器列成清单，一台台连过去跑同一条查询，结果攒一起对比，同一进程占比明显偏高的那台就是重点。

一个坑：远程查询要求这个账号对目标机的 WMI 服务有读权限，防火墙还得放行 WMI 端口。第一次连不上，九成是权限问题，先查这个。我第一次拿它排查远程服务启动失败，就是直接查那个服务的ExitCode，看到数值才知道是依赖没起来。

🔍 场景三：把查询变成定时脚本

WMI Explorer 能把一条查询生成成 PowerShell 或 VBScript。选中查询，点生成脚本，选 PowerShell，存下来。生成的脚本默认带时间戳目录，历史数据不会互相覆盖，回看趋势很方便。

加个阈值过滤，脚本长这样：

$q = "SELECT Name, ProcessId, WorkingSetSize FROM Win32_Process" Get-CimInstance -Query $q | Where-Object { $_.WorkingSetSize -gt 500MB } | Select-Object Name, ProcessId, WorkingSetSize | Export-Csv "C:\logs\mem_$(Get-Date -f yyyyMMdd_HHmm).csv" -NoTypeInformation

输出是一份内存超 500MB 进程的 CSV，带时间戳。脚本落盘后，在任务计划里建个基本任务，触发器设间隔 10 分钟，操作指向这个 ps1，跑完自动写文件，你就不用守在屏幕前了。