[系统相关] [已解决]批处理如何获取系统进程和服务进行比对？

thp2008

我想将当前的系统全部进程和服务保存一个原始列表，当我运行几天后，我再运行一次脚本，自动跟原始列表，比较，看看有没有多出一些进程，列出多出的进程。

系统：Windows 10 x64 cn 22H2 OR Windows 11 x64 cn 22H2

要求在管理员下运行，获取全部的进程列表和服务列表，包括系统自带的服务和第三方的服务，服务要求比对名称和运行状态、配置是否改变。

批处理或者其它脚本也行。

功能：
运行后，有菜单可选，
1、保存当前进程为模板
2、保存当前服务为模板
3、比对进程 （获取当前进程并和原始进程列表进行比对显示比对结果）
4、比对服务 （获取当前服务并和原始服务列表进行比对显示比对结果）

不限制批处理，还是Powershell,VBS，Python,。。。。只要能实现这个功能就行。

感谢！

thp2008

今天让AI帮我写了一个，不过过程也不容易，反复修改了近2小时，终于满足我的要求了。这个是每运行一次就会备份一次当前的服务和进程情况，然后跟上一次比较一下系统服务和进程的改变情况。分享给大家。

提示：
1、代码要保存为：xxx.PS1
2、 编码：ANSI  
3、在运行 PowerShell 脚本之前，您需要将系统的脚本执行策略设置为允许执行未签名的脚本。可以在管理员权限下打开 PowerShell 窗口，并执行以下命令：
Set-ExecutionPolicy Bypass -Scope Process
4、首次运行会报错，正常，因为没有初始比较数据，再次运行就好了。
之后测试，
你可以改变服务的启动或停止，或者启动类型改成，手工、自动等，再次运行都会看到变化。
你可以启动或者关闭一些进程或应用程序，再次运行也会看到变化。

# 定义备份文件名
$previousServiceFile = "previous_services_backup.txt"
$currentServiceFile = "current_services_backup.txt"

# 检查是否存在上一次的服务备份文件
if (Test-Path $previousServiceFile) {
    # 如果存在上一次的服务备份文件，将其删除
    Remove-Item -Path $previousServiceFile
}

# 如果当前服务备份文件存在，则将其重命名为上一次服务备份文件
if (Test-Path $currentServiceFile) {
    Rename-Item -Path $currentServiceFile -NewName $previousServiceFile
}

# 备份当前系统服务状态
$services = Get-Service | Select-Object Name, Status, StartType

# 检查是否成功获取服务信息
if ($services -ne $null) {
    $services | Out-File -FilePath $currentServiceFile -Encoding UTF8
    Write-Host "系统服务备份已保存到: $currentServiceFile"
} else {
    Write-Host "无法获取服务信息。脚本已退出。"
    Exit
}

# 比较两次服务备份文件的差异
$previousServiceResult = Get-Content -Path $previousServiceFile
$currentServiceResult = Get-Content -Path $currentServiceFile

# 手动比较服务的更改，并逆序显示
$serviceChanges = Compare-Object -ReferenceObject $previousServiceResult -DifferenceObject $currentServiceResult

# 定义备份文件名
$previousProcessFile = "previous_processes_backup.txt"
$currentProcessFile = "current_processes_backup.txt"

# 检查是否存在上一次的进程备份文件
if (Test-Path $previousProcessFile) {
    # 如果存在上一次的进程备份文件，将其删除
    Remove-Item -Path $previousProcessFile
}

# 如果当前进程备份文件存在，则将其重命名为上一次进程备份文件
if (Test-Path $currentProcessFile) {
    Rename-Item -Path $currentProcessFile -NewName $previousProcessFile
}

# 备份当前系统进程
$processes = Get-Process | Select-Object Name

# 检查是否成功获取进程信息
if ($processes -ne $null) {
    $processes | Out-File -FilePath $currentProcessFile -Encoding UTF8
    Write-Host "系统进程备份已保存到: $currentProcessFile"
} else {
    Write-Host "无法获取进程信息。脚本已退出。"
    Exit
}

# 比较两次进程备份文件的差异
$previousProcessResult = Get-Content -Path $previousProcessFile
$currentProcessResult = Get-Content -Path $currentProcessFile

# 手动比较进程的更改，并逆序显示
$processChanges = Compare-Object -ReferenceObject $previousProcessResult -DifferenceObject $currentProcessResult

if ($serviceChanges) {
    Write-Host "最新服务运行结果与上次结果有差异："
    
    # 逆序输出结果，确保上次的结果在上面，本次的结果在下面
    $serviceChanges = $serviceChanges | Sort-Object -Descending

    $previousService = $null
    $currentService = $null

    $serviceChanges | ForEach-Object {
        $change = $_.InputObject
        $changeType = $_.SideIndicator

        # 解析服务名称、状态和启动类型
        $serviceName = $change -replace '服务 (\w+).*', '$1'
        $statusChange = $change -match '的状态从 (\w+) 变为 (\w+)'
        $startTypeChange = $change -match '启动类型从 (\w+) 变为 (\w+)'

        # 构建显示文本
        $changeText = ""

        if ($statusChange) {
            $previousStatus = $Matches[1]
            $currentStatus = $Matches[2]
            $changeText += "状态从 $previousStatus 变为 $currentStatus"
        }

        if ($startTypeChange) {
            $previousStartType = $Matches[1]
            $currentStartType = $Matches[2]
            if (-not [string]::IsNullOrEmpty($changeText)) {
                $changeText += "，"
            }
            $changeText += "启动类型从 $previousStartType 变为 $currentStartType"
        }

        # 根据 SideIndicator 添加标记
        if ($changeType -eq "=>") {
            $changeText = "【本次】 服务 $serviceName  $changeText"
        } elseif ($changeType -eq "<=") {
            $changeText = "【上次】 服务 $serviceName  $changeText"
        }

        # 只输出包含内容的变化
        if (-not [string]::IsNullOrEmpty($changeText)) {
            Write-Host $changeText
        }
    }
} else {
    Write-Host "最新服务运行结果与上次结果相同。"
}

if ($processChanges) {
    Write-Host "最新进程运行结果与上次结果有差异："
    
    # 逆序输出结果，确保上次的结果在上面，本次的结果在下面
    $processChanges = $processChanges | Sort-Object -Descending

    $previousProcess = $null
    $currentProcess = $null

    $processChanges | ForEach-Object {
        $change = $_.InputObject
        $changeType = $_.SideIndicator

        # 解析进程名称
        $processName = $change

        # 构建显示文本
        $changeText = ""

        # 根据 SideIndicator 添加标记
        if ($changeType -eq "=>") {
            $changeText = "【本次】 进程 $processName 启动"
        } elseif ($changeType -eq "<=") {
            $changeText = "【上次】 进程 $processName 停止"
        }

        # 只输出包含内容的变化
        if (-not [string]::IsNullOrEmpty($changeText)) {
            Write-Host $changeText
        }
    }
} else {
    Write-Host "最新进程运行结果与上次结果相同。"
}
复制代码

thp2008

给你写一个 进程 吧，服务也差不多就不写了，另外这个不需要管理员
xczxczxcz 发表于 2023-8-20 17:51

感谢！帮助！我研究一下。

xczxczxcz

把 (gps).path 改成  （gps).Name 则获取全进程文件名; 自己看需求改之

xczxczxcz

给你写一个 进程 吧，服务也差不多就不写了，另外这个不需要管理员

$processes=[Collections.Generic.HashSet[string]]((gps).Path);
if([System.IO.File]::Exists('processBackup')){
	$processBack=[Collections.Generic.HashSet[string]]([string[]](gc '.\processBackup' -read 0));
	sc '.\processBackup' -Value ($processes -join "`r`n");
	$processes.ExceptWith($processBack);
	Write-Host "进程新增:`n"([string[]]$processes -join "`n");
}else{
	sc '.\processBackup' -Value ($processes -join "`r`n");
}
pause;
复制代码

Nsqs

加鸡腿帮你做