Windows 10系统下如何查询正在调用键盘执行输入操作的进程

方法1：使用内置PowerShell命令查询 #

• 右键点击开始菜单，选择「Windows PowerShell(管理员)」启动终端
• 执行以下命令，可直接返回当前持有键盘输入钩子的进程列表：
  Get-CimInstance Win32_Process | ForEach-Object { if ($_.GetRelated("Win32_KeyboardHook")) { $_ } } | Select-Object Name, ProcessId, ExecutablePath
• 输出结果中Name为进程名、ProcessId为进程PID，可到任务管理器的「详细信息」栏对应PID确认进程具体信息。

方法2：使用微软官方Process Explorer工具查询 #

Process Explorer是微软Sysinternals套件中的官方进程管理工具，可精准定位调用硬件驱动的进程：

• 启动Process Explorer后，点击顶部菜单栏的「Find」→「Find Handle or DLL」
• 在搜索框输入kbdclass.sys（Windows系统的键盘类驱动文件），点击搜索
• 返回的所有结果即为当前正在调用键盘驱动、持有键盘输入权限的进程，右键对应进程可直接跳转查看进程属性、验证签名或结束进程。

方法3：恶意键盘监听程序专项排查 #

如果是怀疑存在非法监听键盘输入的程序，可按以下步骤快速排查：

• 打开任务管理器，切换到「详细信息」标签页，在顶部列名处右键点击，选择「选择列」，勾选「提升权限」「命令行」「数字签名」三个选项后确认
• 优先排查满足以下特征的进程：有管理员权限、无有效数字签名、执行路径不在C:\Windows\System32等系统默认目录，这类进程是非法键盘监听程序的概率极高
• 确认进程异常后，可右键选择「打开文件所在位置」验证程序来源，确认是恶意程序后直接结束进程删除对应文件即可。

注意：Windows系统默认进程如csrss.exe、winlogon.exe、explorer.exe都会正常持有键盘输入句柄，属于系统正常运行必需的进程，请勿随意结束，避免系统崩溃。

内容的提问来源于stack exchange，提问作者qmhedging