Windows 7资源管理器崩溃排查：从事件日志到Shell扩展的完整指南

简介：一份针对Windows 7开机反复提示“资源管理器已停止工作”的系统故障排查指南，面向普通电脑用户、系统维护初学者及企业IT支持人员。文档围绕explorer.exe进程崩溃展开，先介绍通过任务管理器临时重建资源管理器以恢复桌面的应急操作，再深入分析常见诱因——第三方压缩软件WinRAR将自身整合进资源管理器后产生冲突，并给出取消该整合选项的具体设置路径；同时补充系统文件损坏、恶意软件、驱动不兼容等情况的进一步排查办法，如运行SFC /SCANNOW、更新驱动和病毒扫描。资源为单个docx文档，约57KB，内容紧凑、步骤清晰，可直接对照操作。已有240人学习下载，适合不想重装系统、希望自行定位并修复该问题的用户。借助这份文档，读者既能掌握应急恢复技能，也能理解从排查到根治的完整思路，提升Windows日常维护能力。

1. “资源管理器已停止工作”：先把弹窗背后的两个来源分清再动手

你早上一按电源，屏幕上Windows 7的欢迎界面刚转完，鼠标还没摸到“开始”按钮，一个窗口直接怼到眼前：“Windows 资源管理器已停止工作”。点“关闭程序”之后桌面还能用，但过十几分钟又弹一次。这个场景在Windows 7的老机器上太常见了，修的人也多，但真正修到位的少。

先说个容易误判的结论：这个弹窗并不全是explorer.exe自己崩了。Windows 7把“打开文件夹窗口”“显示桌面图标”“右键菜单”“任务栏缩略图”全挂在explorer.exe进程里，任何一个第三方Shell扩展、输入法钩子、甚至是文件关联的图标缓存出错，都能触发同一个弹窗。但两种崩溃的处理路径完全不同：前者要查系统文件和驱动，后者要先查Shell扩展和启动项。这篇文章把这套排查顺序、命令、以及容易翻车的细节讲完，适合手里管着几十台Win7机器的运维、做系统镜像封装的人，以及还在用老电脑不想重装系统的普通用户。

2. 从事件日志和崩溃转储定位真凶：谁在杀explorer.exe

2.1 先看“查看问题详细信息”里的异常模块名

弹窗出现时，别急着点“关闭程序”。Windows 7的“资源管理器已停止工作”对话框里有一个“查看问题详细信息”链接（有些精简版系统可能被屏蔽）。点开后能看到一个类似这样的文本块：

AppName: explorer.exe ModName: ntdll.dll Offset: 0004945c ExceptionCode: c0000005

这四行是排查的第一个金矿。ModName和ExceptionCode直接告诉你崩溃发生时是哪段代码在跑。c0000005是访问冲突，就是进程读写了不属于自己的内存，这是explorer崩溃最常见的异常码；c0000094是整数除零；c00000fd是栈溢出。不管哪个码，先把ModName抄下来。

这里有个很容易犯的错：很多人看到ModName是ntdll.dll就觉得是系统坏了，急着重装。实际上ntdll.dll作为最底层API，任何程序崩溃时都有概率“恰好”停在ntdll里，它更多是结果不是原因。真正要看的是崩溃线程的调用栈，而调用栈在弹窗里看不到，必须去事件日志里翻。

2.2 事件查看器里锁定Application Error事件ID 1000

在“开始”菜单搜索栏输入eventvwr.msc，回车打开事件查看器。依次展开“Windows 日志” → “应用程序”，点击右侧“筛选当前日志”，事件来源选Application Error，事件ID填1000。点确定后，你会看到一串explorer.exe崩溃记录，每一条的完整内容才是核心证据：

故障应用程序名称: explorer.exe，版本: 6.1.7601.24490 故障模块名称: ShellExperience.dll，版本: 6.1.7601.17514 异常代码: 0xc0000005

我一般会把这些记录导出来对比故障模块是否一致。如果三次崩溃的故障模块都是同一个，那问题就非常聚焦；如果每次都不一样，多半是物理内存或驱动层问题。导出方法：右侧“操作”栏 → “将所有事件另存为”，存成.evtx文件，再在另一台机器上用“打开已保存的日志”分析，不影响正在排查的这台机。

Windows 7上资源管理器崩溃常见故障模块对照表如下，看到对应模块直接跳转：

事件ID 1000是“进程崩溃”，但如果系统里同时还大量出现事件ID 1001（Windows Error Reporting上报），说明崩溃被系统记录到了WER队列，后面讲minidump时会用到这两个ID的联动关系。

2.3 配置并读取minidump：把崩溃线程的调用栈翻出来

事件日志能告诉你“谁崩了”，但要回答“为什么崩”，得看崩溃那一刻的线程调用栈。Windows 7默认不保存应用崩溃的dump文件，需要手动开启。这里有两种做法：

做法一：通过注册表开启本地转储（适合维修时用）

reg add "HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps\explorer.exe" /v DumpFolder /t REG_EXPAND_SZ /d C:\CrashDumps /f reg add "HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps\explorer.exe" /v DumpType /t REG_DWORD /d 2 /f reg add "HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps\explorer.exe" /v DumpCount /t REG_DWORD /d 5 /f

参数说明：DumpFolder指定dmp文件存放目录，目录要先创建好；DumpType=2表示“完整转储”，会把进程空间全部写盘，对定位崩溃够用，缺点是一个dmp可能有几百MB，C盘空间紧张就改成1（微型转储，只有崩溃线程的上下文，体积小但够用）；DumpCount=5是保留最近5个转储文件，防止磁盘被写满。

做法二：如果你装过Debugging Tools或者系统是SP1且装了Windows SDK（调试器），可以直接命令行挂接

adplus.vbs -hang -pn explorer.exe -o C:\CrashDumps

这条命令适合崩溃不是特别频繁，但你怀疑某个特定操作会触发崩溃的情况。-hang表示附加后保持进程挂起状态，-pn指定进程名，-o指定输出目录。注意adplus.vbs是脚本，需要cscript环境，运行前确认命令提示符有管理员权限。

拿到dmp文件后，用WinDbg分析。没有WinDbg的话，先用BlueScreenView这类工具打开dmp也能看到崩溃线程的函数栈列表。用WinDbg打开dmp文件，执行以下指令：

!analyze -v

输出中重点看STACK_TEXT段。如果栈里出现了ieframe、shell32之外的第三方DLL名字，基本就是它注入到explorer进程里干活时出了岔子——这就是前面说“故障模块是ntdll”时的真正答案，第三方DLL在调用栈里等着你呢。

3. 从启动项与Shell扩展开刀：让explorer启动时少背几个包袱

3.1 用msconfig查开机启动项：先看全，再决定禁谁

Windows 7的explorer.exe在开机时会被系统强制要求加载哪些DLL，很大程度取决于启动项里的程序。一个典型的场景：用户装了某款网盘客户端，它把图标挂在任务栏通知区域，同时往explorer进程注入DLL做文件夹角标。这个DLL一旦和系统更新后的shell32.dll不兼容，开机进桌面时explorer就崩一次。

排查起点是“系统配置”工具。按Win + R输入msconfig回车，切到“启动”选项卡。这里我给的第一个建议是：勾选“隐藏所有Microsoft服务”之前，先把当前启动项的完整清单截图保存。原因是Windows 7的msconfig一旦误禁了某个系统组件，恢复列表时需要逐项排查，留底能让你装完“后悔药”之后按原样放回去。

在msconfig里能做的操作有限，它只能禁用启动项，看不到这些启动项对应的DLL加载行为。信息更全的工具是Autoruns（Sysinternals出品），它能按“启动项、计划任务、AppInit_DLLs、Shell扩展”分类列出所有自启动位置，比msconfig深一层。该工具不用安装，解压后用管理员权限运行autorunsc.exe。

3.2 用Autoruns导出explorer相关的可疑项

在命令行里执行：

autorunsc.exe -a explorer -c -h -s -v > C:\autoruns_result.csv

参数含义：-a explorer表示只显示explorer.exe相关的自动启动项（包括LoadAppInit_DLLs、ShellExecuteHooks等位置），-c输出为CSV格式方便用Excel打开，-h显示未签名或签名验证失败的项目文件哈希，-s验证签名，-v显示文件版本信息。

导出后在Excel里重点看两列：“映像路径”和“签名状态”。签名状态显示“（未验证）”的项要特别留意，尤其当它的路径出现在C:\Users\...\AppData\或C:\ProgramData\下时，多数是第三方安装包的残留。建议先用“进程名”过滤出所有explorer项，再逐条核对该文件的来源。这个活没有捷径，但通常20分钟内能扫完。

找到确凿的可疑项后，先在Autoruns里取消勾选（而不是删除条目），重启验证。勾选状态是持久化的，取消后explorer重启时就不会加载它。如果重启后弹窗消失，这条就是元凶；如果消失后功能异常（比如网盘角标不见了、PDF预览没了），说明你禁的是一个功能模块而不是恶意加载项，再决定要不要保留它的功能。

3.3 Shell扩展排查：右键菜单和缩略图才是重灾区

explorer崩溃中，真正的高频元凶是Shell扩展——右键菜单项、文件属性页标签、文件夹缩略图、预览窗格，全部以Shell扩展形式加载到explorer进程。这些扩展很多来自你早忘了的旧软件：老版WinRAR、旧Nero、某刻录软件、某压缩软件右键菜单适配器。

排查工具是ShellExView（NirSoft出品）。运行后列表非常长，按“类型”列排序，把注意力放在“上下文菜单”和“属性表”两类上。接着按“公司名称”排序，把公司名称为空或显示“（未验证）”的行标出来。然后成批禁用非微软、非当前正在使用的软件扩展：

选中一行或多行 -> 右键 -> Disable Selected Items

注意这里的操作对象是第三方扩展，不要碰任何Microsoft Corporation的项。禁用后需要重启explorer才生效，重启方式不是重启机器，而是先杀掉explorer再重新拉起：

taskkill /f /im explorer.exe start explorer.exe

如果是从远程桌面或命令行环境执行，注意start explorer.exe会立即拉起一个新explorer进程，旧的被强杀后桌面图标会重新加载，正常现象。这一步做完后继续正常使用十分钟，确认弹窗不再出现，再把禁用的扩展按“一次启用一个”的方式慢慢放回来，找到具体诱因。这样虽然费时间，但比“全禁了能用就行”更容易定位问题。

4. 修复系统文件与注册表钩子：explorer不再是“黑匣子”

4.1 sfc /scannow 和 DISM：用系统文件检查器把Windows 7的内部翻个底

Shell扩展和启动项清理完，如果弹窗还在，说明问题可能在系统自身。Windows 7的系统保护模式在后台维护着一份关键文件清单，explorer.exe、shell32.dll、windows.storage.dll都在其中。某次断电、硬盘坏道读到坏扇区，或者手动替换过系统文件，都会导致这些文件被调包。

修复系统文件的第一步是：

sfc /scannow

扫描过程中系统会校验受保护文件与缓存副本的哈希，发现不一致就自动替换。这个命令在Windows 7上跑得比较慢，机械硬盘上通常要15-30分钟。扫描结束时输出“Windows 资源保护未找到任何完整性冲突”是最好结果；如果输出“无法修复所有文件”，就要看C:\Windows\Logs\CBS\CBS.log里具体是哪几个文件没修好。

注意一个进阶参数：sfc /scannow在离线模式下修不了因为文件被占用而换不掉的情况。遇到这种，我的做法是执行两次：第一次扫描修掉一部分，重启后用带命令提示符的安全模式再跑一次（开机按F8进安全模式选单，选“带命令行提示符的安全模式”）。安全模式下explorer.exe不加载，Shell扩展也不会注入，很多在正常模式下被“占用锁死”的文件就能替换成功。

接着跑DISM（Windows 7 SP1系统自带DISM，但版本较旧，功能少，只能用/Online /Cleanup-Image /RestoreHealth这一条）：

DISM /Online /Cleanup-Image /RestoreHealth

这条命令通过Windows Update拉取官方源来修复系统组件存储。没有网络或Update组件本身损坏时，需要挂载安装镜像做离线源：

DISM /Online /Cleanup-Image /RestoreHealth /Source:wim:D:\sources\install.wim:1 /LimitAccess

参数含义：/Source指定修复源是WIM镜像文件里的第一个映像，/LimitAccess表示只使用本地源，不访问Windows Update。这里有个坑：很多网上下的“精简版Windows 7镜像”里的install.wim已经被人动过手脚，用它们做修复源可能越修越乱。所以手头做离线修复时，建议用原版SP1镜像或官方MSDN原版镜像（所以热词里搜“windows7镜像iso文件下载”是有原因的，原版镜像本身就是修系统的重要工具，只是下载时注意核对SHA1，不要拿精简版顶替）。修复完后再跑一次sfc /scannow，确认系统文件这一层没有遗留问题。

4.2 注册表钩子检查：AppInit_DLLs和Image File Execution Options

系统文件修完，下一个要查的是注册表钩子。Windows 7里有两个位置能让非系统程序在explorer启动时强制加载自己，也是explorer反复崩溃的隐藏黑匣子：

第一处：AppInit_DLLs

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v AppInit_DLLs

如果这个值不是空的，列出的是路径就用reg delete清掉。参数说明：AppInit_DLLs的作用是让指定的DLL被加载到所有加载user32.dll的进程里，explorer首当其冲。很多输入法、网银控件、老版安全软件为了“全局钩子”往这里塞东西，一旦DLL作者没做好进程环境兼容，explorer崩溃是必然的。清理前先记录原路径，确认是哪个软件的组件，然后卸载对应软件更彻底。

第二处：Image File Execution Options（IFEO）劫持

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe"

正常系统里这个键存在但没有Debugger值。如果看到Debugger项，说明有人（或某软件）把explorer“劫持”了——系统在启动explorer时会被引导去运行Debugger指定的程序，被引导的那段程序在Win7上很容易跑挂。处理办法：

reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe" /v Debugger /f

同样要看一下HKLM\SOFTWARE\Wow6432Node\...下的对应键，64位系统上这两个位置都要查，因为有些软件装的是32位版本，注册表会被重定向到Wow6432Node。

4.3 补丁KB2999226：什么情况下值得装，什么情况下是坑

热搜词里“kb2999226补丁下载windows7”频繁出现，说明很多人已经把这个补丁和explorer崩溃联系起来了。KB2999226是Windows 7 SP1上的Universal CRT（UCRT）更新，它把新版C运行时库引入旧系统，解决部分新软件在Win7下跑不起来或运行时的冲突。

这个补丁和explorer崩溃的关系：如果你的故障模块是ucrtbase.dll，说明某些第三方软件（比如新版驱动控制面板或输入法）依赖新版UCRT，而系统原始版本太旧导致加载失败，进而拖垮explorer。此时装KB2999226是正确路线。

但要注意，装之前先检查系统是否已经打过后续的月度汇总补丁。从2016年开始的月度质量汇总（KB3125574等）已经包含UCRT更新。如果你先装了月度汇总再装KB2999226，安装程序可能会报“有更新版本的补丁已安装”并退出，这是正常的。强行卸载月度汇总回退来“腾位置”是最蠢的做法——会导致更多安全更新失效，补一个旧漏洞制造一堆新漏洞，得不偿失。

另一个坑：KB2999226的安装依赖KB2533623（不安全库加载修复）。如果直接装KB2999226报错“此更新不适用”，先手动安装KB2533623，重启后再装KB2999226。Windows 7的补丁依赖关系就是这样，顺序错了安装器会给你一记闷棍。

从这些细节可以看出，KB2999226更多是软件兼容性补丁。explorer崩溃排查到这一步，要明确一个思路：先排除掉启动项、Shell扩展和系统文件问题后，再考虑补丁层面。因为补丁装多了可能带来新的变量，会让本来就模糊的问题更难定位。

4.4 显卡驱动：explorer桌面合成和渲染的隐性依赖

如果故障模块是nvwgf2umx.dll、igdumd32.dll或atiumd64.dll，那是显卡驱动在渲染桌面时崩了。Windows 7的DWM（桌面窗口管理器）负责把桌面的每一帧合成并推送到显卡，explorer进程中的缩略图、窗口动画和图标渲染都要经过它。显卡驱动一旦有内存泄漏或bug，DWM先挂，然后explorer紧随其后。

先看系统里是否装有显卡厂商的“控制面板”程序。如果是在用Windows 7自带的“标准VGA图形适配器”驱动，说明当前驱动可能是微软基础驱动，性能弱但稳定性尚可，这种情况下反而可以排除驱动问题。真正要处理的是装了厂商驱动但版本和Win7不兼容的情况。

处理建议：在设备管理器里展开“显示适配器”，右键显卡 → 属性 → 驱动程序 → 回滚驱动程序，回到上一个没问题的版本。如果没有回滚选项，就下载该显卡支持Win7的最后一代驱动做覆盖安装。这里特别提醒：新显卡厂商已经逐步停更Win7驱动，不要强行装新版本，新驱动往往是为Win10/11设计的，在Win7下DWM渲染路径完全不同。记住一个冷经验：驱动能用就不升，升了能用就别回滚，显卡驱动更新带来的收益早就不如它带来的兼容风险有价值。

5. 避坑：6条常见的误判和翻车点

5.1 一看到“资源管理器已停止工作”就重装系统

现象：explorer崩溃弹窗，用户直接进入“重装系统恢复出厂”流程，一天内来回装三遍系统，问题依旧。 原因：启动项或Shell扩展的“种子”不在系统分区。比如某个网盘客户端装在了D盘，它的Shell扩展注册信息在注册表里，但你重装系统时如果保留了D盘或做了系统分区格式化但没格式化整个硬盘，这个客户端残留的右键盘子依然会注入explorer。 解决：重装前先做一次第3章的启动项和Shell扩展排查，把可疑项记录下来。很多时候排查比重装快，而且不用动现有环境。重装系统是最重的干预手段，应该在精确定位到“系统文件彻底损坏”且sfc /scannow修不掉时再用。

5.2 把“用户配置文件的explorer崩溃”和“系统文件崩溃”混为一谈

现象：某用户登录后explorer必崩，另一个用户登录却完全正常。 原因：explorer的很多状态（窗口位置、图标缓存、最近打开文件列表、缩略图缓存）都存放在用户配置文件的%AppData%目录下。该用户的配置文件里某个缓存文件损坏，explorer启动时读它触发异常。 解决：用管理员账号登录，把该用户配置文件夹改名后让他重新登录生成新配置：

ren C:\Users\用户名 C:\Users\用户名.old

注意只能改掉旧配置，不要删除。新配置生成后如果弹窗不再出现，说明是配置损坏。再从.old目录里把桌面、文档、收藏夹等需要保留的内容拷回去即可。这条能避免很多“重装系统好了几个月又犯”的循环，因为原配置里埋的雷还在。

5.3 内存检测跑一遍就说内存好的

现象：弹窗出现时“查看问题详细信息”里每次故障模块都不一样，时而是ntdll，时而是win32u，时而是某个第三方DLL。 原因：内存颗粒存在不稳定区域，只有当某段内存恰好被分配到崩溃进程的堆栈时才会触发崩溃。跑MemTest86+只跑一遍（约1小时）往往覆盖不到坏区，或者坏区恰好在冷启动早期不用的地址上。 解决：用MemTest86+制作U盘引导盘，跑至少4轮完整测试（一个完整循环通常需要2到3小时），同时把BIOS里的内存XMP模式降回默认频率再测。如果4轮里有两三个错误，果断换内存条；如果确认内存没问题，接着排查主板供电和电源老化问题，这些都能造成随机崩溃。

5.4 清理AppInit_DLLs时把输入法的核心组件一起删了

现象：清了AppInit_DLLs后explorer不崩了，但输入法指示器消失，部分软件的中文输入完全失效。 原因：某些输入法的安装逻辑就是在AppInit_DLLs里注册自己，表面看着像第三方加载项，实际上它是输入法正常工作的依赖路径。 解决：不直接reg delete整个键值，而是先把AppInit_DLLs的当前值记下来，用记事本保存，然后临时改成空值测试explorer稳定性。如果想保留输入法，把值改回原样后，去输入法设置里关闭“兼容模式”或更新到对Win7适配更好的版本。记住一个原则：排查时宁可让问题继续存在，也不要破坏原来能用的功能。

5.5 用“重启资源管理器”代替“重启系统”验证修复效果

现象：禁用了可疑启动项后，用taskkill /f /im explorer.exe && start explorer.exe重启explorer，发现弹窗依旧。 原因：Shell扩展和启动项的钩子有些是注入到注册表进程级别的，explorer重启会重新读取大部分设置，但桌面窗口管理器（DWM）和输入法相关组件的钩子是全局的，不随explorer重启而卸载。管理员权限下运行taskkill /f /im dwm.exe可以重启DWM，但Win7的DWM重启后桌面会黑屏几秒，属正常。更好的方法是彻底重启一次系统，让所有钩子和驱动全部重新初始化。 解决：凡是涉及禁用启动项、AppInit_DLLs、Shell扩展的改动，用重启系统来验证，用重启资源管理器来确认“当前环境能正常使用”。两者目的不一样。

5.6 用第三方“优化软件”禁用了explorer的服务项

现象：系统里某“安全卫士”提示“有7个系统服务可以禁用以提升性能”，点完后explorer开机必崩。 原因：Windows 7的explorer依赖Theme服务、Shell Hardware Detection服务，以及远程过程调用的RPC服务。优化软件按“启动时间优化”逻辑禁用的部分服务，恰好是explorer初始化时必需的联动模块，禁用顺序变化或延迟启动时间不够，explorer启动时序出错就会崩溃。 解决：这类问题排查起来很费劲，因为“优化软件”往往不记录它改了什么。做法是在安全模式下（按F8进“带网络连接的安全模式”）把服务启动类型恢复为“自动”，一次性处理：

sc config Theme start= auto sc config ShellHWDetection start= auto sc config RpcSs start= auto

如果优化软件还做了别的注册表改动，最坏的情况下只能从备份还原。所以我的习惯是：Win7机器上不装任何“一键优化”类工具，系统和软件问题都用官方组件手动定位，比第三方自动工具靠谱得多。

6. 把排查流程沉淀成脚本：下次五分钟内完成初步定位

Windows 7的explorer崩溃问题，修过一次之后往往过几个月又冒出来。为了不重复劳动，我把第2到第4章的关键动作整理成一个批处理脚本，每次遇到类似弹窗先跑它，把输出文件拿过来看一遍，五分钟内能决定走哪条分支。

@echo off set LOGFILE=C:\explorer_troubleshoot_%date:~0,4%%date:~5,2%%date:~8,2%.log echo === Windows 7 Explorer Crash Quick Check ===> %LOGFILE% echo --- [1] Check UCRT related patch --- >> %LOGFILE% reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v AppInit_DLLs >> %LOGFILE% 2>&1 echo --- [2] Check IFEO hijack --- >> %LOGFILE% reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe" /v Debugger >> %LOGFILE% 2>&1 echo --- [3] Check event log recent 10 Application Error --- >> %LOGFILE% wevtutil qe Application /q:"*[System[(EventID=1000)]]" /c:10 /rd:true /f:text >> %LOGFILE% 2>&1 echo --- [4] Check explorer minidump --- >> %LOGFILE% dir C:\CrashDumps\*.dmp /b >> %LOGFILE% 2>&1 echo --- [5] Check DWM status --- >> %LOGFILE% tasklist | findstr /i "dwm.exe" >> %LOGFILE% 2>&1 echo Done. Output saved to %LOGFILE%

参数说明：第一段查询AppInit_DLLs，空值表示无钩子；第二段查IFEO劫持，输出“系统找不到指定的注册表项或值”说明干净；第三段用wevtutil导出最近10条Application Error事件文本，崩溃模块一览无余；第四段检查minidump目录是否存在崩溃现场；第五段确认DWM正在运行。这段脚本在PowerShell 2.0的Windows 7上跑批处理完全兼容，不需要额外安装组件。如果你想用PowerShell做更多判断，Win7自带的PowerShell 2.0语法有限，但简单的注册表读取足够：

$path = "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe" if (Test-Path $path) { $dbg = (Get-ItemProperty $path -ErrorAction SilentlyContinue).Debugger if ($dbg) { Write-Host "IFEO Debugger found: $dbg" } }

跑完脚本后，按第2章的方法看崩溃模块是否一致，按第3章的方法禁用启动项，按第4章的顺序修文件、查钩子、验内存。经过两三次实践，你会发现自己对Win7这套机制的判断越来越准，很多“玄学”崩溃其实都能在代码和日志层面找到解释。

写完这段脚本的时候我想起自己最开始修这类问题是靠“全部启动项都禁用，慢慢放回来”的笨办法，一台机器折腾一整天。后来学会看事件日志、读dump、查Shell扩展，一上午能处理三台。经验就是：折腾之前先把日志和转储存下来，这一步省下的时间远超你想象。希望帮到你。

本文还有配套的精品资源，点击获取