Bir süreci başlatan süreç ve hizmetler ilişkileri

Daha önce kısmen bu konuyla ilgilenmiştim ama yeterli olmamıştı.

Komut satırından bir süreci başlatan süreci bulmak istiyourm. Örneğin bir notepad süreci var. Bunu başlatan süreci Get-Process ile bulmak mümkün değil. Bir WMI/CIM sorgusu lazım. Bunu da hem PID, hem de süreç ismi ile çalışacak şekilde yapmam gerek. Ben şöyle bir parent.ps1 dosyası oluşturarak yaptım:

param(

    [Parameter(Position=0,Mandatory=$true,ParameterSetName="ProcessName")]

    [string]$ProcessName,

    [Parameter(Position=0,Mandatory=$true,ParameterSetName="ProcessId")]

    [int]$ProcessId,

    [Parameter(Position=0,Mandatory=$true,ParameterSetName="Process",ValueFromPipeline=$true)]

    [System.Diagnostics.Process]$Process

)

switch ($PSCmdlet.ParameterSetName) {

    "ProcessName" {

        $pp =Get-CimInstance Win32_Process -Filter "Name LIKE '*$ProcessName*'"

        Get-Process -Id $pp.ParentProcessId

    }

    "ProcessId" {

        $pp = Get-CimInstance Win32_Process -Filter "ProcessId='$ProcessId'"

        Get-Process -Id $pp.ParentProcessId

    }

    "Process" {

        $pp = Get-CimInstance Win32_Process -Filter "ProcessId='$($Process.Id)'"

        Get-Process -Id $pp.ParentProcessId

    }

}

bunuda

.\parent.ps1 -ProcessName notepad

şeklinde çalıştırınca şöyle bir çıktı verdi:

ProcessId ParentProcessId Name        CommandLine
--------- --------------- ----        -----------
    12216            3708 Notepad.exe "C:\Windows\System32\notepad.exe" 

Buradan 3708'i sorguladığımda bana svchost döndü.

ps -id 3708

Handles  NPM(K)    PM(K)      WS(K)     CPU(s)     Id  SI ProcessName
-------  ------    -----      -----     ------     --  -- -----------
    450      21     7576      51272              3708   0 svchost 

Bu noktada da win32_service sınıfını sogrulamak gerek, 3708'in içinde hangi hizmetler çalışıyor diye:

param(

    [Parameter(Mandatory,ParameterSetName="SearchID")][int]$Id,

    [Parameter(Mandatory,ParameterSetName="SearchName")][string]$Name,

    [Parameter(Mandatory,ParameterSetName="SearchDisplayName")][string]$DisplayName

)

if ($PSCmdlet.ParameterSetName -eq "SearchID") {

    gcim win32_service | where {$_.ProcessId -eq $Id}

}

elseif ($PSCmdlet.ParameterSetName -eq "SearchName") {

    gcim win32_service | where {$_.Name -like "*${Name}*"}

}

elseif ($PSCmdlet.ParameterSetName -eq "SearchDisplayName") {

    gcim win32_service | where {$_.Name -like "*${DisplayName}*"}

}

Bunu da serv.ps1 diye kaydedip

.\serv1.ps1 -Id 3708

şeklinde çalıştırınca

ProcessId Name     StartMode State   Status ExitCode
--------- ----     --------- -----   ------ --------
3708      Schedule Auto      Running OK     0

Notepad'i çalıştıran hizmetin görev zamanlayıcısı olduğunu buldum. 

2026-10-06: Şöyle bir kullanım ile 

ps -id 2298 | .\parent.ps1

sonuç dönebilmesi için param(..) bloğuna şu bölümü ekledim:

    [Parameter(Position=0,Mandatory=$true,ParameterSetName="Process",ValueFromPipeline=$true)]

    [System.Diagnostics.Process]$Process

Bu sayede pipeline'dan System.Diagnostic.Process tipinde veri kabul edilmesini ve bu veri ile işlem yapılmasını sağladım. İşlemi yapan bölüm de switch bloğunun en son koşulu:

    "Process" {

        Get-CimInstance Win32_Process -Filter "ProcessId='$($Process.Id)'" |

            Select-Object ParentProcessId, @{N="ParentName";E={(ps -id $_.ParentProcessId).ProcessName}}

    }