最近帮同事排查一批机器的硬件信息时我又把 WMIC 命令翻了出来。说实话这工具这几年被 PowerShell 压得没什么存在感但真到了批量取 CPU 型号、查磁盘序列号、远程拉服务状态这种场景WMIC 依然是最省事的那把螺丝刀。虽然微软从 Windows 10 1809 和 Server 2019 开始就把它标记为弃用但现有存量系统和大量自动化脚本里它还在实打实地跑着。这篇文章我打算把 WMIC 的常用玩法、踩过的坑、以及向 PowerShell CIM 迁移的思路一次讲透给还在维护老脚本的朋友一份能直接抄作业的参考。1. 环境准备与工具认知先搞懂 WMIC 到底是什么很多人把 WMIC 当成一个查配置的小工具其实它是 Windows Management InstrumentationWMI的命令行外壳。WMI 是 Windows 系统管理数据的统一接口处理器、内存、磁盘、服务、进程、事件日志几乎所有系统状态都能通过它暴露出来。WMIC 的作用就是让你不用写代码、不用打开 PowerShell直接在 cmd 里用类似 SQL 的语法去查这些数据、执行管理操作。1.1 单条命令的组成结构别名、WHERE、动词、属性WMIC 命令的基本结构是wmic [全局开关] [别名] [WHERE 条件] [动词] [属性列表]。这个设计和 SQL 很像但有它自己的脾气。拿一条实际命令来说wmic logicaldisk where drivetype3 get deviceid,size,freespace这里logicaldisk是别名where drivetype3是过滤条件get是动词后面的deviceid,size,freespace是要取的属性。别名的背后对应一个 WMI 类比如logicaldisk对应Win32_LogicalDiskcpu对应Win32_Processor。你不用记类名直接用别名就行这是 WMIC 对新手最友好的地方。需要特别强调一点WMIC 的 WHERE 条件必须用双引号包起来内部字符串值用单引号。写成where namesvchost.exe是标准姿势写成where namesvchost.exe或者where namesvchost.exe都会报错或者查不到结果。1.2 验证环境与权限准备在开始之前先确认 WMIC 在你的机器上还能用。直接敲wmic如果能进入wmic:root\cli交互提示符说明环境正常。如果提示wmic 不是内部或外部命令说明系统版本较新已经移除了该组件或者 PATH 环境变量里少了C:\Windows\System32\wbem。这时要么用绝对路径调用%SystemRoot%\System32\wbem\WMIC.exe要么直接换用 PowerShell CIM。另一个必须注意的是权限。查询类操作如查 CPU、内存普通用户就能跑但涉及修改类操作如终止进程、修改服务启动类型、卸载补丁需要管理员权限。我建议所有 WMIC 操作都在管理员身份的 cmd 里执行避免同一命令换个环境就报 拒绝访问 的尴尬。实际工作中我就遇到过服务启动状态查询在普通权限下返回结果正常但想call startservice时直接弹出 0x80070005 拒绝访问这类权限边界问题最容易被忽略。2. 核心信息查询实战硬件、系统、进程、网络一网打尽这一节是平时用得最多的部分。我按硬件信息、系统信息、进程与服务、网络配置四个维度整理高频命令每条命令后面附上我怎么用、为什么这么写、以及实际执行时的表现。2.1 硬件信息CPU、内存、磁盘、主板、BIOS查 CPU 信息是 WMIC 最经典的使用场景。如果你只需要看型号一条命令搞定wmic cpu get name但实际做资产盘点时通常还要拿核心数和逻辑处理器数wmic cpu get name,numberofcores,numberoflogicalprocessors这里numberofcores是物理核心数numberoflogicalprocessors是逻辑处理器数开了超线程会是物理核心的两倍。在虚拟化环境里经常会出现物理核心数和宿主机配置对不上的情况这时候核对这一组数字比只看型号可靠得多。内存条的查询别用容易混的memcache直接用memorychipwmic memorychip get capacity,speed,manufacturer,partnumber输出的capacity单位是字节不太直观我一般自己心算除以 1024 的三次方转成 GB。比如17179869184就是 16GB。如果做脚本可以用 PowerShell 或数值计算在导出后统一转换。磁盘信息要区分两个层面物理盘用diskdrive分区和逻辑卷用logicaldisk。查物理盘型号和序列号wmic diskdrive get model,serialnumber,size查逻辑磁盘的容量和剩余空间wmic logicaldisk get deviceid,volumename,size,freespacefreespace同样以字节为单位做监控脚本时要记得换算。主板和 BIOS 信息通常在资产管理和保修查询时用到wmic baseboard get manufacturer,product,serialnumber wmic bios get manufacturer,smbiosbiosversion,serialnumber这里serialnumber经常被拿来做机器唯一标识但要注意部分品牌机的 BIOS 序列号是可以被修改的严格场景下需要结合主板序列号、网卡 MAC 等多重校验。2.2 系统与操作系统信息操作系统版本、系统目录、系统启动时间这类信息用os别名wmic os get caption,version,buildnumber,osarchitecture,installdatecaption显示的是 Windows 版本名称比如 Microsoft Windows 11 专业版buildnumber对判断补丁级别很有用。installdate返回的是 CIM 日期格式如20230101120000.000000480不是人类可读格式需要另行转换我第一次看这串数字时也懵了一下。计算机型号和厂商信息在computersystem里wmic computersystem get manufacturer,model,totalphysicalmemorytotalphysicalmemory是物理内存总量但这只是主板可寻址的总量和前面memorychip逐条相加的结果不完全一致因为部分内存可能被硬件保留。2.3 进程与服务管理查得爽也要杀得准查看当前所有进程wmic process list brief但list brief输出的信息太精简没有命令行参数。要精确定位问题进程通常要带commandline属性wmic process where namejava.exe get processid,commandline,workingsetsize这条命令的作用是找出所有名为java.exe的进程显示 PID、启动命令行、工作集大小。workingsetsize反映的是物理内存占用单位同样是字节。做 JVM 故障排查时我经常用这条命令区分不同应用启动的多个 Java 进程。终止进程用call terminatewmic process where namenotepad.exe call terminate也可以用 PID 精准杀wmic process where processid1234 call terminate这里有三个很容易踩的坑。第一terminate属于 调用方法不是delete新手常写wmic process where processid1234 delete这也能跑但语义不对部分系统上表现不一致。第二进程名匹配是精确匹配不支持通配符如果你想匹配所有包含agent的进程得靠commandline like %agent%来过滤。第三杀进程前先确认 PID 归属避免误杀系统关键进程实际操作中我曾把svchost.exe当作普通进程直接终止结果造成该服务依赖的子系统暂时不可用。服务相关信息用service别名wmic service where namewuauserv get state,startmode,pathname wmic service where namewuauserv call startservice wmic service where namewuauserv call stopservice第一条查服务的运行状态、启动类型和可执行文件路径后两条是启停服务。这里特别注意修改服务启动类型需要用set动词配合startmode属性但执行后未必立即生效需要确认当前状态。WMIC 对服务的控制是同步调用长时间无响应时不妨先检查服务是否处于Stopped状态。2.4 网络配置IP、MAC、网卡信息网络配置类查询用nicconfig而不是nic。nic对应的是物理网卡信息nicconfig才是带有 IP 配置的逻辑视图wmic nicconfig where ipenabledtrue get macaddress,ipaddress,defaultipgateway,dnsservers这条命令对运维做网络资产登记特别有用。同一台双网卡服务器上可以准确看到每块启用网卡的 IP 与网关对应关系。注意ipaddress和dnsservers属性返回的可能是数组格式cmd 下输出会自动折叠成一行多值所以在脚本里解析时要按字符串处理。查物理网卡的型号和连接状态用wmic nic where physicaladaptertrue get name,netconnectionstatus,macaddressnetconnectionstatus为 2 表示已连接为 7 表示网线被拔出。这个字段在做远程机器网络健康检查时很有用但要注意不同 Windows 版本对状态的编号有细微差别。2.5 其他高频查询开机启动项、已装补丁、用户与账户开机启动项排查wmic startup get caption,command,locationlocation会告诉你启动项来自注册表的哪个 Run 键还是启动文件夹这对清理开机自启程序非常关键。已安装补丁列表wmic qfe get hotfixid,installedon,description这条命令排障时很常用尤其在确认某台机器是否缺少特定补丁时。但它的缺点是只能查 Windows Update 类的补丁部分驱动更新不会出现在里面。系统本地用户和 SIDwmic useraccount where localaccounttrue get name,sid,disableddisabled字段为 TRUE 表示账户被禁用。在排查账户锁定和权限问题时sid比用户名更准确因为用户名可以改SID 基本不会变。3. 批量运维与自动化把 WMIC 用成生产力工具单条命令只是入门真正体现 WMIC 价值的是批量场景。这一节我整理了远程执行、输出格式化、以及几个配套脚本的实战心得。3.1 远程批量执行的基本姿势WMIC 原生支持远程操作通过/node、/user、/password三个全局开关指定目标机器、用户名和密码wmic /node:192.168.1.10 /user:administrator /password:yourpass process list brief这条命令会连接远程机器的 WMI 服务返回进程列表。前提是目标机器开启 WMI 服务、防火墙放行 DCOM 端口默认 TCP 135并且你使用的账户有远程 WMI 权限。实际执行时最容易犯的错误一是密码含特殊字符时没有正确转义二是目标机器不在信任域内时不认凭据。如果不想把密码写在命令行里可以配合/interactive或者直接用runas拉起一个有权限的 cmd 窗口。不过说实话在批量脚本里硬编码密码本来就不可取建议改为受控的凭据文件或者后续用 PowerShell 的Get-Credential弹窗交互输入。远程执行多个查询时可以用把命令串起来wmic /node:192.168.1.10 /user:admin /password:pass cpu get name wmic /node:192.168.1.10 /user:admin /password:pass os get caption但每条命令都会重新初始化一次 WMI 连接速度很慢。如果机器数量多我建议写一个循环脚本逐台处理而不是在一条命令行里塞太多内容。3.2 让输出变成可解析的表格与 CSVcmd 默认的表格输出格式是给人看的不适合脚本解析。WMIC 提供了/output和/format两个参数wmic /output:hardware.csv cpu get name,numberofcores /format:csv wmic /output:process.csv process list brief /format:csv生成 CSV 后可以用 Excel 打开也可以被 Python、PowerShell 脚本读取。需要注意/format:csv输出的第一行是Node,Name,...其中Node字段标识来源机器如果远程执行时多台机器的结果追加到同一文件这个字段就是区分来源的关键。如果嫌 CSV 表头不直观可以换用/format:list它每行一个属性、空行分隔记录更适合阅读和手工核对wmic /output:memory.txt memorychip get capacity,speed /format:list我在写批量盘点脚本时通常先收集原始 CSV再统一做数据清洗避免在命令行里做太多字符串处理。3.3 一个实测可用的批量信息收集脚本给你看一个我简化过的批量信息收集思路逻辑是用 for 循环逐台机器执行 WMIC汇总输出到统一 CSVecho off set OUTPUTasset_info.csv echo 主机名,CPU型号,内存容量,系统版本 %OUTPUT% for %%M in (192.168.1.10 192.168.1.11 192.168.1.12) do ( for /f skip1 tokens1-4 delims, %%A in (wmic /node:%%M /user:admin /password:pass cpu get name^,numberofcores /format:csv ^| findstr /v ^$) do ( echo %%M,%%A,%%B,%%C %OUTPUT% ) )这段脚本里有两个细节值得说第一for /f配合skip1是为了跳过 CSV 的表头行因为 WMIC 输出的 CSV 会用Node开头的一行作为列标题第二命令中的逗号要用^,转义否则for /f的解析分隔符会提前把参数拆开。这个坑我当时查了很久才确认网络教程里很少有人提。如果你要做更规范的信息收集我建议直接换成 PowerShell后面我会给出替代方案。3.4 基于 WMIC 的定时巡检监控进程和磁盘水位WMIC 适合在schtasks里做轻量级巡检。比如写一个check_disk.bat检查 C 盘剩余空间低于 10% 时写事件日志echo off for /f skip1 tokens2 delims, %%S in (wmic logicaldisk where deviceidC: get freespace^,size /format:csv ^| findstr /v ^$) do set FREE_BYTES%%S rem 这里除以换算系数实际执行时for /f的逗号分隔要仔细处理tokens2对应 freespace 所在位置表头行和数据行的顺序可能受系统版本影响。做这种巡检脚本我建议先在单机上把输出格式跑通再上调度否则排错成本很高。4. 常见问题与排查技巧实录那些年踩过的 WMIC 坑用 WMIC 最多的年头我几乎每天都要面对各种报错。这一节我整理几个出现频率最高的问题以及我的排查思路希望对你有帮助。4.1 输出乱码中文环境下的经典问题在中文 Windows 上执行wmic cpu get name经常返回名称、处理器之类的中文表头或者某些属性值显示成乱码。这是两个层面引起的一是 WMIC 自身输出的列名和类的说明使用系统语言二是 cmd 默认代码页如 936/GBK与 WMI 返回的 Unicode 内容不一致。我的常用解法是在命令行前切换代码页chcp 65001 wmic cpu get name或者在命令后加上/locale:ms_409强制 WMIC 使用英文语言标识符wmic /locale:ms_409 cpu get name这样列名会显示为英文便于脚本解析。不过我提醒一句/locale:ms_409并不是万能钥匙某些本地化属性内容仍会跟随系统语言不要过度依赖。4.2 权限不足0x80070005 与远程 0x800706BA本地执行修改操作报 0x80070005E_ACCESSDENIED基本可以断定当前进程没有管理员权限。解决方法是右键以管理员身份运行 cmd。如果是在任务计划程序里调用记得勾选使用最高权限运行。远程执行时最常见的报错是 0x800706BA意思是 RPC 服务器不可用。这个错误十有八九是目标机器上的 Windows Management Instrumentation 服务没启动或者防火墙拦了 135 端口。排查步骤我一般按顺序走先确认目标机器Winmgmt服务状态再检查防火墙入站规则是否允许Windows Management Instrumentation (WMI)最后在目标机器上用wmic process list brief自测一下。如果报 0x80041010一般是查询的类或属性在当前系统上不存在比如在旧系统上查 UEFI 相关的属性就会如此。这时用别的老牌属性替代不要死磕。4.3 查询卡死或异常慢product别名的坑wmic product get name这条命令看起来人畜无害但执行起来能让你怀疑人生。原因是product别名对应的Win32_Product类在枚举时会对每个已安装软件触发一次安装程序重新配置检查速度奇慢极端情况下长达十几分钟还会误改软件安装状态。我的建议是非必要不要用product别名查软件列表。想快速判断某软件是否安装可以查注册表卸载项reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall /s /v DisplayName也可以用 PowerShell 的Get-ItemProperty方式。这条经验我在多篇技术讨论里都强调过但每次还是有人踩进去。4.4 别名和类名混用造成的困惑WMIC 的别名并非总与类名一一对应。例如wmic cpu对应类Win32_Processor但wmic memcache和wmic memorychip是不同的类分别对应内存缓存和设备信息。如果你只记得类名命令就会提示 Invalid alias verb 或 Invalid class。遇到这种情况直接查帮助最省事wmic alias它会列出当前系统支持的别名列表。WMIC 的交互提示符里输入/?也同样管用。我在新环境上跑命令前经常会先看一眼别名列表免得用错。4.5 参数转义在批处理和 PowerShell 中调用 WMIC这是最容易翻车的地方。在批处理中写 WMIC 的 WHERE 条件双引号要用\转义吗其实批处理里普通双引号不需要转义但当你把 WMIC 命令放在for /f的反引号中时内部的双引号就要特别留意。在 PowerShell 中调用规则又不同。我推荐一个省心策略所有复杂查询先写在.bat或.ps1脚本文件里不要在命令行直接粘贴含有大量引号和特殊字符的 WMIC 命令。本地的转义规则可以单独实验远程批量时直接跑脚本文件可维护性高得多。5. 从 WMIC 到 PowerShell CIM平滑迁移的思路前面说了 WMIC 的各种好用但必须正视现实微软已经弃用 WMIC新系统上可能直接没有这个命令。我在 Windows 11 某测试机上就遇到过wmic不存在的情况只能改造脚本。这一节聊聊迁移思路。5.1 对应关系速查从别名到 CIM 类PowerShell 里替代 WMIC 的主力是Get-CimInstance推荐和Get-WmiObject旧脚本兼容。对应关系很简单WMIC 别名CIM 类PowerShell 示例cpuWin32_ProcessorGet-CimInstance Win32_ProcessorosWin32_OperatingSystemGet-CimInstance Win32_OperatingSystemlogicaldiskWin32_LogicalDiskGet-CimInstance Win32_LogicalDiskprocessWin32_ProcessGet-CimInstance Win32_ProcessserviceWin32_ServiceGet-CimInstance Win32_ServicenicconfigWin32_NetworkAdapterConfigurationGet-CimInstance Win32_NetworkAdapterConfigurationqfeWin32_QuickFixEngineeringGet-CimInstance Win32_QuickFixEngineering举个例子以前写wmic cpu get name,numberofcores迁移后就是Get-CimInstance Win32_Processor | Select-Object Name,NumberOfCores过滤条件从where drivetype3变成 PowerShell 的Where-Object或-FilterGet-CimInstance Win32_LogicalDisk -Filter DriveType3 | Select-Object DeviceID,Size,FreeSpace5.2 输出成 CSV 的新方式WMIC 用/format:csv生成 CSVPowerShell 直接Export-CsvGet-CimInstance Win32_ComputerSystem | Select-Object Manufacturer,Model,TotalPhysicalMemory | Export-Csv -Path asset.csv -NoTypeInformation -Encoding UTF8同样是 CSVPowerShell 的可控性明显更高编码、列名、附加信息都可以精确管理。5.3 远程批量的新姿势以前的wmic /node:用-ComputerName替代凭据用-Credential传PSCredential对象$cred Get-Credential Get-CimInstance Win32_Processor -ComputerName 192.168.1.10 -Credential $cred | Select-Object Name,NumberOfCores批量循环时可以直接把机器列表丢给一个数组用ForEach-Object并行或串行执行。将来如果还需要兼容旧系统可以保留 WMIC 逻辑再用if (Get-Command wmic)做运行时判断但新写的脚本我不建议再依赖 WMIC。写在最后分享一个小技巧如果你还没完全切到 PowerShell但又想在 Excel 里快速整理 WMIC 结果先去 cmd 里执行一次wmic /output:result.csv process list brief /format:csv再用 Excel 打开这个 CSV。你会发现比直接从控制台复制粘贴干净得多也避免了对齐错乱的问题。WMIC 虽老但把它的输出习惯摸透了在批量运维场景里依然能给你省下大量时间。