# WorkBuddy 实战：8GB 内存被吃干、点一下顿一下——顽固推广软件清理全记录

> 摘要：一台 2015 款 iMac 装的 Windows，内存 8GB 板载焊死、无法升级，开机占用 88%，点开始菜单要顿一下。用 WorkBuddy 从诊断到处置走完全程，可用内存从 359 MB 回到 2.3 GB，缺页中断从 55,018 次/秒降到 0。这篇记录完整过程、可直接复用的 PowerShell 命令，以及普通权限下对付驱动保护型推广软件的思路。

## 一、现场：一台"加不了内存"的机器

先说清楚硬件前提，不然下面很多选择会看不懂：

| 项目 | 情况 |
|---|---|
| 机型 | 2015 款 iMac 21.5" 4K，Boot Camp 装 Windows 10 专业版（19045） |
| CPU | Intel i5-5575R，2 核 4 线程 |
| 内存 | 8GB LPDDR3，**板载焊死，物理上无法升级** |
| 硬盘 | SATA 内置 SSD，C 盘剩 94GB / D 盘剩 192GB |

症状是那种说不上坏但很难受的卡：开机后内存占用 **88%**，进程数 **401 个**，点开始菜单要顿一下，打字有延迟。

内存焊死，意味着"加根内存条"这条路根本不存在。**只能在软件层面把被吃掉的内存抢回来。**

## 二、第一步：先诊断，别急着"清理垃圾"

这是我最想强调的一点。

遇到电脑慢，绝大多数人的第一反应是清临时文件、清回收站、清缓存。我让 WorkBuddy 先把真实数据摊开，结果很意外：

```text
磁盘活动率：0%      队列长度：0
内存：总 8,192 MB / 可用 359 MB（已用 88%）
缺页中断：55,018 次/秒
```

**磁盘活动率 0%、队列长度 0**——意思是磁盘根本不忙。所以清临时文件、清回收站对速度**毫无意义**，那是在给一台没在堵车的路上画车道线。

真正的元凶是最后一行：**缺页中断 55,018 次/秒**。

缺页中断（Pages/sec）是什么？物理内存不够用的时候，Windows 会把暂时不用的内存页写到硬盘的页面文件里，等要用的时候再读回来。这个数字达到 5 万次/秒，意味着 CPU 大量时间花在**等硬盘 IO** 上，而不是在算东西。

你感受到的"点一下顿一下"，就是这个。它不是 CPU 慢，是内存不够导致的持续换页。

> 一条经验：**排查卡顿先看缺页中断和内存可用量，不要先看 CPU 和磁盘**。CPU 高但缺页为 0 的机器，通常不卡；缺页上万的机器，CPU 再空也会顿。

## 三、第二步：揪出到底是谁在吃内存

打开任务管理器，你会看到一屏同名进程——`msedgewebview2.exe` 十几个、`conhost.exe` 十八个，根本看不出是谁拉起来的。

WorkBuddy 教我用**父进程溯源**，一路往上追到真正的宿主：

```powershell
$procs = Get-CimInstance Win32_Process
$byId  = @{}
foreach ($p in $procs) { $byId[[int]$p.ProcessId] = $p }

foreach ($w in ($procs | Where-Object { $_.Name -eq 'msedgewebview2.exe' })) {
    $cur = $w; $depth = 0
    # 沿父进程一路向上，直到不再是同名进程
    while ($cur -and $depth -lt 8) {
        $par = $byId[[int]$cur.ParentProcessId]
        if (-not $par) { break }
        if ($par.Name -ne 'msedgewebview2.exe') { break }
        $cur = $par; $depth++
    }
    $hostProc = $byId[[int]$cur.ParentProcessId]
    "{0,-40}  <-  {1}" -f $w.Name, $hostProc.Name
}
```

跑出来的结果让我吃了一惊：后台躺着 **30 个 WebView2 渲染进程，合计 1,227 MB**，而它们的父链指向几个看起来人畜无害的目录——比如 `Program Files (x86)\LhpSafeSurf\Utils\EdgeWeb.exe`、`%APPDATA%\RecoverBin\utils\webview2.exe`。

**这里有个很值得记住的结论：很多推广软件的弹窗和广告，本质就是一个"隐形浏览器"。** 你在屏幕上什么窗口都看不到，但它有一套完整的 Edge 渲染进程组在后台跑着，随时准备弹广告。

顺带还查到一个具体的作案现场：`%APPDATA%\keytask\` 目录下有 184 MB 的广告素材，其中一个弹窗载荷的文件名叫 `keytaskpop_bzbz0807.ui`，缓存地址指向游戏推广域名——桌面上莫名出现的游戏广告图标就是从这来的。

## 四、第三步：先把不需要管理员权限的活干完

处置前先分两类：**能杀的**和**杀不掉的**。

实测下来，普通权限能干净结束的：

| 目标 | 释放 |
|---|---|
| 抖音 App 侧 7 个进程 | 约 600 MB（App 本体不动） |
| 微信输入法更新器进程 | 116 MB（输入法本体保留） |
| 爱奇艺后台进程（它撑着 18 个 WebView2） | 约 310 MB |

另外把桌面上被塞进来的推广快捷方式移进隔离目录，这一步很简单但很有效——它们本身就是推送渠道。

## 五、第四步：真正管用的两招

到这里，"能杀的"已经杀完了。剩下的推广模块全部返回**拒绝访问**，杀掉 3 秒内自动重生——它们注册了自启服务，还有内核驱动保护进程。这属于必须提权的部分，我在最后单独说。

但有两招是**纯用户权限就能生效**的，而且对付驱动保护的推广软件同样有效，这是这轮最有价值的发现。

### 招数 1：载荷目录免疫

**原理**：推广模块分两部分——"执行体"（进程 + 驱动，你杀不掉）和"载荷"（弹窗素材、配置、缓存，放在用户可写目录里）。你打不过执行体，但你可以**端掉它的弹药**。

做法是把整个载荷目录移走，然后在原路径放一个同名的**只读文件**当占位。推广模块下次想往这个路径写东西时，会发现路径已被占用，且是个删不掉的只读文件。

```powershell
# 要免疫的目录清单（写成配置文件，按 @ = APPDATA、~ = LOCALAPPDATA 简写）
$targets = @(
    "$env:APPDATA\keytask",
    "$env:APPDATA\misc",
    "$env:LOCALAPPDATA\RecoverBin",
    "$env:LOCALAPPDATA\Vaultify",
    "$env:LOCALAPPDATA\pc_update_helper"
)
$backupRoot = "C:\Users\Apple\AdwareBackup_20261012\payload_backup"
New-Item -ItemType Directory -Path $backupRoot -Force | Out-Null

foreach ($t in $targets) {
    if (-not (Test-Path -LiteralPath $t)) { continue }
    $name = Split-Path -Leaf $t
    try {
        # 1) 整个目录移进备份区（先备份，不删除）
        Move-Item -LiteralPath $t -Destination (Join-Path $backupRoot $name) -Force -ErrorAction Stop
        # 2) 原路径放只读占位文件，堵死它的写入路径
        Set-Content -LiteralPath $t -Value 'RESERVED BY CLEANUP' -Encoding ASCII
        (Get-Item -LiteralPath $t -Force).IsReadOnly = $true
        "[已免疫] $t"
    } catch {
        "[失败] $t -> $($_.Exception.Message)"
    }
}
```

有一点很关键：**如果目录里有程序正在运行，`Move-Item` 会失败**（文件被占用）。所以顺序必须是——先杀进程，趁它重启的空档立刻搬目录。我实际就是靠"杀进程 + 抢在重生前搬走"这个时间差，才拿下了几个原本死活搬不动的目录。

这一招最后拿下了 **50 个**载荷目录，其中包括那个 184 MB 的广告素材库和好几个之前完全动不了的"文件恢复/优化大师"类模块。

### 招数 2：一个常驻守护，从"事后清理"变成"事前拦截"

手动清理有个天然缺陷：**你清完，它明天还能回来**。所以最后一步是让机器自己看住。

我写了一个三合一的守护脚本（`guard.ps1`），注册成开机自启 + 每 2 分钟自检的计划任务：

**① 快捷方式拦截**——监听桌面和开始菜单，出现符合特征库的推广图标立刻收进隔离区。特征库分三类：`boot`（强力拦截）、`live`（仅实时拦截）、`kw`（关键词匹配，比如含"加速""优化大师""极速浏览器"这类字样的）。累计拦下 **58 个**。

**② 进程压制**——这是核心。每 10 秒检查一次：如果一个渲染进程的**父进程属于推广模块**，就把它结束掉。

```powershell
$killParents = Get-Content "$env:LOCALAPPDATA\ShortcutGuard\guard_prockill.txt"  # 41 项进程名
while ($true) {
    foreach ($p in (Get-CimInstance Win32_Process -Filter "Name='msedgewebview2.exe'")) {
        $par = (Get-Process -Id $p.ParentProcessId -ErrorAction SilentlyContinue).ProcessName
        if ($killParents -contains $par) {
            Stop-Process -Id $p.ProcessId -Force -ErrorAction SilentlyContinue
        }
    }
    Start-Sleep -Seconds 10
}
```

逻辑上很关键的一点：**不是见 WebView2 就杀**。Edge、微信、输入法、办公工具都在用 WebView2，无差别杀会误伤。按"父进程是谁"来判定，就能做到只压制推广的渲染进程，广告页面再也拼不出来。上线第一次运行就干掉了 **21 个**广告渲染进程。

**③ 载荷目录免疫**——每 25 秒复查一遍免疫清单，只要发现某个目录被重建，就再搬走再占位。

注册计划任务（这一段需要管理员权限执行一次）：

```powershell
$script  = "$env:LOCALAPPDATA\ShortcutGuard\guard.ps1"
$action  = New-ScheduledTaskAction -Execute 'powershell.exe' `
           -Argument "-NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File `"$script`""
$atLogon = New-ScheduledTaskTrigger -AtLogOn
$repeat  = New-ScheduledTaskTrigger -Once -At (Get-Date) `
           -RepetitionInterval (New-TimeSpan -Minutes 2)
$settings = New-ScheduledTaskSettingsSet -MultipleInstances IgnoreNew `
            -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries

Register-ScheduledTask -TaskName 'ShortcutGuard' -TaskPath '\ShortcutGuard\' `
    -Action $action -Trigger $atLogon, $repeat -Settings $settings -Force
```

> 单实例这里踩过一个坑：脚本最初用"锁文件时间戳"判断自己是不是已经在跑，但锁文件要等启动扫描完成后才第一次写入，**两个进程同时启动都能通过检查**，结果白跑两份吃 CPU。后来改用 Windows **命名互斥体（Named Mutex）** 才真正锁住单实例。

## 六、效果：本机实测数据

| 指标 | 处置前 | 处置后 |
|---|---|---|
| 可用内存 | 359 MB | **2,365 MB** |
| 内存已用率 | 95.2% | **70.7%** |
| 整机 CPU | 77.2% | **18.4%** |
| **缺页中断** | **55,018 次/秒** | **0 次/秒** |
| 进程总数 | 401 | 240 |
| 后台 WebView2 渲染进程 | 30 个（1,227 MB） | 6 个 |
| 被免疫的载荷目录 | 0 | 50 |
| 拦下的推广快捷方式 | 0 | 58 |

最直观的感受变化是那个"顿一下"消失了。这一点也不意外——缺页中断从 5.5 万次/秒降到 0，CPU 不用再等硬盘了。

## 七、留给同行的 5 条避坑清单

1. **先看缺页中断，再看 CPU 和磁盘。** 磁盘活动率 0% 的机器，清临时文件是在浪费你的时间。

2. **同名进程要看父进程。** 任务管理器里十几个 `msedgewebview2.exe` 不代表浏览器，很可能是推广软件的隐形窗口。用父进程溯源一眼看穿。

3. **驱动保护的推广软件杀不掉，但它的载荷目录你可以端。** 移走 + 只读占位这一招，不需要管理员权限，对受内核驱动保护的模块同样有效。记得先备份。

4. **抢时间差。** 被占用的目录搬不动时，先杀进程，再趁它重启前的几秒内快速搬走。

5. **不要无差别杀 WebView2。** 按父进程判定，否则会误伤你自己的浏览器和办公软件。

最后说一句实话：这类软件有自启服务 + 内核驱动保护，**纯用户权限能做到"压制"，做不到"根除"**。真正彻底的一步——停用服务、卸载驱动、清理安装目录——仍然需要一次管理员权限操作。我能做的，是让它在你日常工作的大部分时间里够不着你。

> 本文所有命令均在本机 Windows 10 环境下实测。操作涉及进程结束与目录移动，请先备份重要数据，并保留一份可回滚的备份目录。


摘要：一台 2015 款 iMac 装的 Windows，内存 8GB 板载焊死、无法升级，开机占用 88%，点开始菜单要顿一下。用 WorkBuddy 从诊断到处置走完全程，可用内存从 359 MB 回到 2.3 GB，缺页中断从 55,018 次/秒降到 0。这篇记录完整过程、可直接复用的 PowerShell 命令，以及普通权限下对付驱动保护型推广软件的思路。

02-WorkBuddy-顽固推广清理实录.md

人工智能

一台2015款iMac运行Windows内存焊死无法升级，开机占用88%卡顿严重。用WorkBuddy完整诊断发现元凶是缺页中断高达55,018次/秒，通过父进程溯源揪出推广软件隐藏的WebView2进程和载荷目录，实施目录免疫、进程压制等策略，可用内存从359MB回升至2.3GB，缺页中断降为0，附带可直接复用的PowerShell命令。

代码解释

WorkBuddy 

Windows

2026上云采购 | AI焕新·智启新局

workbuddy

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

一台2015款iMac运行Windows内存焊死无法升级，开机占用88%卡顿严重。用WorkBuddy完整诊断发现元凶是缺页中断高达55,018次/秒，通过父进程溯源揪出推广软件隐藏的WebView2进程和载荷目录，实施目录免疫、进程压制等策略，可用内存从359MB回升至2.3GB，缺页中断降为0，附带可直接复用的Po...

02-WorkBuddy-顽固推广清理实录.md-腾讯云开发者社区-腾讯云

02-WorkBuddy-顽固推广清理实录.md

02-WorkBuddy-顽固推广清理实录.md

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐