可通过五种方法反向定位进程的可执行文件路径：一、任务管理器“打开文件所在的位置”；二、启用“映像路径名称”列；三、PowerShell使用Get-Process查询Path；四、通过进程属性窗口查看“位置”字段；五、用Process Explorer查看Image Path及签名。
如果您正在运行某个程序，但无法确定其可执行文件实际位于哪个磁盘路径，则可通过进程本身反向定位其安装目录。以下是多种可靠且互为补充的定位方法：
一、通过任务管理器“打开文件所在的位置”跳转
该方法利用系统内置功能直接导航至进程主模块（.exe）所在的文件夹，操作快捷、无需权限提升，适用于绝大多数图形界面桌面应用。
1、按下 Ctrl + Shift + Esc 组合键，打开任务管理器。
2、切换到 “详细信息”选项卡（若默认显示为“进程”页，请先点击左下角“详细信息”链接）。
3、在进程列表中找到目标程序（如 chrome.exe、notepad.exe 或 msedge.exe）。
4、右键单击该进程，在弹出菜单中选择 “打开文件所在的位置”。
5、文件资源管理器将自动启动，并高亮显示该 .exe 文件所在的完整文件夹；地址栏中即为程序运行路径。
二、在任务管理器中启用并查看“映像路径名称”列
此方式可在不跳转窗口的前提下，于任务管理器界面中批量查看所有进程的完整启动路径，尤其适合同时核查多个程序或快速比对路径合法性。
1、在任务管理器“详细信息”选项卡中，右键点击任意列标题（例如“名称”或“PID”）。
2、从弹出菜单中选择 “选择列”。
3、在打开的窗口中，向下滚动并勾选 “映像路径名称”（Windows 11 默认支持该字段）。
4、点击“确定”，返回后即可在新增列中看到每个进程的绝对路径（例如：C:\Program Files\Microsoft\Edge\Application\msedge.exe）。
5、若某行显示 “访问被拒绝”，说明该进程受系统保护（如 csrss.exe 或 smss.exe），此时应改用“打开文件所在的位置”尝试跳转。
三、使用 PowerShell 查询指定进程的完整路径
PowerShell 可精准获取进程的 Path 属性值，支持按名称或 PID 筛选，对识别伪装路径、验证进程真实性具有关键作用。
1、按下 Win + X，在快捷菜单中选择 “终端（管理员）” 或 “Windows PowerShell（管理员）”。
2、输入以下命令并回车（将 notepad 替换为目标进程名）：
Get-Process -Name notepad | Select-Object ProcessName, Id, Path
3、若返回结果中 Path 字段为空白，表明该进程由宿主加载（如 svchost.exe 或 dllhost.exe），需结合 Get-WmiObject Win32_Process 进一步查询。
4、对已知 PID 的进程（如 PID 为 1234），可执行：
Get-Process -Id 1234 | Select-Object Path
四、通过进程属性窗口直接读取路径
当“打开文件所在的位置”因路径不存在、权限不足或符号链接异常而失败时，属性窗口提供原始、静态的路径信息，是验证安装位置的最终依据之一。
1、在任务管理器“详细信息”选项卡中，右键单击目标进程。
2、选择 “属性”（部分系统版本需以管理员身份运行任务管理器才可访问）。
3、在弹出窗口中切换至 “常规”选项卡。
4、查看 “位置”字段，其内容即为该进程可执行文件的完整路径（例如：C:\Windows\System32\notepad.exe）。
5、可点击路径右侧的 “复制”按钮，或将光标置于路径上按 Ctrl + A 全选后按 Ctrl + C 备用。
五、使用 Process Explorer 查看底层映像路径与签名状态
Process Explorer 是微软官方 Sysinternals 工具，能显示进程的原始映像路径、命令行参数及数字签名验证结果，可有效区分合法系统组件与恶意仿冒进程。
1、访问微软 Sysinternals 官网下载 Process Explorer：
https://learn.microsoft.com/zh-cn/sysinternals/downloads/process-explorer
2、解压后双击运行 procexp64.exe（无需安装，建议以管理员身份运行）。
3、点击顶部菜单栏 “View” → “Select Columns…”，切换至 “Process Image” 选项卡。
4、勾选 Image Path、Command Line 和 Verified Signer 三项，点击“确定”。
5、在主窗口中找到目标进程，其 Image Path 列即显示完整映像路径；若 Verified Signer 显示为 “Microsoft Windows”，表示该进程经可信签名验证。
