**1. 干什么** COM（Component Object Model，即组件对象模型，程序间按统一接口规范创建并调用对方对象的二进制接口）使程序无需互相认识即可经 CoCreateInstance 使用系统对象。WMI 是 COM 的大型应用，把系统资源建模为类并经 DCOM/RPC 访问。 **2. 谁在调** * 用户态主体：wmic.exe、PowerShell 的 Get-CimInstance、客户端程序。 * 系统层封装：CoCreateInstance、IWbemServices、DCOM/RPC（135 端口起步）。 * 服务主体：winmgmt WMI 服务，再进内核取数。 **3. 做什么业务** 查询 Win32\_Process 时，客户端先 CoCreateInstance 取得 IWbemServices 接口，经 DCOM 连到本机或远程 WMI 服务，由 winmgmt 进内核取数返回。WMI 不仅可查询，IWbemServices 的 ExecMethod 可调用 Win32\_Process.Create 在目标拉起进程。该路