可疑的服务器 服务器常见故障处理
SVCHOST.EXE这个可疑程序怎么办
1.利用假冒Svchost.exe名称的病毒程序这种方式运行的病毒并没有直
接利用真正的Svchost.exe进程，而是启动了另外一个名称同样是
Svchost.exe的病毒进程，由于这个假冒的病毒进程并没有加载系统服
务，它和真正的Svchost.exe进程是不同的，只需在命令行窗口中运行
一下“Tasklist/svc”，如果看到哪个Svchost.exe进程后面提示的服
务信息是“暂缺”，而不是一个具体的服务名，那么它就是病毒进程了
，记下这个病毒进程对应的PID数值(进程标识符)，即可在任务管理器
的进程列表中找到它，结束进程后，在C盘搜索Svchost.exe文件，也可
以用第三方进程工具直接查看该进程的路径，正常的Svchost.exe文件
是位于%systemroot%\System32目录中的，而假冒的Svchost.exe病毒或
木马文件则会在其他目录，例如“w32.welchina.worm”病毒假冒的
Svchost.exe就隐藏在Windows\System32\Wins目录中，将其删除，并彻
底清除病毒的其他数据即可。 2:一些高级病毒则采用类似系统服务启
动的方式，通过真正的Svchost.exe进程加载病毒程序，而Svchost.exe
是通过注册表数据来决定要装载的服务列表的，所以病毒通常会在注册
表中采用以下方法进行加载：添加一个新的服务组，在组里添加病毒
服务名在现有的服务组里直接添加病毒服务名修改现有服务组里的现
有服务属性，修改其“ServiceDll”键值指向病毒程序判断方法:病毒
程序要通过真正的Svchost.exe进程加载，就必须要修改相关的注册表
数据，可以打开
[HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\
CurrentVersion\Svchost]，观察有没有增加新的服务组，同时要留意
服务组中的服务列表，观察有没有可疑的服务名称，通常来说，病毒不
会在只有一个服务名称的组中添加，往往会选择LocalService和
netsvcs这两个加载服务较多的组，以干扰分析，还有通过修改服务属
性指向病毒程序的，通过注册表判断起来都比较困难，这时可以利用前
面介绍的服务管理专家，分别打开LocalService和netsvcs分支，逐个
检查右边服务列表中的服务属性，尤其要注意服务描述信息全部为英文
的，很可能是第三方安装的服务，同时要结合它的文件描述、版本、公
司等相关信息，进行综合判断。例如这个名为PortLess BackDoor的木
马程序，在服务列表中可以看到它的服务描述为“Intranet Services
”，而它的文件版本、公司、描述信息更全部为空，如果是微软的系统
服务程序是绝对不可能出现这种现象的。从启动信息
“C:\WINDOWS\System32\svchost.exe-k netsvcs”中可以看出这是一
款典型的利用Svchost.exe进程加载运行的木马，知道了其原理，清除
方法也很简单了：先用服务管理专家停止该服务的运行，然后运行
regedit.exe打开“注册表编辑器”，删除
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\IPRIP]主键，重新启动计算机，再删除%systemroot%
\System32目录中的木马源程序“svchostdll.dll”，通过按时间排序
，又发现了时间完全相同的木马安装程序“PortlessInst.exe”，一并
删除即可。 svchost.exe是nt核心系统的非常重要的进程，对于2000、
xp来说，不可或缺。很多病毒、木马也会调用它。所以，深入了解这个
程序，是玩电脑的必修课之一。大家对windows操作系统一定不陌
生，但你是否注意到系统中“svchost.exe”这个文件呢？细心的朋友
会发现windows中存在多个“svchost”进程（通过“ctrl+alt+del”
键打开任务管理器，这里的“进程”标签中就可看到了），为什么会这
样呢？下面就来揭开它神秘的面纱。发现在基于nt内核的windows
操作系统家族中，不同版本的windows系统，存在不同数量的“svchost
”进程，用户使用“任务管理器”可查看其进程数目。一般来说，
win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进
程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟
），而win2003 server中则更多。这些svchost进程提供很多系统服务
，如：rpcss服务（remote procedure call）、dmserver服务
（logical disk manager）、dhcp服务（dhcp client）等。如果
要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命
令提示符窗口中输入“tlist-s”命令来查看，该命令是win2000
support tools提供的。在winxp则使用“tasklist/svc”命令。
svchost中可以包含多个服务深入 windows系统进程分为独立进程和
共享进程两种，“svchost.exe”文件存在于“%systemroot% system32
”目录下，它属于共享进程。随着windows系统服务不断增多，为了节
省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来
启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即
它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供
任何服务。那这些服务是如何实现的呢？原来这些系统服务是以动
态链接库（dll）形式实现的，它们把可执行程序指向 svchost，由
svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道
某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中
设置的参数来实现。下面就以rpcss（remote procedure call）服务为
例，进行讲解。从启动参数中可见服务是靠svchost来启动的。实
例以windows xp为例，点击“开始”/“运行”，输入
“services.msc”命令，弹出服务对话框，然后打开“remote
procedure call”属性对话框，可以看到rpcss服务的可执行文件的路
径为“c:\windows\system32\svchost-k rpcss”，这说明rpcss服务
是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在
系统注册表中的。在运行对话框中输入“regedit.exe”后回车，
打开注册表编辑器，找到[hkey_local_machine
systemcurrentcontrolsetservicesrpcss]项，找到类型为
“reg_expand_sz”的键“magepath”，其键值为“%systemroot%
system32svchost-k rpcss”（这就是在服务窗口中看到的服务启动命
令），另外在“parameters”子项中有个名为“servicedll”的键，其
值为“% systemroot%system32rpcss.dll”，其中“rpcss.dll”就是
rpcss服务要使用的动态链接库文件。这样 svchost进程通过读取
“rpcss”服务注册表信息，就能启动该服务了。解惑因为svchost
进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它
的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒
“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正
常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明
。假设windows xp系统被“w32.welchia.worm”感染了。正常的
svchost文件存在于“c:\windows\system32”目录下，如果发现该文件
出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于
“c:\windows\system32wins”目录中，因此使用进程管理器查看
svchost进程的执行文件路径就很容易发现系统是否感染了病毒。
windows系统自带的任务管理器不能够查看进程的路径，可以使用第三
方进程管理软件，如“windows优化大师”进程管理器，通过这些工具
就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其
执行路径为不平常的位置就应该马上进行检测和处理。由于篇幅的
关系，不能对svchost全部功能进行详细介绍，这是一个windows中的一
个特殊进程，有兴趣的可参考有关技术资料进一步去了解它。大家都要
知道Svchost.exe,是系统必不可少的一个进程,很多服务都会多多少少
用到它,但是我想大家也知道,由于它本身特殊性,高明的"黑客们"
肯定是不会放过的,前段时间的Svchost.exe木马风波,大家应该是记忆
犹新吧,而且现在还是有很多机器里都藏有此木马,因为它伪装和系统进
程Svchost.exe一样,所以很多人分不清,那个是进程,那个是木马....
好的,还是让我们详尽了解一下Svchost.exe进程吧 1.多个服务
共享一个 Svchost.exe进程利与弊 windows系统服务分为独立进
程和共享进程两种，在windows NT时只有服务器管理器SCM
（Services.exe）有多个共享服务，随着系统内置服务的增加，在
windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。
windows 2000一般有2个svchost进程，一个是RPCSS（Remote
Procedure Call）服务进程，另外一个则是由很多服务共享的一个
svchost.exe。而在windows XP中，则一般有4个以上的svchost.exe服
务进程，windows 2003 server中则更多，可以看出把更多的系统内置
服务以共享进程方式由svchost启动是ms的一个趋势。这样做在一定程
度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何
一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务
都退出。另外就是有一点安全隐患，首先要介绍一下svchost.exe的实
现机制。 2. Svchost原理 Svchost本身只是作为服务宿主
，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式
实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这
些服务时由svchost调用相应服务的动态链接库来启动服务。
那么svchost如何知道某一服务是由哪个动态链接库负责呢？这不是由
服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参
数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll
表明该服务由哪个动态链接库负责。并且所有这些服务动态链接库都必
须要导出一个ServiceMain()函数，用来处理服务任务。例如
rpcss（Remote Procedure Call）在注册表中的位置是
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs，它的参
数子键Parameters里有这样一项：
"ServiceDll"=REG_EXPAND_SZ:"%SystemRoot%system32 pcss.dll"
当启动rpcss服务时，svchost就会调用rpcss.dll，并且执行其
ServiceMain()函数执行具体服务。既然这些服务是使用共享
进程方式由svchost启动的，为什么系统中会有多个svchost进程呢？ms
把这些服务分为几组，同组服务共享一个svchost进程，不同组服务使
用多个svchost进程，组的区别是由服务的可执行程序后边的参数决定
的。例如rpcss在注册表中
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs有这样
一项："ImagePath"=REG_EXPAND_SZ:"%SystemRoot%
system32svchost-k rpcss"因此rpcss就属于rpcss组，这在服务
管理控制台也可以看到。 svchost的所有组和组内的所有服务
都在注册表的如下位置：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
NTCurrentVersionSvchost，例如windows 2000共有4组rpcss、netsvcs
、wugroup、BITSgroup，其中最多的就是
netsvcs=REG_MULTI_SZ:EventSystem.Ias.Iprip.Irmon.Netman.
Nwsapagent.Rasauto.Rasman.Remoteaccess.SENS.
Sharedaccess.Tapisrv.Ntmssvc.wzcsvc..
在启动一个svchost.exe负责的服务时，服务管理器如果遇到可执行程
序内容ImagePath已经存在于服务管理器的映象库中，就不在启动第2个
进程svchost，而是直接启动服务。这样就实现了多个服务共享一个
svchost进程。 3. Svchost代码现在我们基本清楚svchost
的原理了，但是要自己写一个DLL形式的服务，由svchost来启动，仅有
上边的信息还有些问题不是很清楚。比如我们在导出的ServiceMain()
函数中接收的参数是ANSI还是Unicode？我们是否需要调用
RegisterServiceCtrlHandler和StartServiceCtrlDispatcher来注册服
务控制及调度函数？这些问题要通过查看svchost代码获得。
下边的代码是windows 2000+ service pack 4的svchost反汇编片段，
可以看出svchost程序还是很简单的。主函数首先调用
ProcCommandLine()对命令行进行分析，获得要启动的服务组，然后调
用SvcHostOptions()查询该服务组的选项和服务组的所有服务，并使用
一个数据结构 svcTable来保存这些服务及其服务的DLL，然后调用
PrepareSvcTable()函数创建 SERVICE_TABLE_ENTRY结构，把所有处
理函数SERVICE_MAIN_FUNCTION指向自己的一个函数FuncServiceMain
()，最后调用API StartServiceCtrlDispatcher()注册这些服务的调
度函数。;=============================== Main
Funcion=======================================
.text:010010B8 public start.text:010010B8 start proc near
.text:010010B8 push esi.text:010010B9 push edi
.text:010010BA push offset sub_1001EBA;
lpTopLevelExceptionFilter.text:010010BF xor edi, edi
.text:010010C1 call ds:SetUnhandledExceptionFilter
.text:010010C7 push 1; uMode.text:010010C9 call
ds:SetErrorMode.text:010010CF call ds:GetProcessHeap
.text:010010D5 push eax.text:010010D6 call sub_1001142
.text:010010DB mov eax, offset dword_1003018
.text:010010E0 push offset unk_1003000; lpCriticalSection
.text:010010E5 mov dword_100301C, eax.text:010010EA
mov dword_1003018, eax.text:010010EF call
ds:InitializeCriticalSection.text:010010F5 call
ds:GetCommandLineW.text:010010FB push eax; lpString
.text:010010FC call ProcCommandLine.text:01001101 mov
esi, eax.text:01001103 test esi, esi.text:01001105
jz short lab_doservice.text:01001107 push esi
.text:01001108 call SvcHostOptions.text:0100110D call
PrepareSvcTable.text:01001112 mov edi, eax;
SERVICE_TABLE_ENTRY returned.text:01001114 test edi, edi
.text:01001116 jz short loc_1001128.text:01001118 mov
eax, [esi+10h].text:0100111B test eax, eax
.text:0100111D jz short loc_1001128.text:0100111F push
dword ptr [esi+14h]; dwCapabilities.text:01001122 push
eax; int.text:01001123 call InitializeSecurity
.text:01001128.text:01001128 loc_1001128:; CODE XREF:
start+5Ej.text:01001128; start+65j.text:01001128
push esi; lpMem.text:01001129 call HeapFreeMem
.text:0100112E.text:0100112E lab_doservice:; CODE
XREF: start+4Dj.text:0100112E test edi, edi
.text:01001130 jz ExitProgram.text:01001136 push edi;
lpServiceStartTable.text:01001137 call
ds:StartServiceCtrlDispatcherW.text:0100113D jmp
ExitProgram.text:0100113D start endp;
=============================== Main Funcion end
===========================================由于
svchost为该组的所有服务都注册了svchost中的一个处理函数，因此每
次启动任何一个服务时，服务管理器SCM都会调用FuncServiceMain()
这个函数。这个函数使用 svcTable查询要启动的服务使用的DLL，调
用DLL导出的ServiceMain()函数来启动服务，然后返回。;
============================== FuncServiceMain()
===========================================
.text:01001504 FuncServiceMain proc near; DATA XREF:
PrepareSvcTable+44o.text:01001504.text:01001504
arg_0= dword ptr 8.text:01001504 arg_4= dword ptr 0Ch
.text:01001504.text:01001504 push ecx
.text:01001505 mov eax, [esp+arg_4].text:01001509 push
ebx.text:0100150A push ebp.text:0100150B push esi
.text:0100150C mov ebx, offset unk_1003000
.text:01001511 push edi.text:01001512 mov edi, [eax]
.text:01001514 push ebx.text:01001515 xor ebp, ebp
.text:01001517 call ds:EnterCriticalSection.text:0100151D
xor esi, esi.text:0100151F cmp dwGroupSize, esi
.text:01001525 jbe short loc_1001566.text:01001527 and
[esp+10h], esi.text:0100152B.text:0100152B
loc_100152B:; CODE XREF: FuncServiceMain+4Aj
.text:0100152B mov eax, svcTable.text:01001530 mov ecx,
[esp+10h].text:01001534 push dword ptr [eax+ecx]
.text:01001537 push edi.text:01001538 call ds:lstrcmpiW
.text:0100153E test eax, eax.text:01001540 jz short
StartThis.text:01001542 add dword ptr [esp+10h], 0Ch
.text:01001547 inc esi.text:01001548 cmp esi, dwGroupSize
.text:0100154E jb short loc_100152B.text:01001550 jmp
short loc_1001566.text:01001552;
=================================================
.text:01001552.text:01001552 StartThis:; CODE XREF:
FuncServiceMain+3Cj.text:01001552 mov ecx, svcTable
.text:01001558 lea eax, [esi+esi*2].text:0100155B lea
eax, [ecx+eax*4].text:0100155E push eax
.text:0100155F call GetDLLServiceMain.text:01001564 mov
ebp, eax; dll ServiceMain Function address.text:01001566
.text:01001566 loc_1001566:; CODE XREF:
FuncServiceMain+21j.text:01001566; FuncServiceMain+4Cj
.text:01001566 push ebx.text:01001567 call
ds:LeaveCriticalSection.text:0100156D test ebp, ebp
.text:0100156F jz short loc_100157B.text:01001571 push
[esp+10h+arg_4].text:01001575 push [esp+14h+arg_0]
.text:01001579 call ebp.text:0100157B
.text:0100157B loc_100157B:; CODE XREF: FuncServiceMain+6Bj
.text:0100157B pop edi.text:0100157C pop esi
.text:0100157D pop ebp.text:0100157E pop ebx
.text:0100157F pop ecx.text:01001580 retn 8
.text:01001580 FuncServiceMain endp; sp=-8;
============================== FuncServiceMain() end
========================================由于svchost已
经调用了StartServiceCtrlDispatcher来服务调度函数，因此我们在实
现DLL实现时就不用了，这主要是因为一个进程只能调用一次
StartServiceCtrlDispatcher API。但是需要用
RegisterServiceCtrlHandler来注册响应控制请求的函数。最后我们
的DLL接收的都是unicode字符串。由于这种服务启动后由
svchost加载，不增加新的进程，只是svchost的一个DLL，而且一般进
行审计时都不会去HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
NTCurrentVersionSvchost检查服务组是否变化，就算去检查，也不一
定能发现异常，因此如果添加一个这样的DLL后门，伪装的好，是比较
隐蔽的。 4.安装服务与设置要通过svchost调用来启动的
服务，就一定要在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
NTCurrentVersionSvchost下有该服务名，这可以通过如下方式来实现
： 1）添加一个新的服务组，在组里添加服务名 2）在现有组
里添加服务名 3）直接使用现有服务组里的一个服务名，但本机没
有安装的服务 4）修改现有服务组里的现有服务，把它的
ServiceDll指向自己其中前两种可以被正常服务使用，如使用
第1种方式，启动其服务要创建新的svchost进程；第2种方式如果该组
服务已经运行，安装后不能立刻启动服务，因为svchost启动后已经把
该组信息保存在内存里，并调用API StartServiceCtrlDispatcher()
为该组所有服务注册了调度处理函数，新增加的服务不能再注册调度处
理函数，需要重起计算机或者该组的svchost进程。而后两种可能被后
门使用，尤其是最后一种，没有添加服务，只是改了注册表里一项设置
，从服务管理控制台又看不出来，如果作为后门还是很隐蔽的。比如
EventSystem服务，缺省是指向es.dll，如果把ServiceDll改为
EventSystem.dll就很难发现。因此服务的安装除了调用
CreateService()创建服务之外，还需要设置服务的ServiceDll，如果
使用前2种还要设置svchost的注册表选项，在卸载时也最好删除增加的
部分。注： ImagePath和ServiceDll是ExpandString不是普
通字符串。因此如果使用.reg文件安装时要注意。 5. DLL服务
实现 DLL程序的编写比较简单，只要实现一个ServiceMain()函数和
一个服务控制程序，在ServiceMain()函数里用
RegisterServiceCtrlHandler()注册服务控制程序，并设置服务的运行
状态就可以了。另外，因为此种服务的安装除了正常的
CreateService()之外，还要进行其他设置，因此最好实现安装和卸载
函数。为了方便安装，实现的代码提供了InstallService()
函数进行安装，这个函数可以接收服务名作为参数（如果不提供参数，
就使用缺省的iprip），如果要安装的服务不在svchost的netsvcs组里
安装就会失败；如果要安装的服务已经存在，安装也会失败；安装成功
后程序会配置服务的ServiceDll为当前Dll。提供的UninstallService
()函数，可以删除任何函数而没有进行任何检查。为了方便使
用rundll32.exe进行安装，还提供了RundllInstallA()和
RundllUninstallA()分别调用InstallService()及UninstallService()
。因为rundll32.exe使用的函数原型是： void CALLBACK
FunctionName( HWND hwnd,// handle to owner window
HINSTANCE hinst,// instance handle for the DLL LPTSTR
lpCmdLine,// string the DLL will parse int nCmdShow//
show state);对应的命令行是rundll32
DllName,FunctionName [Arguments] DLL服务本身只是创建一
个进程，该程序命令行就是启动服务时提供的第一个参数，如果未指定
就使用缺省的svchostdll.exe。启动服务时如果提供第二个参数，创建
的进程就是和桌面交互的。干掉Svchost.exe进程！ 1.错误的解决
方法描述当我们按下Alt+Ctrl+Del打开任务管理器，发现进程中
出现多个Svchost.exe，则表明系统中毒，我们首先将所有的Svchost结
束掉，然后使用相关的杀毒工具查杀病毒。注: 2003年的
夏天,“冲击波”病毒横行的时候有一种说法就是Svchost.exe都是病毒
，一看到就要删除。这种说法让电脑用户人心惶惶，因为每个使用
Windows XP系统的用户在按照文章中介绍的检查有无Svchost.exe的方
法都可以找到几个Svchost.exe进程。有关Svchost.exe详见：
2.方案由来及后果在很多人的印象中，每个应用程序一般
只对应一个进程，如QQ对应QQ.EXE进程、记事本对应notepad.exe进程
等。所以当看到系统有多个同样名字的进程时，总是会将其联想为病毒
或者木马程序在作怪。如果不加思索，野蛮的将其中的某些
Svchost.exe进程结束掉，会让系统的运行变得不稳定。 3.正
确的解决办法 Windows进程分为独立进程和共享进程两种，
Svchost.exe属于后者。Windows XP为了节约系统资源，将很多个系统
服务做为共享方式由Svchost.exe来启动。Svchost本身只是作为服务宿
主，并不能实现任何服务功能， svchost通过调用相应服务的动态链接
库（DLL）来启动该服务，而Windows将这些服务分为几个组，同组的服
务共享一个Svchost进程，不同的组所指向的Svchost不同。通常情况下
，Windows XP有4个由Svchost启动的服务组，也就是说Windows XP系统
一般有4个Svchost.exe进程。当然某些应用程序或服务也有可能会调用
Svchost，所以当你看到系统中有多余4个的 Svchost.exe进程，也不要
盲目判断系统中了病毒。实际上Svchost.exe进程的个数跟是否中毒无
直接关系。小提示：★笔者做了下面一个非常有趣的测
试：打开任务管理器，切换到“进程”选项卡，首先手动结束掉由上到
下的第三个Svchost.exe进程，结束完后系统
什么是独立服务器
独立服务器是一种只为一个用户或组织提供服务的服务器。这意味着用户可以完全控制服务器上安装的软件和应用程序，以及服务器的硬件配置。相比之下，共享服务器则是多个用户共享的服务器，由托管公司提供。在共享服务器上，用户无法完全控制服务器配置和软件安装。
特点
完全控制
使用独立服务器，用户可以完全控制服务器上安装的软件和应用程序。这样可以根据需要进行优化，从而实现更好的性能和安全性。用户还可以完全控制服务器的硬件配置，包括处理器、内存、存储和网络连接。这种完全的控制权使得用户可以满足自己的特定需求。
更高的性能
由于独立服务器只为一个用户或组织提供服务，因此可以获得更高的性能。没有其他用户占用服务器资源，因此网站和应用程序可以更快地响应请求，并且在高流量情况下更加稳定。
更好的安全性
独立服务器通常具有更好的安全性。因为只有一个用户可以访问服务器，所以可以更好地控制访问权限。用户可以安装额外的安全软件和防火墙来保护服务器和网站免受网络攻击。
缺点
更高的成本
相比共享服务器，独立服务器的成本更高。用户需要购买服务器并支付额外的维护和管理费用。
需要技术知识
使用独立服务器需要一定的技术知识。用户需要了解如何安装和配置服务器上的软件和应用程序，并且需要知道如何保护服务器免受网络攻击。如果用户没有这些技能，可能需要雇用专业人员来提供支持。正如Hostease所展现的那样，独立服务器既可以提供快速的网络访问和稳定的运行效果，也可以配套提供中文技术支持。
什么是可疑进程怎么辨别啊
1）[system Idle Process]
进程文件: [system process] or [system process]
进程名称: Windows内存处理系统进程
描述: Windows页面内存管理进程，拥有0级优先。
介绍：该进程作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。它的cpu占用率越大表示可供分配的CPU资源越多，数字越小则表示CPU资源紧张。
（2）[alg.exe]
进程文件: alg or alg.exe
进程名称:应用层网关服务
描述:这是一个应用层网关服务用于网络共享。
介绍：一个网关通信插件的管理器，为“Internet连接共享服务”和“Internet连接防火墙服务”提供第三方协议插件的支持。
（3）[csrss.exe]
进程文件: csrss or csrss.exe
进程名称: Client/Server Runtime Server Subsystem
描述:客户端服务子系统，用以控制Windows图形相关子系统。
介绍:这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss用于维持Windows的控制，创建或者删除线程和一些16位的虚拟MS-DOS环境。
（4）[ddhelp.exe]
进程文件: ddhelp or ddhelp.exe
进程名称: DirectDraw Helper
描述: DirectDraw Helper是DirectX这个用于图形服务的一个组成部分。
简介：Directx帮助程序
（5）[dllhost.exe]
进程文件: dllhost or dllhost.exe
进程名称: DCOM DLL Host进程
描述: DCOM DLL Host进程支持基于COM对象支持DLL以运行Windows程序。
介绍：com代理，系统附加的dll组件越多，则dllhost占用的cpu资源和内存资源就越多，而8月的“冲击波杀手”大概让大家对它比较熟悉吧。
（6）[explorer.exe]
进程文件: explorer or explorer.exe
进程名称:程序管理
描述: Windows Program Manager或者Windows Explorer用于控制Windows图形Shell，包括开始菜单、任务栏，桌面和文件管理。
介绍：这是一个用户的shell，在我们看起来就像任务条，桌面等等。或者说它就是资源管理器，不相信你在运行里执行它看看。它对windows系统的稳定性还是比较重要的，而红码也就是找它的麻烦，在c和d根下创建explorer.exe。
（7）[inetinfo.exe]
进程文件: inetinfo or inetinfo.exe
进程名称: IIS Admin Service Helper
描述: InetInfo是Microsoft Internet Infomation Services(IIS)的一部分，用于Debug调试除错。
介绍：IIS服务进程，蓝码正是利用的inetinfo.exe的缓冲区溢出漏洞。
（8）[internat.exe]
进程文件: internat or internat.exe
进程名称: Input Locales
描述:这个输入控制图标用于更改类似国家设置、键盘类型和日期格式。internat.exe在启动的时候开始运行。它加载由用户指定的不同的输入点。输入点是从注册表的这个位置HKEY_USERS\.DEFAULT\Keyboard Layout\Preload加载内容的。internat.exe加载“EN”图标进入系统的图标区，允许使用者可以很容易的转换不同的输入点。当进程停掉的时候，图标就会消失，但是输入点仍然可以通过控制面板来改变。
介绍：它主要是用来控制输入法的，当你的任务栏没有“EN”图标，而系统有internat.exe进程，不妨结束掉该进程，在运行里执行internat命令即可。
（9）[kernel32.dll]
进程文件: kernel32 or kernel32.dll
进程名称: Windows壳进程
描述: Windows壳进程用于管理多线程、内存和资源。
介绍：更多内容浏览非法操作与Kernel32解读
（10）[lsass.exe]
进程文件: lsass or lsass.exe
进程名称:本地安全权限服务
描述:这个本地安全权限服务控制Windows安全机制。管理 IP安全策略以及启动 ISAKMP/Oakley(IKE)和 IP安全驱动程序等。
介绍：这是一个本地的安全授权服务，并且它会为使用winlogon服务的授权用户生成一个进程。这个进程是通过使用授权的包，例如默认的msgina.dll来执行的。如果授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的shell。其他的由用户初始化的进程会继承这个令牌的。而windows活动目录远程堆栈溢出漏洞，正是利用LDAP 3搜索请求功能对用户提交请求缺少正确缓冲区边界检查，构建超过1000个"AND"的请求，并发送给服务器，导致触发堆栈溢出，使Lsass.exe服务崩溃，系统在30秒内重新启动。
（11）[mdm.exe]
进程文件: mdm or mdm.exe
进程名称: Machine Debug Manager
描述: Debug除错管理用于调试应用程序和Microsoft Office中的Microsoft Script Editor脚本编辑器。
介绍：Mdm.exe的主要工作是针对应用软件进行排错(Debug)，说到这里，扯点题外话，如果你在系统见到fff开头的0字节文件，它们就是mdm.exe在排错过程中产生一些暂存文件，这些文件在操作系统进行关机时没有自动被清除，所以这些fff开头的怪文件里是一些后缀名为CHK的文件都是没有用的垃圾文件，可匀我馍境��换岫韵低巢��涣加跋臁6?X系统，只要系统中有Mdm.exe存在，就有可能产生以fff开头的怪文件。可以按下面的方法让系统停止运行Mdm.exe来彻底删除以fff开头的怪文件：首先按“Ctrl+Alt+Del”组合键，在弹出的“关闭程序”窗口中选中“Mdm”，按“结束任务”按钮来停止Mdm.exe在后台的运行，接着把Mdm.exe(在C:\Windows\System目录下)改名为Mdm.bak。运行msconfig程序，在启动页中取消对“Machine Debug Manager”的选择。这样可以不让Mdm.exe自启动，然后点击“确定”按钮，结束msconfig程序，并重新启动电脑。另外，如果你使用IE 5.X以上版本浏览器，建议禁用脚本调用(点击“工具→Internet选项→高级→禁用脚本调用”)，这样就可以避免以fff开头的怪文件再次产生。
（12）[mmtask.tsk]
进程文件: mmtask or mmtask.tsk
进程名称:多媒体支持进程
描述:这个Windows多媒体后台程序控制多媒体服务，例如MIDI。
介绍：这是一个任务调度服务，负责用户事先决定在某一时间运行的任务的运行。
13）[mprexe.exe]
进程文件: mprexe or mprexe.exe
进程名称: Windows路由进程
描述: Windows路由进程包括向适当的网络部分发出网络请求。
介绍：这是Windows的32位网络界面服务进程文件，网络客户端部件启动的核心。印象中“A-311木马(Trojan.A-311.104)”也会在内存中建立mprexe.exe进程，可以通过资源管理结束进程。
（14）[msgsrv32.exe]
进程文件: msgsrv32 or msgsrv32.exe
进程名称: Windows信使服务
描述: Windows信使服务调用Windows驱动和程序管理在启动。
介绍：msgsrv32.exe一个管理信息窗口的应用程序，win9x下如果声卡或者显卡驱动程序配置不正确，会导致死机或者提示msgsrv32.exe出错。
（15）[mstask.exe]
进程文件: mstask or mstask.exe
进程名称: Windows计划任务
描述: Windows计划任务用于设定继承在什么时间或者什么日期备份或者运行。
介绍：计划任务，它通过注册表自启动。因此，通过计划任务程序实现自启动的程序在系统信息中看不到它的文件名，一旦把它从注册表中删除或禁用，那么通过计划任务启动的程序全部不能自动运行。win9X下系统启动就会开启计划任务，可以通过双击计划任务图标－高级－终止计划任务来停止它自启动。另外，攻击者在攻击过程中，也经常用到计划任务，包括上传文件、提升权限、种植后门、清扫脚印等。
（16）[regsvc.exe]
进程文件: regsvc or regsvc.exe
进程名称:远程注册表服务
描述:远程注册表服务用于访问在远程计算机的注册表。
（17）[rpcss.exe]
进程文件: rpcss or rpcss.exe
进程名称: RPC Portmapper
描述: Windows的RPC端口映射进程处理RPC调用(远程模块调用)然后把它们映射给指定的服务提供者。
介绍：98它不是在装载解释器时或引导时启动，如果使用中有问题，可以直接在在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices添加"字符串值"，定向到"C:\WINDOWS\SYSTEM\RPCSS"即可。
（18）[services.exe]
进程文件: services or services.exe
进程名称: Windows Service Controller
描述:管理Windows服务。
介绍：大多数的系统核心模式进程是作为系统进程在运行。打开管理工具中的服务，可以看到有很多服务都是在调用%systemroot%\system32\service.exe
（19）[smss.exe]
进程文件: smss or smss.exe
进程名称: Session Manager Subsystem
描述:该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32壳子系统和运行在Windows登陆过程。
简介：这是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始化的并且对许多活动的，包括已经正在运行的Winlogon，Win32（Csrss.exe）线程和设定的系统变量作出反映。在它启动这些进程后，它等待Winlogon或者Csrss结束。如果这些过程时正常的，系统就关掉了。如果发生了什么不可预料的事情，smss.exe就会让系统停止响应（就是挂起）。
（20）[snmp.exe]
进程文件: snmp or snmp.exe
进程名称: Microsoft SNMP Agent
描述: Windows简单的网络协议代理（SNMP）用于监听和发送请求到适当的网络部分。
简介：负责接收SNMP请求报文，根据要求发送响应报文并处理与WinsockAPI的接口。
（21）[spool32.exe]
进程文件: spool32 or spool32.exe
进程名称: Printer Spooler
描述: Windows打印任务控制程序，用以打印机就绪。
（22）[spoolsv.exe]
进程文件: spoolsv or spoolsv.exe
进程名称: Printer Spooler Service
描述: Windows打印任务控制程序，用以打印机就绪。
介绍：缓冲（spooler）服务是管理缓冲池中的打印和传真作业。
（23）[stisvc.exe]
进程文件: stisvc or stisvc.exe
进程名称: Still Image Service
描述: Still Image Service用于控制扫描仪和数码相机连接在Windows。
（24）[svchost.exe]
进程文件: svchost or svchost.exe
进程名称: Service Host Process
描述: Service Host Process是一个标准的动态连接库主机处理服务.
介绍：Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的%systemroot%\system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依靠Svchost.exe怎样和在那里启动。这样就更加容易控制和查找错误。windows 2k一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。而在windows XP中，则一般有4个以上的svchost.exe服务进程，windows 2003 server中则更多。
（25）[taskmon.exe]
进程文件: taskmon or taskmon.exe
进程名称: Windows Task Optimizer
描述: windows任务优化器监视你使用某个程序的频率，并且通过加载那些经常使用的程序来整理优化硬盘。
介绍：任务管理器，它的功能是监视程序的执行情况并随时报告。能够监测所有在任务栏中以窗口方式运行的程序，可打开和结束程序，还可直接调出关闭系统对话框。
26）[tcpsvcs.exe]
进程文件: tcpsvcs or tcpsvcs.exe
进程名称: TCP/IP Services
描述: TCP/IP Services Application支持透过TCP/IP连接局域网和Internet。
（27）[winlogon.exe]
进程文件: winlogon or winlogon.exe
进程名称: Windows Logon Process
描述: Windows NT用户登陆程序。这个进程是管理用户登录和退出的。而且winlogon在用户按下CTRL+ALT+DEL时就激活了，显示安全对话框。
（28）[winmgmt.exe]
进程文件: winmgmt or winmgmt.exe
进程名称: Windows Management Service
描述: Windows Management Service透过Windows Management Instrumentation data WMI)技术处理来自应用客户端的请求。
简介：winmgmt是win2000客户端管理的核心组件。当客户端应用程序连接或当管理程序需要他本身的服务时这个进程初始化。WinMgmt.exe（CIM对象管理器）和知识库（Repository）是WMI两个主要构成部分，其中知识库是对象定义的数据库，它是存储所有可管理静态数据的中心数据库，对象管理器负责处理知识库中对象的收集和操作并从WMI提供程序收集信息。WinMgmt.exe在Windows 2k/NT上作为一个服务运行，而在Windows 95/98上作为一个独立的exe程序运行。Windows 2k系统在某些计算机上出现的WMI错误可以通过安装Windows 2k SP2来修正。
（29）[system]
进程文件: system or system
进程名称: Windows System Process
描述: Microsoft Windows系统进程。
介绍：在任务管理器中会看到这项进程，属于正常系统进程。
系统进程就介绍到这里。
在Windows2k/XP中，以下进程是必须加载的：
smss.exe、csrss.exe、winlogon.exe、services.exe、lsass.exe、svchost.exe(可以同时存在多个)、spoolsv.exe、explorer.exe、System Idle Process；
在Windows 9x中，一下进程是必须加载的：
msgsrv32.exe、mprexe.exe、mmtask.tsk、kenrel32.dll。
第二类：
由于内容过多，需要查询，请按CTRL+F组合键，然后输入你要查找的字符串，点击“查找下一个”即可。
A——F
absr.exe
进程文件: absr or absr.exe
进程名称: Backdoor.Autoupder Virus
描述:这个进程是Backdoor.Autoupder后门病毒程序创建的。
是否为系统进程:否
acrobat.exe
进程文件: acrobat or acrobat.exe
进程名称: Adobe Acrobat
描述: Acrobat Writer用于创建PDF文档。
是否为系统进程:否
acrord32.exe
进程文件: acrord32 or acrord32.exe
进程名称: Acrobat Reader
描述: Acrobat Reader是一个用于阅读PDF文档的软件。
是否为系统进程:否
agentsvr.exe
进程文件: agentsvr or agentsvr.exe
进程名称: OLE automation server
描述: OLE Automation Server是Microsoft Agent的一部分。
是否为系统进程:否
aim.exe
进程文件: aim or aim.exe
进程名称: AOL Instant Messenger
描述: AOL Instant Messenger是一个在线聊天和即时通讯IM软件客户端。
是否为系统进程:否
airsvcu.exe
进程文件: airsvcu or airsvcu.exe
进程名称: Microsoft Media Manager
描述: OLE这是一个用于在硬盘上建立索引文件和文件夹，在Microsoft Media Manager媒体管理启动时运行的进程。它可以在控制面板被禁用。
是否为系统进程:否
alogserv.exe
进程文件: alogserv or alogserv.exe
进程名称: McAfee VirusScan
描述: McAfee VirusScan是一个反病毒软件用于扫描你的文档和E-mail中的病毒。
是否为系统进程:否
avconsol.exe
进程文件: avconsol or avconsol.exe
进程名称: McAfee VirusScan
描述: McAfee VirusScan是一个反病毒软件用于扫描你的文档和E-mail中的病毒。
是否为系统进程:否
avsynmgr.exe
进程文件: avsynmgr or avsynmgr.exe
进程名称: McAfee VirusScan
描述: McAfee VirusScan是一个反病毒软件用于扫描你的文档和E-mail中的病毒。
是否为系统进程:否
backWeb.exe
进程文件: backWeb or backWeb.exe
进程名称: Backweb Adware
描述: Backweb是一个Adware(广告插件，一般是由于安装某些免费软件而伴随安装上的程序)来自Backweb Technologies。
是否为系统进程:否
bcb.exe
进程文件: bcb or bcb.exe
进程名称: Borland C++ Builder
描述: Borland C++ Builder
是否为系统进程:否
calc.exe
进程文件: calc or calc.exe
进程名称: Calculator
描述: Microsoft Windows计算器程序
是否为系统进程:否
ccapp.exe
进程文件: ccapp or ccapp.exe
进程名称: Symantec Common Client
描述: Symantec公用应用客户端包含在Norton AntiVirus 2003和Norton Personal Firewall 2003。
是否为系统进程:否
cdplayer.exe
进程文件: cdplayer or cdplayer.exe
进程名称: CD Player
描述: Microsoft Windows包含的CD播放器
是否为系统进程:否
charmap.exe
进程文件: charmap or charmap.exe
进程名称: Windows Character Map
描述: Windows字符映射表用来帮助你寻找不常见的字符。
是否为系统进程:否
idaemon.exe
进程文件: cidaemon or cidaemon.exe
进程名称: Microsoft Indexing Service
描述:在后台运行的Windows索引服务，用于帮助你搜索文件在下次变得更快。
是否为系统进程:
cisvc.exe
进程文件: cisvc or cisvc.exe
进程名称: Microsoft Index Service Helper
描述: Microsoft Index Service Helper监视Microsoft Indexing Service(cidaemon.exe)的内存占用情况，如果cidaemon.exe内存使用超过了40M，则自动重新启动该进程。
是否为系统进程:否
cmd.exe
进程文件: cmd or cmd.exe
进程名称: Windows Command Prompt
描述: Windows控制台程序。不像旧的command.com，cmd.exe是一个32位的命令行使用在WinNT/2000/XP。
是否为系统进程:否
cmesys.exe
进程文件: cmesys or cmesys.exe
进程名称: Gator GAIN Adware
描述: Gator GAIN是一个Adware插件(广告插件，一般是由于安装某些免费软件而伴随安装上的程序)。
是否为系统进程:否
