Windows_XP进程列表大全.doc

最基本的系统进程（也就是说，这些进程是系统运行的基本条件，有了这些进程，系统就能正常运行）smss.exe Session Manager csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务) svchost.exe 包含很多系统服务 svchost.exe SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务) explorer.exe 资源管理器 internat.exe 托盘区的拼音图标附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少） mstask.exe 允许程序在指定时间运行。(系统服务) regsvc.exe 允许远程注册表操作。(系统服务) winmgmt.exe 提供系统管理信息(系统服务)。 inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务) tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务) 允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务) tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务 的一部分。(系统服务) termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务) dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000Professional 的能力。(系统服务) 支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务) ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服 务) ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务) wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。(系统服务) llssrv.exe License Logging Service(system service) ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务) RsSub.exe 控制用来远程储存数据的媒体。(系统服务) locator.exe 管理 RPC 名称服务数据库。(系统服务) lserver.exe 注册客户端许可证。(系统服务) dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务) clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务) msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务) faxsvc.exe 帮助您发送和接收传真。(系统服务) cisvc.exe Indexing Service(system service) dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务) mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务) netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务) smlogsvc.exe 配置性能日志和警报。(系统服务) rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务) RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务) RsFsa.exe 管理远程储存的文件的操作。(系统服务) grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务) SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务) snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务) snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务) UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务) msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务)=系统的进程列表大全+开机自检故障（中英文对照）最基本的系统进程（这些进程是系统运行的基本条件，有了这些进程，系统就能正常运行） smss.exe Session Manager csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务) svchost.exe 包含很多系统服务 SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务) explorer.exe 资源管理器 internat.exe 托盘区的拼音图标 附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少） mstask.exe 允许程序在指定时间运行。(系统服务) regsvc.exe 允许远程注册表*作。(系统服务) winmgmt.exe 提供系统管理信息(系统服务)。 inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务) tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务) 允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务) tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务) termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000 Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务) dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务) 以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉 tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional 的能力。(系统服务) 支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务) ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务) ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务) wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。(系统服务) llssrv.exe License Logging Service(system service) ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务) RsSub.exe 控制用来远程储存数据的媒体。(系统服务) locator.exe 管理 RPC 名称服务数据库。(系统服务) lserver.exe 注册客户端许可证。(系统服务) dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务) clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务) msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务) faxsvc.exe 帮助您发送和接收传真。(系统服务) cisvc.exe Indexing Service(system service) dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务) mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务) netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务) smlogsvc.exe 配置性能日志和警报。(系统服务) rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务) RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务) RsFsa.exe 管理远程储存的文件的*作。(系统服务) grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务) SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务) snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务) snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务) UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务) msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务)-开机自检时出现问题后会出现各种各样的英文短句，短句中包含了非常重要的信息，读懂这些信息可以自己解决一些小问题，可是这些英文难倒了一部分朋友，下面是一些常见的BIOS短句的解释，大家可以参考一下。 1、CMOS battery failed 中文：CMOS电池失效。 解释：这说明CMOS电池已经快没电了，只要更换新的电池即可。 2、CMOS check sum errorDefaults loaded 中文：CMOS 执行全部检查时发现错误，要载入系统预设值。 解释：一般来说出现这句话都是说电池快没电了，可以先换个电池试试，如果问题还是没有解决，那么说明CMOS RAM可能有问题，如果没过一年就到经销商处换一块主板，过了一年就让经销商送回生产厂家修一下吧！ 3、Press ESC to skip memory test 中文：正在进行内存检查，可按ESC键跳过。 解释：这是因为在CMOS内没有设定跳过存储器的第二、三、四次测试，开机就会执行四次内存测试，当然你也可以按 ESC 键结束内存检查，不过每次都要这样太麻烦了，你可以进入COMS设置后选择BIOS FEATURS SETUP，将其中的Quick Power On Self Test设为 Enabled，储存后重新启动即可。 4、Keyboard error or no keyboard present 中文：键盘错误或者未接键盘。 解释：检查一下键盘的连线是否松动或者损坏。 5、Hard disk install failure 中文：硬盘安装失败。 解释：这是因为硬盘的电源线或数据线可能未接好或者硬盘跳线设置不当。你可以检查一下硬盘的各根连线是否插好，看看同一根数据线上的两个硬盘的跳线的设置是否一样，如果一样，只要将两个硬盘的跳线设置的不一样即可（一个设为Master，另一个设为Slave）。 6、Secondary slave hard fail 中文：检测从盘失败 解释：可能是CMOS设置不当，比如说没有从盘但在CMOS里设为有从盘，那么就会出现错误，这时可以进入COMS设置选择 IDE HDD AUTO DETECTION进行硬盘自动侦测。也可能是硬盘的电源线、数据线可能未接好或者硬盘跳线设置不当，解决方法参照第5条。 7、Floppy Disk(s) fail 或 Floppy Disk(s) fail(80) 或Floppy Disk(s) fail(40) 中文：无法驱动软盘驱动器。 解释：系统提示找不到软驱，看看软驱的电源线和数据线有没有松动或者是接错，或者是把软驱放到另一台机子上试一试，如果这些都不行，那么只好再买一个了，好在软驱还不贵。 8、Hard disk(s) diagnosis fail 中文：执行硬盘诊断时发生错误。解释：出现这个问题一般就是说硬盘本身出现故障了，你可以把硬盘放到另一台机子上试一试，如果问题还是没有解决，只能去修一下了。 9、Memory test fail 中文：内存检测失败。 解释：重新插拔一下内存条，看看是否能解决，出现这种问题一般是因为内存条互相不兼容,去换一条吧！ 10、Override enableDefaults loaded 中文：当前CMOS设定无法启动系统，载入BIOS中的预设值以便启动系统。 解释：一般是在COMS内的设定出现错误，只要进入COMS设置选择LOAD SETUP DEFAULTS载入系统原来的设定值然后重新启动即可。+电脑进程说明- - 1、rnathchk.exe rnathchk.exe是RealOne的一部分，功能是检查产品的升级情况。 2、taskmgr.exe Window 任务管理器,功能是显示目前系统正在运行的进程。 3、conime.exe4、System Idle Process 在进程中有一项System Idle Process，不断跳变的数字表示CPU的空闲度，如果System Idle Process在某一时刻的数值为90，说明这时CPU只是使用了全部资源的10。 5、System 系统进程，保存当前所有硬件设置信息。 6、smss.exe smss.exe是微软windows操作系统的一部分，被称作the Session Manager SubSystem,用来控制系统中的sessions。 7、winlogon.exe WinLogon.exe是Windows NT登录管理器。 8、csrss.exe 进程名称：Microsoft Client/Server Runtime Server Subsystem，该进程控制系统中绝大多数图形命令。 9、services.exe Windows Service Controller，控制服务器的开启和关闭。 10、lsass.exe Local Security Authority Service，是控制系统安全的进程，用以处理本地机安全和登录策略。lsass.exe也可能与Windang.worm有关，Windang.worm一般通软驱传播。请通过查看文件路径加以分辨。 11、svchost.exe Microsoft Service Host Process，系统进程控制DLLs的执行。（注：一般是4个） 12、spoolsv.exe 控制本地打印机的系统进程。 13、navapsvc.exe Norton AntiVirus应用程序为系统提供自动保护。 14、npssvc.exe Norton Program Scheduler Service用以调度Norton Anti-Virus自动扫描病毒。 15、regsvc.exe Remote Registry ServiceIt允许远程计算机进入主机注册，一些主机程序也使用这一服务以便编辑注册信息。 16、MSTask.exe 系统任务调度进程，管理任务调度如备份、升级执行特定次数等。 17、Explorer.EXE Windows程序管理器或Windows浏览器，管理Windows的图形界面系统，包括开始菜单、任务栏、桌面、菜单、文件管理器等。 18、winmgmt.exe Windows Management ServiceIt被系统管理员用以创建windows管理脚本，如控制服务器用户账号的脚本等。 19、mspmspsv.exe 该进程通常来自于meidia player升级。它允许使用SDMI协议处理音乐媒体。 20、inetinfo.exe inetinfo.exe主要用于调试IIS。 21、Rundll32.exe Windows Rundll32为了需要调用DLLs的程序。 22、alertsvc.exe 防火墙或杀毒软件调用的进程。 23、wuauclt.exe Wuauclt.exe用于自动管理windows的升级程序. 该进程不断的检查最新的在线更新24、24、realsched.exe realsched.exe是为Real Networks产品人工升级检测任务设置程序。 25、navapw32.exe navapw32.exe属于Norton应用程序并为系统提供自动防护。 26、IEXPLORE.EXE 系统进程，使用户能够通过浏览器实现网际冲浪。注：ctfmon.exe是输入法的进程，以上的rnathchk.exe、wuauclt.exe、rnathchk.exe、tfmon.exe可以关了的咯=电脑进程说明 TIMPlatform.exe 进程文件： timplatform 或者 timplatform.exe 进程名称： timplatformt 描述： timplatform.exe是腾讯即时通讯客户端相关程序。 这有一个Tencent官方的声明: quote 亲爱的用户朋友们： 大家好！ 从论坛的反馈中我们看到部分使用QQ 2004和Tencent Messenger的用户对其中的TIMPlatform.exe进程感到疑惑，甚至误以为是木马病毒。在此就TIMPlatform.exe为大家做一个统一的解释和说明。 TIMPlatform.exe是QQ和Tencent Messenger共同使用的外部应用开发接口管理程序，属于QQ 2004不可或缺的底层核心模块。如果删除该程序，QQ 2004将丧失与周边功能模块以及外部应用程序相互调用的功能。 结合TIMPlatform.exe外部应用接口的开发将为大家带来更加丰富多彩的各种应用！大家无需顾虑，尽可安全放心地使用！我们会继续努力开发出功能更加完善，性能更加稳定的产品以回报大家的支持和厚爱+ XP系统常见进程祥解 很多朋友在使用电脑过程中都曾经中过病毒，所谓一朝着蛇咬十年怕井绳，所以我经常有人问“我的电脑有个不明进程，关闭了又自动重开，太可怕了，快帮我杀它！”我听他描述后，晕、这是一个系统进程！合法的。现在把常见的进程都给列出来，大家慢慢看吧。system process - system Idle process - 进程信息 进程文件: system process or system process 进程名称: Windows内存处理系统进程 描述: Windows页面内存管理进程，拥有0级优先。 常见错误: N/A 是否为系统进程: 是alg - alg.exe - 进程信息 进程文件: alg or alg.exe 进程名称: 应用层网关服务 描述: 这是一个应用层网关服务用于网络共享。 常见错误: N/A 是否为系统进程: 是csrss - csrss.exe - 进程信息 进程文件: csrss or csrss.exe 进程名称: Client/Server Runtime Server Subsystem 描述: 客户端服务子系统，用以控制Windows图形相关子系统。 常见错误: N/A 是否为系统进程: 是ddhelp - ddhelp.exe - 进程信息 进程文件: ddhelp or ddhelp.exe 进程名称: DirectDraw Helper 描述: DirectDraw Helper是DirectX这个用于图形服务的一个组成部分。 常见错误: N/A 是否为系统进程: 是dllhost - dllhost.exe - 进程信息 进程文件: dllhost or dllhost.exe 进程名称: DCOM DLL Host进程 描述: DCOM DLL Host进程支持基于COM对象支持DLL以运行Windows程序。 常见错误: N/A 是否为系统进程: 是explorer - explorer.exe - 进程信息 进程文件: explorer or explorer.exe 进程名称: 程序管理 描述: Windows Program Manager或者Windows Explorer用于控制Windows图形Shell，包括开始菜单、任务栏，桌面和文件管理。【资源管理器】 常见错误: N/A 是否为系统进程: 是inetinfo - inetinfo.exe - 进程信息 进程文件: inetinfo or inetinfo.exe 进程名称: IIS Admin Service Helper 描述: InetInfo是Microsoft Internet Infomation Services (IIS)的一部分，用于Debug调试除错。【msftpsvc,w3svc,iisadmn】 常见错误: N/A 是否为系统进程: 是internat - internat.exe - 进程信息 进程文件: internat or internat.exe 进程名称: Input Locales 描述: 这个输入控制图标用于更改类似国家设置、键盘类型和日期格式。【托盘区的拼音图标】 常见错误: N/A 是否为系统进程: 是kernel32 - kernel32.dll - 进程信息 进程文件: kernel32 or kernel32.dll 进程名称: Windows壳进程 描述: Windows壳进程用于管理多线程、内存和资源。 常见错误: N/A 是否为系统进程: 是lsass - lsass.exe - 进程信息 进程文件: lsass or lsass.exe 进程名称: 本地安全权限服务 描述: 这个本地安全权限服务控制Windows安全机制。管理 ip 安全策略以及启动 isakmp/oakley (ike) 和 ip 安全驱动程序。 常见错误: N/A 是否为系统进程: 是mdm - mdm.exe - 进程信息 进程文件: mdm or mdm.exe 进程名称: Machine Debug Manager 描述: Debug除错管理用于调试应用程序和Microsoft Office中的Microsoft Script Editor脚本编辑器。 常见错误: N/A 是否为系统进程: 是mmtask - mmtask.tsk - 进程信息 进程文件: mmtask or mmtask.tsk 进程名称: 多媒体支持进程 描述: 这个Windows多媒体后台程序控制多媒体服务，例如MIDI。 常见错误: N/A 是否为系统进程: 是mprexe - mprexe.exe - 进程信息 进程文件: mprexe or mprexe.exe 进程名称: Windows路由进程 描述: Windows路由进程包括向适当的网络部分发出网络请求。 常见错误: N/A 是否为系统进程: 是msgsrv32 - msgsrv32.exe - 进程信息 进程文件: msgsrv32 or msgsrv32.exe 进程名称: Windows信使服务 描述: Windows信使服务调用Windows驱动和程序管理在启动。 常见错误: N/A 是否为系统进程: 是mstask - mstask.exe - 进程信息 进程文件: mstask or mstask.exe 进程名称: Windows计划任务 描述: Windows计划任务用于设定继承在什么时间或者什么日期备份或者运行。【允许程序在指定时间运行。】 常见错误: N/A 是否为系统进程: 是regsvc - regsvc.exe - 进程信息 进程文件: regsvc or regsvc.exe 进程名称: 远程注册表服务 描述: 远程注册表服务用于访问在远程计算机的注册表。【允许远程注册表操作。(系统服务)remoteregister】 常见错误: N/A 是否为系统进程: 是rpcss - rpcss.exe - 进程信息 进程文件: rpcss or rpcss.exe 进程名称: RPC Portmapper 描述: Windows 的RPC端口映射进程处理RPC调用(远程模块调用)然后把它们映射给指定的服务提供者。 常见错误: N/A 是否为系统进程: 是services - services.exe - 进程信息 进程文件: services or services.exe 进程名称: Windows Service Controller-进程文件: system process or system process 进程名称: Windows内存处理系统进程 描述: Windows页面内存管理进程，拥有0级优先。 介绍：该进程作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。它的cpu占用率越大表示可供分配的CPU资源越多，数字越小则表示CPU资源紧张。 System Idle Process为何物 问：在使用Windows XP的过程中，按Ctrl+Alt+Del键调出任务管理器，在进程中我发现一个名为System Idle Process的进程，它往往占用了大部分CPU资源，经常是80%以上，请问为什么它占用了那么多资源？ 答：你误解了System Idle Process进程的意思了，这里的80%并不是你所想的占用CPU的资源，恰恰相反的是这里的80%以上是CPU资源空闲了出来的。这里的数字越大表示CPU可用资源越多，数字越小则表示CPU资源越紧张。该进程是系统必须的，不能禁止哦。 csrss.exe 进程文件: csrss or csrss.exe 进程名称: Client/Server Runtime Server Subsystem 描述: 客户端服务子系统，用以控制Windows图形相关子系统。 介绍: 这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss用于维持Windows的控制，创建或者删除线程和一些16位的虚拟MS-DOS环境。 纯手工查杀木马csrss.exe 注意：csrss.exe进程属于系统进程，这里提到的木马csrss.exe是木马伪装成系统进程 前两天突然发现在C:Program Files下多了一个rundll32.exe文件。这个程序记得是关于登录和开关机的，不应该在这里，而且它的图标是98下notepad.exe的老记事本图标，在我的2003系统下面很扎眼。但是当时我没有在意。因为平时没有感到系统不稳定，也没有发现内存和CPU大量占用，网络流量也正常。 这两天又发现任务管理器里多了这个rundll32.exe和一个csrss.exe的进程。它和系统进程不一样的地方是用户为Administrator，就是我登录的用户名，而非system，另外它们的名字是小写的，而由SYSTEM启动的进程都是大写的RUNDLL32.EXE和CSRSS.EXE，觉得不对劲。 然后按F3用资源管理器的搜索功能找csrss.exe，果然在C:Windows下，大小52736字节，生成时间为12月9日12:37。而真正的csrss.exe只有4k，生成时间是2003年3月27日12:00，位于C:WindowsSyetem32下。 于是用超级无敌的UltraEdit打开它，发现里面有kavscr.exe，mailmonitor一类的字符，这些都是金山毒霸的进程名。在该字符前面几行有SelfProtect的字符。自我保护和反病毒软件有关的程序，不是病毒就是木马了。灭！ 试图用任务管理器结束csrss.exe进程失败，称是系统关键进程。先进注册表删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun和vRunservice下相应值，注销重登录，该进程消失，可见它没有象3721那样加载为驱动程序。 然后要查找和它有关的文件。仍然用系统搜索功能，查找12月9日生成的所有文件，然后看到12:37分生成的有csrss.exe、rundll32.exe和kavsrc.exe，但kavsrc.exe的图标也是98下的记事本图标，它和rundll32.exe的大小都是33792字节。 此后在12:38分生成了一个tmp.dat文件，内容是 echo off debug C:DOCUME1ADMINI1LOCALS1Temptmp.dat C:DOCUME1ADMINI1LOCALS1Temptmp.out copy C:DOCUME1ADMINI1LOCALS1Temptmp.dat C:WINDOWSsystem32netstart.exeC:DOCUME1ADMINI1LOCALS1Temptmp.out del C:DOCUME1ADMINI1LOCALS1Temptmp.dat C:DOCUME1ADMINI1LOCALS1Temptmp.out del C:DOCUME1ADMINI1LOCALS1Temptmp.in C:DOCUME1ADMINI1LOCALS1Temptmp.out C:WINDOWSsystem32netstart.exe 好像是用debug汇编了一段什么程序，这年头常用debug的少见，估计不是什么善茬，因为商业程序员都用Delphi、PB等大程序写软件。 汇编大约进行了1分钟，在12:39生成了netstart.exe、WinSocks.dll、netserv.exe和一个0字节的tmp.out文件。netstart.exe大小117786字节，另两个大小也是52736字节。前两个位于C:WindowsSystem32下，后两个在当前用户的Temp文件夹里。 这样我就知道为什么我的系统没有感染的表现了。netstart.exe并没有一直在运行，因为我在任务管理器中没有见过它。把这些文件都删除，我的办法是用winrar压缩并选中完成后删除源文件，然后在rar文件注释中做说明，放一个文件夹里，留待以后研究。这个监狱里都是我的战利品，不过还很少。 现在木马已经清除了。使用搜索引擎查找关于csrss.exe的内容，发现结果不少，有QQ病毒，传奇盗号木马，新浪游戏病毒，但是文件大小和我中的这个都不一样。搜索netstart.exe只有一个日文网站结果，也是一个木马。 这个病毒是怎么进入我的电脑的呢？搜索时发现在12月9日12:36分生成了一个快捷方式，名为dos71cd.zip，它是我那天从某网站下载的DOS7.11版启动光盘，但是当时下载失败了。现在看来根本就不是失败，是因为这个网站的链接本来就是一段网页注入程序，点击后直接把病毒下载来了。 winmgmt.exe 进程文件: winmgmt or winmgmt.exe 进程名称: Windows Management Service 描述: Windows Management Service透过Windows Management Instrumentation data WMI)技术处理来自应用客户端的请求。 简介：winmgmt是win2000客户端管理的核心组件。当客户端应用程序连接或当管理程序需要他本身的服务时这个进程初始化。WinMgmt.exe（CIM对象管理器）和知识库（Repository）是WMI两个主要构成部分，其中知识库是对象定义的数据库，它是存储所有可管理静态数据的中心数据库，对象管理器负责处理知识库中对象的收集和操作并从WMI提供程序收集信息。WinMgmt.exe在Windows 2k/NT上作为一个服务运行，而在Windows 95/98上作为一个独立的exe程序运行。Windows 2k系统在某些计算机上出现的WMI错误可以通过安装Windows 2k SP2来修正。 tcpsvcs.exe 进程文件: tcpsvcs or tcpsvcs.exe 进程名称: TCP/IP Services 描述: TCP/IP Services Application支持透过TCP/IP连接局域网和Internet。提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional的能力。svchost.exe 进程文件: svchost or svchost.exe 进程名称: Service Host Process 描述: Service Host Process是一个标准的动态连接库主机处理服务. 介绍：Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的%systemroot%system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依靠Svchost.exe怎样和在那里启动。这样就更加容易控制和查找错误。windows 2k一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。而在windows XP中，则一般有4个以上的svchost.exe服务进程，windows 2003 server中则更多。 剖析进程中SVCHOST的作用和原理 全面了解系统中 svchost.exe 文件 Windows系统安全 Svchost进程揭秘 深入揭开Svchost.exe进程之谜 创建SvcHost.exe调用的服务原理与实践 系统进程中Svchost.exe的作用 spoolsv.exe 进程文件: spoolsv or spoolsv.exe 进程名称: Printer Spooler Service 描述: Windows打印任务控制程序，用以打印机就绪。 介绍：缓冲（spooler）服务是管理缓冲池中的打印和传真作业。 Spoolsv.exe打印任务控制程序，一般会先加载以供列表机打印前的准备工作 Spoolsv.exe，如果常增高，有可能是病毒感染所致 目前常见的是: Backdoor/Byshell(又叫隐形大盗、隐形杀手、西门庆病毒) 危害程度:中 受影响的系统: Windows 2000， Windows XP， Windows Server 2003 未受影响的系统: Windows 95， Windows 98， Windows Me， Windows NT， Windows 3.x， Macintosh， Unix， Linux 病毒危害: 1. 生成病毒文件 2. 插入正常系统文件中 3. 修改系统注册表 4. 可被黑客远程控制 5. 躲避反病毒软件的查杀 简单的后门木马，发作会删除自身程序，但将自身程序套入可执行程序内(如:exe)，并与计算机的通口(TCP端口138)挂钩，监控计算机的信息、密码，甚至是键盘操作，作为回传的信息，并不时驱动端口，以等候传进的命令，由于该木马不能判别何者是正确的端口，所以负责输出的列表机也是其驱动对象，以致Spoolsv.exe的使用异常频繁. Backdoor.Win32.Plutor 破坏方法:感染PE文件的后门程序 病毒采用VC编写。 病毒运行后有以下行为: 1、将病毒文件复制到%WINDIR%目录下，文件名为；Spoolsv.exe；，并该病毒文件运行。；Spoolsv.exe；文件运行后释放文件名为；mscheck.exe；的文件到%SYSDIR%目录下，该文件的主要功能是每次激活时运行；Spoolsv.exe；文件。如果所运行的文件是感染了正常文件的病毒文件，病毒将会把该文件恢复并将其运行。 2、修改注册表以下键值: HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentversionRun 增加数据项:；Microsoft Script Checker； 数据为:；MSCHECK.EXE /START； 修改该项注册表使；MSCHECK.EXE；文件每次系统激活时都将被运行，而；MSCHECK.EXE；用于运行；Spoolsv.exe；文件，从而达到病毒自激活的目的。 3、创建一个线程用于感染C盘下的PE文件，但是文件路径中包含；winnt；、；Windows；字符串的文件不感染。另外，该病毒还会枚举局域网中的共享目录并试图对这些目录下的文件进行感染。该病毒感染文件方法比较简单，将正常文件的前0x16000个字节替换为病毒文件中的数据，并将原来0x16000个字节的数据插入