√判斷真假Svchost.exe進程

　　√清除偽裝成Svchost.exe的病毒、木馬

　　關于“系統藍色檔案”欄目

　　Svchost.exe、lsass.exe、wdfmgr.exe，打開進程列表后你會發現一大堆不知用途的進程，究竟是系統進程還是木馬病毒？如果打開系統文件夾，一大堆奇奇怪怪名稱的文件，更是會把你弄得暈頭轉向。很多朋友因此而始終抱有一種未知的恐懼，認為木馬、黑客無處不在，即使是高手，也不能把這些陌生的系統文件說個明明白白。為消除大家的疑惑，從這期開始為大家帶來一檔新的連載欄目——系統藍色檔案為大家曝光這些隱秘文件的秘密。兩位主人公，現在就來認識一下。

　　主人公介紹

　　小菜：剛接觸電腦不久的菜鳥，但對電腦知識有著非常濃厚的學習興趣，常說的一句話是“菜鳥先飛”。

　　大嘴:樂于助人的老鳥，經常被別人冠以“大嘴高手”稱號，不過這并不是指他嘴特別大，而是一談到電腦知識就滔滔不絕。

　　一、緊急狀況:系統發現嚴重病毒

　　小菜剛剛學習了進程的概念和知識，于是就打開“任務管理器”觀察系統中的進程，這一看不要緊，還真發現了一個“病毒”——Svchost.exe，這家伙在系統進程列表中竟然有5個之多(見圖1)，于是小菜就逐個結束這些進程，沒想到第二個進程結束后還會再生，而結束第四個進程時更離譜，系統提示“系統即將關機，離關機還有60秒”，進程再生、錯誤提示，這些典型的病毒“癥狀”更讓小菜相信“Svchost.exe”是病毒無疑，但無法結束進程，又該怎么清除病毒呢？小菜只好請來了大嘴。

圖1 數量眾多的SVCHOST進程

　　大嘴過來后還沒看電腦，就先告訴小菜，系統中的Svchost.exe進程是正常系統進程，不是病毒，不僅僅是你，其他朋友一看到系統中這么多的Svchost.exe進程，第一反應也感覺它是病毒，雖然系統中有多個Svchost.exe進程是正常的，但也不保證都是正常的。聽起來似乎有些矛盾？這讓小菜更有些迷糊，大嘴坐下后給小菜詳細講了起來。

　　二、松了口氣:Svchost.exe是臺“CD機”

　　1.服務裝在“CD機”里

　　Svchost.exe是NT內核操作系統(Windows 2000/XP/2003都屬于NT內核操作系統)獨有的進程，“Svchost”其實就是“Service Host”(服務宿主)的縮寫。微軟官方對它的定義是:Svchost.exe是從動態鏈接庫(DLL)中運行的服務的通用主機進程名稱，通俗講，它就是一個服務裝載器。大家可以把每個服務想象成一張音樂CD，而Svchost.exe就是用來播放這種CD的CD機。

　　2.為什么用“CD機”裝服務

　　由于Windows 2000/XP系統服務越來越多，以EXE單獨進程的形式啟動所有服務會大大增加系統負擔，為節省系統資源，微軟將一些系統服務以動態鏈接庫(DLL)形式實現，而Svchost.exe就是用來裝載這些DLL文件以啟動系統服務的程序。沒有人會為了發行一張CD而制作一臺專用播放此CD的CD機，微軟也一樣。

　　3.系統里有幾臺這樣的“CD機”

　　那為什么系統進程列表中的Svchost.exe會有多個呢？微軟為了讓系統能更好地進行服務控制，就允許多個Svchost.exe進程同時運行，每個Svchost.exe進程可以包含一組服務，想像一下可以同時容納3張甚至更多CD的多碟CD機。打開注冊表[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionSvchost]主鍵，在窗口右側可以看到許多鍵值，這里的每個鍵值都代表一組服務，鍵值數據則包含了該組服務下面運行的服務名稱列表，每組服務啟動時都會通過單獨的Svchost.exe進程來裝載。Windows XP中默認共有六組服務(見圖2)，其中imgsvc、NetworkService、rpcss、termsvcs四個組，它們都只有一個服務運行，這些服務啟動后的Svchost.exe進程用戶名為“SYSTEM”。而LocalService和netsvcs組都啟動了多個服務，它們的Svchost.exe進程用戶名分別為“LOCAL SERVICE”和“NETWORD SERVICE”，從圖1中可以看到這種區別。

圖2 眾多svchost進程的區別

　　當然了，這六組服務通常并不都是啟動狀態的，根據系統啟動的服務不同，反映在系統進程列表中的Svchost.exe進程數量也是不同的，Windows XP會有四個到六個Svchost.exe進程，而Windows 2000通常則會有兩個Svchost.exe進程。

　　 小提示：點擊“開始→運行”，在運行框中輸入“CMD”回車，然后在打開的命令行窗口中輸入“Tasklist /svc”(不含引號)命令，可以更直觀地看到每個Svchost.exe進程裝載的服務名稱列表(見圖3)。

圖3 查看svchost進程裝載的服務名稱