《注意查看电脑里的进程》由会员分享，可在线阅读，更多相关《注意查看电脑里的进程（7页珍藏版）》请在金锄头文库上搜索。
1、注意查看电脑里的进程，进而时时警觉木马！注意查看电脑里的进程，进而时时警觉木马！什么是系统的进程 对于 hejb 的提问，不是我钻牛角尖，而是我太忙，没时间细看提问，如果我大至发现是针对主题的提 问，我就答，否我就不答，见谅。最近太忙了，希望支持我，等我闲下来会好好和各位朋友交流的！ 下面针对 hejb 的提问，我先让朋友们了解一下在任务管理器里的进程。其实在谈到进程时，还要涉及到线程的概念。 进程是指在系统中正在运行的一个应用程序；线程是系统分配处理器时间资源的基本单元，或者说进程之内独立执行的一个单元。对于操 作系统而言，其调度单元是线程。一个进程至少包括一个线程，通常将该线程称为主线程。
2、一个进程从主线程的执行开始进而创建一个或多个附加线程，就是所谓基于多线程的多任务。那进程与线程的区别到底是什么？进程是执行程序的实例。例如，当你运行记事本程序（Nodepad）时，你就创建了一个用来容纳组成 Notepad.exe 的代码及其所需调用动态链接库的进程。每个进程均运行在其专用且受保护的地址空间内。因此，如果你同时运行记事本的两个拷贝，该程序正在使用的数据在各自实例中是彼此独立的。在记事本的一个拷贝中将无法看到该程序的第二个实例打开的数据。我这里以沙箱为例进行阐述。一个进程就好比一个沙箱。线程就如同沙箱中的孩子们。孩子们在沙箱子中跑来跑去，并且可能将沙子攘到别的孩子眼中，他们会互相
3、踢打或撕咬。但是，这些沙箱略有不同之处就在于每个沙箱完全由墙壁和顶棚封闭起来，无论箱中的孩子如何狠命地攘沙，他们也不会影响到其它沙箱中的其他孩子。因此，每个进程就象一个被保护起来的沙箱。未经许可，无人可以进出。实际上线程运行而进程不运行。两个进程彼此获得专用数据或内存的唯一途径就是通过协议来共享内存块。这是一种协作策略。下面让我们分析一下任务管理器里的进程选项卡。这里的进程是指一系列进程，这些进程是由它们所运行的可执行程序实例来识别的，这就是进程选项卡中的第一列给出了映射名称的原因。请注意，这里并没有进程名称列。进程并不拥有独立于其所归属实例的映射名称。换言之，如果你运行5个记事本拷贝，你将会
4、看到5个称为 Notepad.exe 的进程。它们是如何彼此区别的呢？其中一种方式是通过它们的进程 ID，因为每个进程都拥有其独一无二的编码。该进程 ID 由 Windows NT 或 Windows 2000生成，并可以循环使用。因此，进程 ID 将不会越编越大，它们能够得到循环利用。第三列是被进程中的线程所占用的 CPU 时间百分比。它不是 CPU 的编号，而是被进程占用的 CPU 时间百分比。此时我的系统基本上是空闲的。尽管系统看上去每一秒左右都只使用一小部分 CPU 时间，但该系统空闲进程仍旧耗用了大约99%的CPU 时间。第四列，CPU 时间，是 CPU 被进程中的线程累计占用的小时
5、、分钟及秒数。请注意，我对进程中的线程使用占用一词。这并不一定意味着那就是进程已耗用的 CPU 时间总和，因为，如我们一会儿将看到的，NT 计时的方式是，当特定的时钟间隔激发时，无论谁恰巧处于当前的线程中，它都将计算到 CPU 周期之内。通常情况下，在大多数 NT 系统中，时钟以10毫秒的间隔运行。每10毫秒 NT 的心脏就跳动一下。有一些驱动程序代码片段运行并显示谁是当前的线程。让我们将 CPU 时间的最后10毫秒记在它的帐上。因此，如果一个线程开始运行，并在持续运行8毫秒后完成，接着，第二个线程开始运行并持续了2毫秒，这时，时钟激发，请猜一猜这整整10毫秒的时钟周期到底记在了哪个线程的帐上
6、？答案是第二个线程。因此，NT 中存在一些固有的不准确性，而 NT 恰是以这种方式进行计时，实际情况也如是，大多数32位操作系统中都存在一个基于间隔的计时机制。请记住这一点，因为，有时当你观察线程所耗用的 CPU 总和时，会出现尽管该线程或许看上去已运行过数十万次，但其 CPU 时间占用量却可能是零或非常短暂的现象，那么，上述解释便是原因所在。上述也就是我们在任务管理器的进程选项卡中所能看到的基本信息列。说到这里,我想大家对进程有一定的认识了吧,最后我对平时见到的各进程项细述一下,有哪些是能关的,有哪些是不能关的.最基本的系统进程（也就是说，这些进程是系统运行的基本条件，有了这些进程，系统就能
7、正常运行）: smss.exe Session Manager csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务) svchost.exe 包含很多系统服务 svchost.exe SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务) explorer.exe 资源管理器 internat.exe
8、 托盘区的拼音图标 附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）: mstask.exe 允许程序在指定时间运行。(系统服务) regsvc.exe 允许远程注册表操作。(系统服务) winmgmt.exe 提供系统管理信息(系统服务)。 inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务) tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务) 允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务) tftpd.exe 实现 TFTP
9、Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务) termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000 Professional 桌面会话以及运行在服务器上的基 于 Windows 的程序。(系统服务) dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务) 以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉 tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional 的能力。(系统服务) 支持以下 TCP/IP 服务：Ch
10、aracter Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务) ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务) ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务) wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。(系统服务) llssrv.exe License Logging Service(system service) ntfrs.exe 在多个服务器间维护文件目录内容
11、的文件同步。(系统服务) RsSub.exe 控制用来远程储存数据的媒体。(系统服务) locator.exe 管理 RPC 名称服务数据库。(系统服务) lserver.exe 注册客户端许可证。(系统服务) dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务) clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务) msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务) faxsvc.exe 帮助您发送和接收传真。(系统服务) cisvc.exe Indexing Servic
12、e(system service) dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务) mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务) netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务) smlogsvc.exe 配置性能日志和警报。(系统服务) rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务) RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务) RsFsa.exe 管理远程储存的文件的操作。(系
13、统服务) grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务) SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务) snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务) snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序 。(系统服务) UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务) msiexec.exe 依据 .MSI 文件中包含的命
14、令来安装、修复以及删除软件。(系统服务) 详细说明：win2k 运行进程Svchost.exe Svchost.exe 文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。Svhost.exe 文件定位 在系统的%systemroot%system32文件夹下。在启动的时候，Svchost.exe 检查注册表中的位置来构建需要 加载的服务列表。这就会使多个 Svchost.exe 在同一时间运行。每个 Svchost.exe 的回话期间都包含一组服务， 以至于单独的服务必须依靠 Svchost.exe 怎样和在那里启动。这样就更加容易控制和查找错误。 Svchost.exe 组是用下
15、面的注册表值来识别。 HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionSvchost 每个在这个键下的值代表一个独立的 Svchost 组，并且当你正在看活动的进程时，它显示作为一个单独的 例子。每个键值都是 REG_MULTI_SZ 类型的值而且包括运行在 Svchost 组内的服务。每个 Svchost 组都包含一个 或多个从注册表值中选取的服务名，这个服务的参数值包含了一个 ServiceDLL 值。 HKEY_LOCAL_MACHINESystemCurrentControlSetServicesService 更多
16、的信息 为了能看到正在运行在 Svchost 列表中的服务。 开始运行敲入 cmd 然后在敲入 tlist -s （tlist 应该是 win2k 工具箱里的冬冬） Tlist 显示一个活动进程的列表。开关 -s 显示在每个进程中的活动服务列表。如果想知道更多的关于 进程的信息，可以敲 tlist pid。 Tlist 显示 Svchost.exe 运行的两个例子。 0 System Process 8 System 132 smss.exe 160 csrss.exe Title: 180 winlogon.exe Title: NetDDE Agent 208services.exe Svcs: AppMgmt,Browser,Dhcp,dmserver,Dnscache,Eventlog,lanmanserver,LanmanWorkstation,LmHosts,Messenger,PlugPlay,ProtectedStorage,seclogon,TrkWks,W32Time,Wmi 220 lsass.exe Svcs: N
