Windows操作系统进程详解.docx

Windows操作系统进程详解.docx

《Windows操作系统进程详解.docx》由会员分享，可在线阅读，更多相关《Windows操作系统进程详解.docx（12页珍藏版）》请在冰豆网上搜索。

Windows操作系统进程详解

（1）[systemIdleProcess]

　　进程文件:

[systemprocess]or[systemprocess]

　　进程名称:

Windows内存处理系统进程

　　描述:

Windows页面内存管理进程，拥有0级优先。

　　介绍：

该进程作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。

它的cpu占用率越大表示可供分配的CPU资源越多，数字越小则表示CPU资源紧张。

（2）[alg.exe]

　　进程文件:

algoralg.exe

　　进程名称:

应用层网关服务

　　描述:

这是一个应用层网关服务用于网络共享。

　　介绍：

一个网关通信插件的管理器，为“Internet连接共享服务”和“Internet连接防火墙服务”提供第三方协议插件的支持。

　　（3）[csrss.exe]

　　进程文件:

csrssorcsrss.exe

　　进程名称:

Client/ServerRuntimeServerSubsystem

　　描述:

客户端服务子系统，用以控制Windows图形相关子系统。

　　介绍:

这个是用户模式Win32子系统的一部分。

csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。

csrss用于维持Windows的控制，创建或者删除线程和一些16位的虚拟MS-DOS环境。

　　（4）[ddhelp.exe]

　　进程文件:

ddhelporddhelp.exe

　　进程名称:

DirectDrawHelper

　　描述:

DirectDrawHelper是DirectX这个用于图形服务的一个组成部分。

　　简介：

Directx帮助程序

　　（5）[dllhost.exe]

　　进程文件:

dllhostordllhost.exe

　　进程名称:

DCOMDLLHost进程

　　描述:

DCOMDLLHost进程支持基于COM对象支持DLL以运行Windows程序。

　　介绍：

com代理，系统附加的dll组件越多，则dllhost占用的cpu资源和内存资源就越多，而8月的“冲击波杀手”大概让大家对它比较熟悉吧。

　　（6）[explorer.exe]

　　进程文件:

explorerorexplorer.exe

　　进程名称:

程序管理

　　描述:

WindowsProgramManager或者WindowsExplorer用于控制Windows图形Shell，包括开始菜单、任务栏，桌面和文件管理。

　　介绍：

这是一个用户的shell，在我们看起来就像任务条，桌面等等。

或者说它就是资源管理器，不相信你在运行里执行它看看。

它对windows系统的稳定性还是比较重要的，而红码也就是找它的麻烦，在c和d根下创建explorer.exe。

　　（7）[inetinfo.exe]

　　进程文件:

inetinfoorinetinfo.exe

　　进程名称:

IISAdminServiceHelper

　　描述:

InetInfo是MicrosoftInternetInfomationServices（IIS）的一部分，用于Debug调试除错。

　　介绍：

IIS服务进程，蓝码正是利用的inetinfo.exe的缓冲区溢出漏洞。

　　（8）[internat.exe]

　　进程文件:

internatorinternat.exe

　　进程名称:

InputLocales

　　描述:

这个输入控制图标用于更改类似国家设置、键盘类型和日期格式。

internat.exe在启动的时候开始运行。

它加载由用户指定的不同的输入点。

输入点是从注册表的这个位置HKEY_USERS\.DEFAULT\KeyboardLayout\Preload加载内容的。

internat.exe加载“EN”图标进入系统的图标区，允许使用者可以很容易的转换不同的输入点。

当进程停掉的时候，图标就会消失，但是输入点仍然可以通过控制面板来改变。

　　介绍：

它主要是用来控制输入法的，当你的任务栏没有“EN”图标，而系统有internat.exe进程，不妨结束掉该进程，在运行里执行internat命令即可。

　　（9）[kernel32.dll]

　　进程文件:

kernel32orkernel32.dll

　　进程名称:

Windows壳进程

　　描述:

Windows壳进程用于管理多线程、内存和资源。

　　介绍：

更多内容浏览非法操作与Kernel32解读

（10）[lsass.exe]

　　进程文件:

lsassorlsass.exe

　　进程名称:

本地安全权限服务

　　描述:

这个本地安全权限服务控制Windows安全机制。

管理IP安全策略以及启动ISAKMP/Oakley（IKE）和IP安全驱动程序等。

　　介绍：

这是一个本地的安全授权服务，并且它会为使用winlogon服务的授权用户生成一个进程。

这个进程是通过使用授权的包，例如默认的msgina.dll来执行的。

如果授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的shell。

其他的由用户初始化的进程会继承这个令牌的。

而windows活动目录远程堆栈溢出漏洞，正是利用LDAP3搜索请求功能对用户提交请求缺少正确缓冲区边界检查，构建超过1000个"AND"的请求，并发送给服务器，导致触发堆栈溢出，使Lsass.exe服务崩溃，系统在30秒内重新启动。

　　（11）[mdm.exe]

　　进程文件:

mdmormdm.exe

　　进程名称:

MachineDebugManager

　　描述:

Debug除错管理用于调试应用程序和MicrosoftOffice中的MicrosoftScriptEditor脚本编辑器。

　　介绍：

Mdm.exe的主要工作是针对应用软件进行排错（Debug），说到这里，扯点题外话，如果你在系统见到fff开头的0字节文件，它们就是mdm.exe在排错过程中产生一些暂存文件，这些文件在操作系统进行关机时没有自动被清除，所以这些fff开头的怪文件里是一些后缀名为CHK的文件都是没有用的垃圾文件，可匀我馍境换岫韵低巢涣加跋臁６?

X系统，只要系统中有Mdm.exe存在，就有可能产生以fff开头的怪文件。

可以按下面的方法让系统停止运行Mdm.exe来彻底删除以fff开头的怪文件：

首先按“Ctrl+Alt+Del”组合键，在弹出的“关闭程序”窗口中选中“Mdm”，按“结束任务”按钮来停止Mdm.exe在后台的运行，接着把Mdm.exe（在C:

\Windows\System目录下）改名为Mdm.bak。

运行msconfig程序，在启动页中取消对“MachineDebugManager”的选择。

这样可以不让Mdm.exe自启动，然后点击“确定”按钮，结束msconfig程序，并重新启动电脑。

另外，如果你使用IE5.X以上版本浏览器，建议禁用脚本调用（点击“工具→Internet选项→高级→禁用脚本调用”），这样就可以避免以fff开头的怪文件再次产生。

　　（12）[mmtask.tsk]

　　进程文件:

mmtaskormmtask.tsk

　　进程名称:

多媒体支持进程

　　描述:

这个Windows多媒体后台程序控制多媒体服务，例如MIDI。

　　介绍：

这是一个任务调度服务，负责用户事先决定在某一时间运行的任务的运行。

　　（13）[mprexe.exe]

　　进程文件:

mprexeormprexe.exe

　　进程名称:

Windows路由进程

　　描述:

Windows路由进程包括向适当的网络部分发出网络请求。

　　介绍：

这是Windows的32位网络界面服务进程文件，网络客户端部件启动的核心。

印象中“A-311木马（Trojan.A-311.104）”也会在内存中建立mprexe.exe进程，可以通过资源管理结束进程。

　　（14）[msgsrv32.exe]

　　进程文件:

msgsrv32ormsgsrv32.exe

　　进程名称:

Windows信使服务

　　描述:

Windows信使服务调用Windows驱动和程序管理在启动。

　　介绍：

msgsrv32.exe一个管理信息窗口的应用程序，win9x下如果声卡或者显卡驱动程序配置不正确，会导致死机或者提示msgsrv32.exe出错。

　　（15）[mstask.exe]

　　进程文件:

mstaskormstask.exe

　　进程名称:

Windows计划任务

　　描述:

Windows计划任务用于设定继承在什么时间或者什么日期备份或者运行。

　　介绍：

计划任务，它通过注册表自启动。

因此，通过计划任务程序实现自启动的程序在系统信息中看不到它的文件名，一旦把它从注册表中删除或禁用，那么通过计划任务启动的程序全部不能自动运行。

win9X下系统启动就会开启计划任务，可以通过双击计划任务图标－高级－终止计划任务来停止它自启动。

另外，攻击者在攻击过程中，也经常用到计划任务，包括上传文件、提升权限、种植后门、清扫脚印等。

　　（16）[regsvc.exe]

　　进程文件:

regsvcorregsvc.exe

　　进程名称:

远程注册表服务

　　描述:

远程注册表服务用于访问在远程计算机的注册表。

　　（17）[rpcss.exe]

　　进程文件:

rpcssorrpcss.exe

　　进程名称:

RPCPortmapper

　　描述:

Windows的RPC端口映射进程处理RPC调用（远程模块调用）然后把它们映射给指定的服务提供者。

　　介绍：

98它不是在装载解释器时或引导时启动，如果使用中有问题，可以直接在在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices添加"字符串值"，定向到"C:

\WINDOWS\SYSTEM\RPCSS"即可。

　　（18）[services.exe]

　　进程文件:

servicesorservices.exe

　　进程名称:

WindowsServiceController

　　描述:

管理Windows服务。

　　介绍：

大多数的系统核心模式进程是作为系统进程在运行。

打开管理工具中的服务，可以看到有很多服务都是在调用%systemroot%\system32\service.exe

　（19）[smss.exe]

　　进程文件:

smssorsmss.exe

　　进程名称:

SessionManagerSubsystem

　　描述:

该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32壳子系统和运行在Windows登陆过程。

　　简介：

这是一个会话管理子系统，负责启动用户会话。

这个进程是通过系统进程初始化的并且对许多活动的，包括已经正在运行的Winlogon，Win32（Csrss.exe）线程和设定的系统变量作出反映。

在它启动这些进程后，它等待Winlogon或者Csrss结束。

如果这些过程时正常的，系统就关掉了。

如果发生了什么不可预料的事情，smss.exe就会让系统停止响应（就是挂起）。

　　（20）[snmp.exe]

　　进程文件:

snmporsnmp.exe

　　进程名称:

MicrosoftSNMPAgent

　　描述:

Windows简单的网络协议代理（SNMP）用于监听和发送请求到适当的网络部分。

　　简介：

负责接收SNMP请求报文，根据要求发送响应报文并处理与WinsockAPI的接口。

　　（21）[spool32.exe]

　　进程文件:

spool32orspool32.exe

　　进程名称:

PrinterSpooler

　　描述:

Windows打印任务控制程序，用以打印机就绪。

　　（22）[spoolsv.exe]

　　进程文件:

spoolsvorspoolsv.exe

　　进程名称:

PrinterSpoolerService

　　描述:

Windows打印任务控制程序，用以打印机就绪。

　　介绍：

缓冲（spooler）服务是管理缓冲池中的打印和传真作业。

　　（23）[stisvc.exe]

　　进程文件:

stisvcorstisvc.exe

　　进程名称:

StillImageService

　　描述:

StillImageService用于控制扫描仪和数码相机连接在Windows。

　　（24）[svchost.exe]

　　进程文件:

svchostorsvchost.exe

　　进程名称:

ServiceHostProcess

　　描述:

ServiceHostProcess是一个标准的动态连接库主机处理服务.

　　介绍：

Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。

Svhost.exe文件定位在系统的%systemroot%\system32文件夹下。

在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。

这就会使多个Svchost.exe在同一时间运行。

每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依靠Svchost.exe怎样和在那里启动。

这样就更加容易控制和查找错误。

windows2k一般有2个svchost进程，一个是RPCSS（RemoteProcedureCall）服务进程，另外一个则是由很多服务共享的一个svchost.exe。

而在windowsXP中，则一般有4个以上的svchost.exe服务进程，windows2003server中则更多。

　　（25）[taskmon.exe]

　　进程文件:

taskmonortaskmon.exe

　　进程名称:

WindowsTaskOptimizer

　　描述:

windows任务优化器监视你使用某个程序的频率，并且通过加载那些经常使用的程序来整理优化硬盘。

　　介绍：

任务管理器，它的功能是监视程序的执行情况并随时报告。

能够监测所有在任务栏中以窗口方式运行的程序，可打开和结束程序，还可直接调出关闭系统对话框。

　　（26）[tcpsvcs.exe]

　　进程文件:

tcpsvcsortcpsvcs.exe

　　进程名称:

TCP/IPServices

　　描述:

TCP/IPServicesApplication支持透过TCP/IP连接局域网和Internet。

　　（27）[winlogon.exe]

　　进程文件:

winlogonorwinlogon.exe

　　进程名称:

WindowsLogonProcess

　　描述:

WindowsNT用户登陆程序。

这个进程是管理用户登录和退出的。

而且winlogon在用户按下CTRL+ALT+DEL时就激活了，显示安全对话框。

　　（28）[winmgmt.exe]

　　进程文件:

winmgmtorwinmgmt.exe

　　进程名称:

WindowsManagementService

　　描述:

WindowsManagementService透过WindowsManagementInstrumentationdataWMI）技术处理来自应用客户端的请求。

　　简介：

winmgmt是win2000客户端管理的核心组件。

当客户端应用程序连接或当管理程序需要他本身的服务时这个进程初始化。

WinMgmt.exe（CIM对象管理器）和知识库（Repository）是WMI两个主要构成部分，其中知识库是对象定义的数据库，它是存儲所有可管理静态数据的中心数据库，对象管理器负责处理知识库中对象的收集和操作并从WMI提供程序收集信息。

WinMgmt.exe在Windows2k/NT上作为一个服务运行，而在Windows95/98上作为一个独立的exe程序运行。

Windows2k系统在某些计算机上出现的WMI错误可以通过安装Windows2kSP2來修正。

　　（29）[system]

　　进程文件:

systemorsystem

　　进程名称:

WindowsSystemProcess

　　描述:

MicrosoftWindows系统进程。

　　介绍：

在任务管理器中会看到这项进程，属于正常系统进程。

　　系统进程就介绍到这里。

　　在Windows2k/XP中，以下进程是必须加载的：

　　smss.exe、csrss.exe、winlogon.exe、services.exe、lsass.exe、svchost.exe（可以同时存在多个）、spoolsv.exe、explorer.exe、SystemIdleProcess；

　　在Windows9x中，以下进程是必须加载的：

　　msgsrv32.exe、mprexe.exe、mmtask.tsk、kenrel32.dll。

系统进程全攻略！

最基本的系统进程（也就是说，这些进程是系统运行的基本条件，有了这些进程，系统就能正常运行）:

smss.exeSessionManager

csrss.exe子系统服务器进程

winlogon.exe管理用户登录

services.exe包含很多系统服务

lsass.exe管理IP安全策略以及启动ISAKMP/Oakley（IKE）和IP安全驱动程序。

（系统服务）

svchost.exe包含很多系统服务产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据（ticket）。

（系统服务）

SPOOLSV.EXE将文件加载到内存中以便迟后打印。

（系统服务）

explorer.exe资源管理器

internat.exe托盘区的拼音图标,附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）:

mstask.exe允许程序在指定时间运行。

（系统服务）

regsvc.exe允许远程注册表操作。

（系统服务）

winmgmt.exe提供系统管理信息（系统服务）。

inetinfo.exe通过Internet信息服务的管理单元提供FTP连接和管理。

（系统服务）

tlntsvr.exe允许远程用户登录到系统并且使用命令行运行控制台程序。

（系统服务）

允许通过Internet信息服务的管理单元管理Web和FTP服务。

（系统服务）

tftpd.exe实现TFTPInternet标准。

该标准不要求用户名和密码。

远程安装服务的一部分。

（系统服务）

termsrv.exe提供多会话环境允许客户端设备访问虚拟的Windows2000Professional桌面会话以及运行在服务器上的基于Windows的程序。

（系统服务）

dns.exe应答对域名系统（DNS）名称的查询和更新请求。

（系统服务）

以下服务很少会用到

tcpsvcs.exe提供在PXE可远程启动客户计算机上远程安装Windows2000Professional的能力。

（系统服务）支持以下TCP/IP服务：

CharacterGenerator,Daytime,Discard,Echo,以及QuoteoftheDay。

（系统服务）

ismserv.exe允许在WindowsAdvancedServer站点间发送和接收消息。

（系统服务）

ups.exe管理连接到计算机的不间断电源（UPS）。

（系统服务）

wins.exe为注册和解析NetBIOS型名称的TCP/IP客户提供NetBIOS名称服务。

（系统服务）

llssrv.exeLicenseLoggingService（systemservice）

ntfrs.exe在多个服务器间维护文件目录内容的文件同步。

（系统服务）

RsSub.exe控制用来远程储存数据的媒体。

（系统服务）

locator.exe管理RPC名称服务数据库。

（系统服务）

lserver.exe注册客户端许可证。

（系统服务）

dfssvc.exe管理分布于局域网或广域网的逻辑卷。

（系统服务）

clipsrv.exe支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。

（系统服务）

msdtc.exe并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。

（系统服务）

faxsvc.exe帮助您发送和接收传真。

（系统服务）

cisvc.exeIndexingService（systemservice）

dmadmin.exe磁盘管理请求的系统管理服务。

（系统服务）

mnmsrvc.exe允许有权限的用户使用NetMeeting远程访问Windows桌面。

（系统服务）

netdde.exe提供动态数据交换（DDE）的网络传输和安全特性。

（系统服务）

smlogsvc.exe配置性能日志和警报。

（系统服务）

rsvp.exe为依赖质量服务（QoS）的程序和控制应用程序提供网络信号和本地通信控制安装功能。

（系统服务）

RsEng.exe协调用来储存不常用数据的服务和管理工具。

（系统服务）

RsFsa.exe管理远程储存的文件的操作。

（系统服务）

grovel.exe扫描零备份存储（SIS）卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。

（系统服务）

SCardSvr.exe对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。

（系统服务）

snmp.exe包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。

（系统服务）

snmptrap.exe接收由本地或远程SNMP代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上SNMP管理程序。

（系统服务）

UtilMan.exe从一个窗口中启动和配置辅助工具。

（系统服务）

msiexec.exe依据.MSI文件中包含的命令来安装、修复以及删除软件。

（系统服务）

详细说明：

windows运行进程