svchost.exe系统进程揭密

svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。很多病毒、木马也会调用它。所以，深入了解这个程序，是玩电脑的必修课之一。


--------------------------------------------------------------------------------

svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。很多病毒、木马也会调用它。所以，深入了解这个程序，是玩电脑的必修课之一。

大家对windows操作系统一定不陌生，但你是否注意到系统中“svchost.exe”这个文件呢？细心的朋友会发现windows中存在多个 “svchost”进程（通过“ctrl+alt+del”键打开任务管理器，这里的“进程”标签中就可看到了），为什么会这样呢？下面就来揭开它神秘的面纱。

发现

在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003 server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务（remote procedure call）、dmserver服务（logical disk manager）、dhcp服务（dhcp client）等。

如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win2000 support tools提供的。在winxp则使用“tasklist /svc”命令。

svchost中可以包含多个服务

深入

windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot% system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？

原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向 svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以rpcss（remote procedure call）服务为例，进行讲解。

从启动参数中可见服务是靠svchost来启动的。

实例

以windows xp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchost -k rpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。

在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine systemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“% systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样 svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。

解惑

因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。

假设windows xp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。

由于篇幅的关系，不能对svchost全部功能进行详细介绍，这是一个windows中的一个特殊进程，有兴趣的可参考有关技术资料进一步去了解它。

讨论

并不是启动一个相关服务就多一个svchost进程的，而是根据命令参数分组，一般是一组服务就有一个svchost进程，如TT举例的那个c:\windows\system32\svchost -k rpcss，这个属于rpcss组。

进程文件： svchost 或者 svchost.exe
进程名称： Microsoft Service Host Process

描述：
svchost.exe是一个属于微软Windows操作系统的系统程序，用于执行DLL文件。这个程序对你系统的正常运行是非常重要的。注意：svchost.exe也有可能是W32.Welchia.Worm病毒，它利用Windows LSASS漏洞，制造缓冲区溢出，导致你计算机关机。更多详细信息参考:http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx，该进程的安全等级是建议立即删除。



出品者： Microsoft Corp.
属于： Microsoft Windows Operating System

系统进程： 是
后台程序： 是
使用网络： 是
硬件相关： 否
常见错误： 未知N/A
内存使用： 未知N/A
安全等级 (0-5): 0
间谍软件： 否
Adware: 否
病毒： 否
木马: 否

系统进程列表
Top System Processes
actmovie.exe
agentsvr.exe
alg.exe
ASPNET_WP.exe
btwdins.exe
ccmexec.exe
cidaemon.exe
cisvc.exe
clisvcl.exe
cmd.exe
Control.exe
csrss.exe
ctfmon.exe
ddhelp.exe
dfssvc.exe
dllhost.exe
dos4gw.exe
dotnetfx.exe
dumprep.exe
explorer.exe
fast.exe
grpconv.exe
hidserv.exe
iexplore.exe
imapi.exe
inetinfo.exe
internat.exe
kernel32.dll
launch32.exe
loadwc.exe
locator.exe
logonui.exe
lsass.exe
mad.exe
mapisp32.exe
mmc.exe
mmtask.tsk
mprexe.exe
msconfig.exe
msdtc.exe
msgsrv32.exe
msiexec.exe
msoobe.exe
mstask.exe
mstinit.exe
ndisuio.sys
netdde.exe
ntoskrnl.exe
ntvdm.exe
pchschd.exe
pstores.exe
rasautou.exe
rdpclip.exe
regsvc.exe
regsvr32.exe
rnaapp.exe
rpcss.exe
rsvp.exe
rundll.exe
rundll32.exe
runonce.exe
sapisvr.exe
savedump.exe
scanregw.exe
scardsvr.exe
services.exe
smss.exe
snmp.exe
spool32.exe
spoolss.exe
spoolsv.exe
srvany.exe
svchost.exe
system
System Idle Process
systray.exe
tapisrv.exe
taskmgr.exe
taskmon.exe
tcpsvcs.exe
tlntsvr.exe
userinit.exe
winlogon.exe
winmgmt.exe
winoa386.mod
WMIADAP.EXE
wmiexe.exe
wmiprvse.exe
wowexec.exe
wpabaln.exe
wscntfy.exe
wuaclt.exe
wuauboot.exe
wuauclt.exe
wuaudt.exe
wucrtupd.exe
其它进程分类：

[ 本帖最后由 regone 于 2006-6-5 10:31 编辑 ]

很多朋友对Svchost.exe进程都不太了解，有时在任务管理器中一旦看到有多个该进程（图1中有6个），就以为自己的电脑中了病毒或木马，其实并非如此！正常情况下，Windows中可以有多个Svchost.exe进程同时运行，例如Windows 2000至少有2个Svchost进程，Windows XP中有4个以上，Windows 2003中则有更多，所以当你看到多个Svchost进程时，未必就是病毒！

图1
Svchost.exe进程是干什么的？
　　Svchost.exe文件存在于“%system root%\system32”（例如C:\Windows\system32）目录下，它是Windows NT核心的重要进程（Windows 9X没有该进程），专门为系统启动各种服务的。例如Svchost.exe调用rpcss.dll文件，就会启动rpcss服务（remote procedure call）。
　　Svchost.exe实际上是一个服务宿主，它本身并不能给用户提供任何服务，但是可以用来运行动态链接库DLL文件，从而启动对应的服务。Svchost.exe进程可以同时启动多个服务。
Svchost是如何启动系统服务的？
　　由于系统服务都是以动态链接库(DLL)形式实现的，它们把可执行程序指向Svchost，因此Svchost只要调用某个动态链接库，即可启动对应的服务。那么Svchost启动某服务时，又是如何知道应该调用哪个动态链接库？这是由于系统服务在注册表中都设置了相关参数，因此Svchost通过读取某服务在注册表中的信息，即可知道应该调用哪个动态链接库，从而启动该服务。
　　下面我们以Svchost启动helpsvc(Help and Support)服务为例，介绍其启动服务的方法。在Windows XP中点击“开始”|“运行”，输入“services.msc”命令，弹出服务对话框，然后双击打开“Help and Support”服务属性对话框，可以看到helpsvc服务的可执行文件的路径为“C:\WINDOWS\System32\svchost.exe -k netsvcs” （如图2），说明helpsvc服务是依靠SVCHOST调用“netsvcs”参数来实现的，而参数的内容则是存放在系统注册表中的。

图2
　　在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\helpsvc]项，找到类型为“REG_EXPAND_SZ”的键“magePath”，其键值为“%SystemRoot%\System32\svchost.exe -k netsvcs”(这就是在服务窗口中看到的服务启动命令)，另外在“Parameters”子项中有个名为“ServiceDll”的键，其值为“%WINDIR%\PCHealth\HelpCtr\Binaries\pchsvc.dll”，其中“pchsvc.dll”就是helpsvc服务要使用的动态链接库文件。这样SVCHOST进程通过读取“helpsvc”服务注册表信息，就能启动该服务了。
Svchost到底启动了哪些服务？
　　如果你想了解每个SVCHOST进程当前到底提供了哪些系统服务，可以在命令提示符下输入命令来查看。例如在Windows XP中，打开“命令提示符”，键入tasklist /svc命令查看；在Windows 2000中，则输入“Tlist -S”命令来查看。
　　如果你在Windows XP中，想得到所有进程的详细信息，可以打开“命令提示符”，键入　　tasklist /svc>abc.txt 命令，于是在当前目录中，将会生成一个abc.txt文件，其内容就是当前正在运行的所有进程情况，例如进程名、PID号、该进程启动了哪些服务。
如何发现Svchost进程有问题？
　　由于Svchost进程可以启动各种服务，因此病毒、木马也经常伪装成系统的DLL文件，使Svchost调用它，从而进入内存中运行、感染和控制电脑。
　　建议你使用“Windows优化大师”进程管理器（可以到《个人电脑》的下载频道http://download.pcpro.com.cn的“系统工具”中去下载），查看所有Svchost进程的执行文件路径（如图3），正常的Svchost文件应该存在于“c:\Windows\system32”目录下，如果你发现其执行路径在其他目录下，就有可能染上了病毒或木马了，应该马上进行检测和处理。

图3
Svchost进程杀不掉怎么办？
　　如果有些Svchost进程，你在任务管理器中无法关闭之，可以使用ntsd命令来杀掉它，方法如下：
　　首先需要了解欲杀的Svchost进程，其PID是多少？在Windows XP下，按Ctrl+Alt+Del打开任务管理器，点击“进程选项卡”|“查看”|“选择列”，在弹出的窗口中（图4），勾选“PID（进程标识符）”，然后回到任务管理器中，即可看见PID了（例如要杀的Svchost进程，其PID是844）。

图4
　　接下来关闭该进程。点击“开始”|“程序”|“附件”|“命令提示符”，在命令提示符下，输入命令ntsd -c q -p 844即可杀掉Svchost进程（PID是844）。
　　小提示：除了System、SMSS.EXE和CSRSS.EXE这三个进程，ntsd命令可以杀掉任何一个系统进程。从Windows 2000开始，微软就提供了ntsd工具，该命令执行后，可让你获得系统的debug权，因此能够用来关闭大部分的系统进程，如果你遇到无法关闭的进程，就可以使用该命令，其杀进程的命令格式为：ntsd -c q –p XXX
　　以上XXX为欲杀进程的PID；
　　ntsd –p XXX 表示在调试器中打开某进程（PID为XXX）；
　　而-c q参数则表示退出调试器。由于调试器关闭之后，它打开的进程会随调试器一起退出，因此ntsd命令能够关闭进程。