“脆弱”的系统进程系统进程.pdfVIP

病毒、木马的伎俩之一就是攻击系统进程，或是伪装或是注入，降低人们的警惕性。如 果能对常用的进程有些初步了解， 就能掌握判断恶意进程的基本手段。 自从家里上网后， 小蔡中过几次木马病毒，每次请高手来检查，都看到他先按下“ Ctrl+Alt+Del ”键，打开任 务管理器查看进程。两三次后小蔡就学会了，可是当他自己打开以后，哇，这么多奇奇怪怪 的名字，都是些什么啊（图 1）？ 看来啊，这个高手还不是那么容易当的。 还有两个问题小蔡也想不明白， 用户名为 SYSTEM 的就是系统进程了吧， 为什么病毒木马经常盯着它们呢？它们为什么那么 “脆弱”，一招就死？ 小蔡打开任务管理器之后， 虽然看不大明白， 但也努力去熟悉。 怎么有两个 SVCHOST.EXE， 不对，是三个……他点了一下按映像名称排序（图 2 ），哗，一共是 5 个 SVCHOST.EXE。这太 奇怪了！ 小蔡还注意到名称一样的“ SVCHOST.EXE”对应的“用户名”却不相同，又增加了一些可 疑。那么， SVCHOST.EXE到底是哪路神仙？是正常的系统进程还是感染了木马、病毒呢？ 放服务的 CD机 赶忙打个电话给高手，没想到他哈哈大笑，然后给小蔡慢慢说明。其实， SVCHOST.EXE 是 Windows 2000/XP/2003 等操作系统中独有的进程，它是 Service Host （服务宿主）的缩 写。 在系统中有很多被称作“服务”的模块，当操作系统正常运行时，各个功能都是由这些 “服务”合作完成的。这些“服务”是一些扩展名为 DLL 的动态链接库文件，它们不像可执 行程序（ *.exe 、*.bat 等）那样能够直接运行，而是要一个专用的程序来启动，这个程序就 是 SVCHOST.EXE了。 如果还不容易理解， 你可以把系统中的每个服务比喻成一张音乐 CD或是 VCD光盘，而要 想播放这些光盘，就需要相应的播放机， SVCHOST.EXE就是专门用来播放这些光盘（服务） 的播放机了。 各司其职 原来如此，小蔡有些明白了，第一个问题解决。那么为什么会同时出现这么多个 SVCHOST.EXE？ 系统会运行多个 SVCHOST.EXE，分别来负责不同性质的服务。就好比光盘分为音乐 CD、 VCD、SVCD、DVD等，播放这些不同格式的光盘就需要具备相应功能的播放机。 这些 SVCHOST.EXE 相互分工很明确。 打开“ 开始”→“ 运行” 输入 r e g e d i t ，打开注册表编辑器，依次展开 “HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost ”，在左 侧窗口便可以看到 6 个键值项，每个都代表一组服务，这样的每组服务启动时都会通过单独 的 SVCHOST.EXE进程来装载（图 3 ）。 这么说来， Windows XP 中应该可以看到 6 个 SVCHOST.EXE了，怎么只有 5 个呢？这 6 组 服务通常并不都是启动状态的， WindowsXP会有 4 ～6 个 SVCHOST.EXE进程， 而 Windows 2000 通常会有两个。 顺藤摸瓜 小蔡决定多了解点关于服务的知识， 现在知道了 6 组服务， 那么能查看这么服 务做什么吗？不要再看注册表了啊，那个吓人，看得头晕。 通过注册表查看服务确实麻烦点，但能查到服务具体的文件。要简单的方法也有，单击 “开始→运行”，输入“ services.msc ”并回车即可打开服务管理器（图