系統(tǒng)進(jìn)程小知識(shí)
系統(tǒng)進(jìn)程小知識(shí)
一款好的防火墻并不能發(fā)現(xiàn)所有病毒;一個(gè)好的殺毒軟件并不能殲滅所有的帶毒程序!遇到這些情況我們?cè)撟龊翁幚砟?很簡(jiǎn)單——手工殺毒。而要論到手工殺毒，就不能不提到系統(tǒng)進(jìn)程了。下面是學(xué)習(xí)啦小編帶來(lái)的關(guān)于小知識(shí):系統(tǒng)進(jìn)程的內(nèi)容，歡迎閱讀!
書(shū)上說(shuō):“進(jìn)程為應(yīng)用程序的運(yùn)行實(shí)例，是應(yīng)用程序的一次動(dòng)態(tài)執(zhí)行。”看似高深，我們可以簡(jiǎn)單地理解為:它是操作系統(tǒng)當(dāng)前運(yùn)行的執(zhí)行程序。在系統(tǒng)當(dāng)前運(yùn)行的執(zhí)行程序里包括:系統(tǒng)管理計(jì)算機(jī)個(gè)體和完成各種操作所必需的程序;用戶(hù)開(kāi)啟、執(zhí)行的額外程序，當(dāng)然也包括用戶(hù)不知道，而自動(dòng)運(yùn)行的非法程序(它們就有可能是病毒程序)。
危害較大的可執(zhí)行病毒同樣以“進(jìn)程”形式出現(xiàn)在系統(tǒng)內(nèi)部(一些病毒可能并不被進(jìn)程列表顯示，如“宏病毒”)，那幺及時(shí)查看并準(zhǔn)確殺掉非法進(jìn)程對(duì)于“手工殺毒有起著關(guān)鍵性的作用。
如何打開(kāi)系統(tǒng)進(jìn)程列表?
要通過(guò)進(jìn)程列表查看系統(tǒng)是否染毒，必須打開(kāi)當(dāng)前的執(zhí)行程序進(jìn)程列表，Microsoft的每種系統(tǒng)都有相應(yīng)的打開(kāi)方法，但能夠顯示的能力卻因(系統(tǒng))不同，有所差異:
系統(tǒng)進(jìn)程小知識(shí)：Windows 98 /Me系統(tǒng)
打開(kāi)系統(tǒng)進(jìn)程的方式很簡(jiǎn)單，快捷鍵“Ctrl+Alt+Delete”(如圖1)，這個(gè)窗口大家應(yīng)該比較熟悉，使用Windows系統(tǒng)的用戶(hù)都知道用這個(gè)方法來(lái)關(guān)閉程序，不過(guò)它同樣用于顯示系統(tǒng)進(jìn)程，只是Windows 98系統(tǒng)較初級(jí)，對(duì)進(jìn)程的顯示局限于名稱(chēng)，且里面所顯示的還有打開(kāi)的文件及目錄名，查看時(shí)易混淆。Windows Me的進(jìn)程打開(kāi)方式和Windows 98相同。
Windows 9x系統(tǒng)打開(kāi)的進(jìn)程列表混亂且不完全，顯然不便于查看系統(tǒng)的具體進(jìn)程狀況，所以建議使用一些工具程序來(lái)為Windows 9x系統(tǒng)顯示進(jìn)程，如“Windows優(yōu)化大師”，在“優(yōu)化大師”的“系統(tǒng)安全優(yōu)化”項(xiàng)內(nèi)打開(kāi)“進(jìn)程管理”，在圖2所示的“Windows 進(jìn)程管理”窗口內(nèi)，可以詳細(xì)查看當(dāng)前計(jì)算機(jī)所運(yùn)行的所有進(jìn)程，及具體程序所在的位置，這樣更方便完成后面要介紹的如何利用進(jìn)程進(jìn)行查毒、殺毒。
系統(tǒng)進(jìn)程小知識(shí)：Windows 2000/ XP/2003系統(tǒng)
Windows 2000、Windows XP、Windows 2003打開(kāi)進(jìn)程窗口的方式與Windows 9x系統(tǒng)相同，只是三鍵后打開(kāi)的是“Windows 任務(wù)管理器”窗口，需要選擇里面的“進(jìn)程”項(xiàng)。Windows 2000系統(tǒng)只顯示具體進(jìn)程的全名，占用的內(nèi)存量;Windows XP、Windows 2003系統(tǒng)相比Windows 2000會(huì)顯示該進(jìn)程歸屬于那個(gè)用戶(hù)下，如操作系統(tǒng)所必須的基礎(chǔ)程序，會(huì)在后面的“用戶(hù)名”內(nèi)顯示為“SYSTEM”，由用戶(hù)另外開(kāi)啟的程序則用戶(hù)名為當(dāng)前的系統(tǒng)登錄用戶(hù)名。
發(fā)現(xiàn)病毒
在介紹具體的查毒和殺毒前，筆者先回答開(kāi)篇提出的兩個(gè)問(wèn)題。為什幺殺毒軟件并不能全面的查找和殺掉病毒?首先，病毒防火墻是通過(guò)對(duì)程序進(jìn)行反匯編，然后與自己的病毒庫(kù)進(jìn)行對(duì)比來(lái)查找病毒，如果病毒較新，而殺毒軟件又未能及時(shí)升級(jí)便不能識(shí)別病毒。其次，殺毒軟件在發(fā)現(xiàn)病毒后，如果是獨(dú)立的可執(zhí)行病毒程序，會(huì)選擇直接刪除的處理方式，而病毒如果被當(dāng)作進(jìn)程執(zhí)行了，殺毒軟件就無(wú)能為力了，因?yàn)樗鼪](méi)有功能和權(quán)限先停止掉系統(tǒng)的這些進(jìn)程，被當(dāng)作進(jìn)程執(zhí)行的程序是不能被刪除的(這也是大家在刪除一個(gè)程序時(shí)，提示該程序正在被使用不能刪除的原因)。所以在使用殺毒軟件殺毒時(shí)，才會(huì)有殺毒完成后，又出現(xiàn)病毒提示的原因。 回到原來(lái)話(huà)題上!通過(guò)進(jìn)程如何發(fā)現(xiàn)和殺掉病毒呢?由前面的知識(shí)介紹可知，Windows 9X和Windows 2000系統(tǒng)只能顯示進(jìn)程的名稱(chēng)，這對(duì)判斷該進(jìn)程是否是病毒還不夠，如果要準(zhǔn)確的斷定病毒，最好使用前面介紹的“Windows優(yōu)化大師”來(lái)查看進(jìn)程程序的源路徑，如果是“C:\Windows\system”下的一些未知的“EXE”那便極有病毒的可能性了。Windows XP和Windows 2003系統(tǒng)，進(jìn)程后會(huì)有“用戶(hù)名”的顯示，病毒是不可能獲得“SYSTEM”權(quán)限的，所以應(yīng)注意“用戶(hù)名”是當(dāng)前登錄用戶(hù)的進(jìn)程，一旦發(fā)現(xiàn)是病毒，可以立即“殺掉”。這里介紹兩個(gè)技巧:
1.發(fā)現(xiàn)可疑進(jìn)程后，利用Windows的查找功能，查找該進(jìn)程所在的具體路徑，通過(guò)路徑可以知道該進(jìn)程是否合法，譬如由路徑“C:\Program Files21\assistse.exe”知道該程序是3721的進(jìn)程，是合法的。
2.在對(duì)進(jìn)程是否病毒拿不定主意時(shí)，可以復(fù)制該進(jìn)程的全名，如:“xxx.exe”到googl.com或baidu.com這樣的全球搜查引擎上進(jìn)行搜查，如果是病毒會(huì)有相關(guān)的介紹網(wǎng)頁(yè)。
確定了該進(jìn)程是病毒，首先應(yīng)該殺掉該進(jìn)程，對(duì)于Windows 9x系統(tǒng)，選中該進(jìn)程后，點(diǎn)擊下面的“結(jié)束任務(wù)”按鈕，Windows 2000、Windows XP、Windows 2003系統(tǒng)則在進(jìn)程上單擊右鍵在彈出菜單上選擇“結(jié)束任務(wù)”。“殺掉”進(jìn)程后找到該進(jìn)程的路徑刪除掉即可，完成后最好在進(jìn)行一次殺毒，這樣就萬(wàn)無(wú)一失了。
一次利用進(jìn)程殺毒的具體過(guò)程是這樣的:“通過(guò)進(jìn)程名及路徑判斷是否病毒——殺掉進(jìn)程——刪除病毒程序”，為了讓讀者更好的判斷進(jìn)程，在這里補(bǔ)充一些Windows的進(jìn)程資料給大家:
進(jìn)程名描述
smss.exe Session Manager
csrss.exe 子系統(tǒng)服務(wù)器進(jìn)程
winlogon.exe 管理用戶(hù)登錄
services.exe 包含很多系統(tǒng)服務(wù)
lsass.exe 管理 IP 安全策略以及啟動(dòng) ISAKMP/Oakley (IKE) 和 IP 安全驅(qū)動(dòng)程序。
svchost.exe Windows 2000/XP 的文件保護(hù)系統(tǒng)
Spoolsv.exe 將文件加載到內(nèi)存中以便遲后打印。
explorer.exe 資源管理器
internat.exe 托盤(pán)區(qū)的拼音圖標(biāo)
mstask.exe允許程序在指定時(shí)間運(yùn)行。
regsvc.exe允許遠(yuǎn)程注冊(cè)表操作。(系統(tǒng)服務(wù))→remoteregister
tftpd.exe 實(shí)現(xiàn) TFTP Internet 標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)不要求用戶(hù)名和密碼。
llssrv.exe證書(shū)記錄服務(wù)
ntfrs.exe 在多個(gè)服務(wù)器間維護(hù)文件目錄內(nèi)容的文件同步。
RsSub.exe 控制用來(lái)遠(yuǎn)程儲(chǔ)存數(shù)據(jù)的媒體。
locator.exe 管理 RPC 名稱(chēng)服務(wù)數(shù)據(jù)庫(kù)。
clipsrv.exe 支持“剪貼簿查看器”，以便可以從遠(yuǎn)程剪貼簿查閱剪貼頁(yè)面。
msdtc.exe 并列事務(wù)，是分布于兩個(gè)以上的數(shù)據(jù)庫(kù)，消息隊(duì)列，文件系統(tǒng)或其它事務(wù)保護(hù)資源管理器。
grovel.exe掃描零備份存儲(chǔ)(SIS)卷上的重復(fù)文件，并且將重復(fù)文件指向一個(gè)數(shù)據(jù)存儲(chǔ)點(diǎn)，以節(jié)省磁盤(pán)空間(只對(duì) NTFS 文件系統(tǒng)有用)。
snmp.exe 包含代理程序可以監(jiān)視網(wǎng)絡(luò)設(shè)備的活動(dòng)并且向網(wǎng)絡(luò)控制臺(tái)工作站匯報(bào)。
以上這些進(jìn)程都是對(duì)計(jì)算機(jī)運(yùn)行起至關(guān)重要的，千萬(wàn)不要隨意“殺掉”，否則可能直接影響系統(tǒng)的正常運(yùn)行。
微軟還為我們提供了一種察看系統(tǒng)正在運(yùn)行在svchost.exe列表中的服務(wù)的方法。
以Windows XP為例:在“運(yùn)行”中輸入:cmd，然后在命令行模式中輸入:tasklist /svc。系統(tǒng)列出服務(wù)列表。如果使用的是Windows 2000系統(tǒng)則把前面的“tasklist /svc”命令替換為:“tlist -s”即可。
如果你懷疑計(jì)算機(jī)有可能被病毒感染，svchost.exe的服務(wù)出現(xiàn)異常的話(huà)通過(guò)搜索svchost.exe文件就可以發(fā)現(xiàn)異常情況。一般只會(huì)找到一個(gè)在:“C:\Windows\System32”目錄下的svchost.exe程序。如果你在其它目錄下發(fā)現(xiàn)svchost.exe程序的話(huà)，那很可能就是中毒了。
還有一種確認(rèn)svchost.exe是否中毒的方法是在任務(wù)管理器中察看進(jìn)程的執(zhí)行路徑。但是由于在Windows系統(tǒng)自帶的任務(wù)管理器不能察看進(jìn)程路徑，所以要使用第三方的進(jìn)程察看工具。
上面簡(jiǎn)單的介紹了svchost.exe進(jìn)程的相關(guān)情況。總而言之，svchost.exe是一個(gè)系統(tǒng)的核心進(jìn)程，并不是病毒進(jìn)程。但由于svchost.exe進(jìn)程的特殊性，所以病毒也會(huì)千方百計(jì)的入侵svchost.exe。通過(guò)察看svchost.exe進(jìn)程的執(zhí)行路徑可以確認(rèn)是否中毒。