真正认识计算机进程 - 乔贤论坛

相信每一个从事计算机安全的人，都对众多系统关键服务与进程有所了解，但却不是每一个人都能详细说出这些进程，普通用户更是对众多的映象名称知之甚少。近日病毒的猖獗也使得部分用户大呼认识了进程就可以手动删除病毒，其实这样的想法都是片面的。从计算机病毒的发展来看，仅仅伪装系统关键进程或者创建新进程的病毒，几乎可能给用户造成任何影响。在此，笔者将详细介绍Windows操作系统进程的相关知识，使用户可以正确认识什么是进程，进程又都在做些什么。
　　认识计算机进程
　　进程是程序在计算机上的一次执行活动。当你运行一个程序，你就启动了一个进程。显然，程序是静态的，进程是动态的。进程可以分为系统进程和用户进程。凡是用于完成操作系统的各种功能的进程就是系统进程，它们就是处于运行状态下的操作系统本身;用户进程就是所有由你启动的进程。进程是操作系统进行资源分配的单位。
　　说到进程就不得不说线程，这也使得很多人误解关了进程就关了杀毒软件。线程是一种操作系统对象，代表着一个进程中要被执行的代码路径。每一个WIN32应用程序至少有一个线程，应用程序可以自由地创建其他线程来执行其他任务。
　　线程是比进程更小的执行单位。一个进程在其执行过程能够中，可以产生多个线程，形成多条执行线索。每条线索，即每个线程也有它自身的产生、存在和消亡过程，也是一个动态的概念。但是进程只是存在内存中，实际上他是不会做任何事情的。真正起作用的是计算机的线程。线程是程序的执行者，一个程序至少有一个线程，但是在多线程的操作系统中，可以有一个以上的线程。
　　这里用户就应该知道很多时候，当你发现了陌生进程为什么关不掉，或者没有陌生的进程为什么又中了病毒的原因。当然如今病毒技术的发展，存在多种隐藏病毒本身的方式，这里笔者主要详细介绍进程相关知识。
　　首先让我们看一下系统进程都有哪些，用户根据自己需要的服务，用户可以根据自己的需求来订制自己的需求。
　　agentsvr.EⅩE：agentsvr.EⅩE是一个ActiveX插件，用于多媒体程序。
　　alg.EⅩE：Windows操作系统自带的程序。它用于处理微软Windows网络连接共享和网络连接防火墙(系统服务);

　　cmd.EⅩE：cmd.EⅩE是一个32位的命令行程序，运行在Windows NT/2000/XP上。这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。
　　csrss.EⅩE：微软客户端/服务端运行时子系统。该进程管理Windows图形相关任务(系统服务);

　　ctfmon.EⅩE：Microsoft Office产品套装的一部分。它可以选择用户文字输入程序，和微软Office XP语言条。这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题;

　　dns.EⅩE：应答对域名系统(DNS)名称的查询和更新请求(系统服务)。
　　explorer.EⅩE：Windows程序管理器或者Windows资源管理器，它用于管理Windows图形壳，包括开始菜单、任务栏、桌面和文件管理;

　　iexplore.EⅩE：是Microsoft Internet Explorer的主程序。这个微软Windows应用程序让你在网上冲浪，和访问本地Interanet网络。
　　internat.EⅩE：Windows多语言输入程序，托盘区的拼音图标，附加的系统进程(这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少);

　　ismserv.EⅩE 允许在 Windows Advanced Server 站点间发送和接收消息(系统服务);

　　lsass.EⅩE 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务);

　　mstask.EⅩE Windows计划任务程序。它用于管理计划任务，包括备份和更新，定时运行。如果你删除该进程，计划任务将无法运行(系统服务);

　　regsvc.EⅩE：Windows服务集中的一个系统服务。它用于远程计算机访问本地注册表。一些本地程序也能够通过该服务编辑注册表 (系统服务);

　　rundll32.EⅩE：用于在内存中运行DLL文件，它们会在应用程序中被使用;

　　services.EⅩE：是Windows操作系统的一部分。用于管理启动和停止服务。该进程也会处理在计算机启动和关机时运行的服务(系统服务);

　　smss.EⅩE：Windows操作系统的一部分。该进程调用对话管理子系统和负责操作你系统的对话(系统服务);

　　spoolsv.EⅩE:用于将Windows打印机任务发送给本地打印机.

　　svchost.EⅩE：是一个属于微软Windows操作系统的系统程序，包含很多系统服务，用于执行DLL文件(系统服务)。系统中根据启动的服务多少，该进程数量也会不同，一般在4-5个左右。
　　winlogon.EⅩE：Windows登陆管理器，用于处理系统的登陆和登陆过程(系统服务);

　　这里只列举了常见的内容，并不代表所有的系统进程，毕竟进程是可以被伪装的。其实越是被大家熟悉的进程越容易被病毒所利用，例如Explorer.EⅩE，svchost.EⅩE，spoolsv.EⅩE，winlogon.EⅩE，rundll32.EⅩE。例如06大为流行的威金病毒，其进程主要为：rundl132.EⅩE，logo_1.EⅩE，vdll.dll，logo1_.EⅩE等，利用“1”和“l”等字母和数字相似性来伪装的病毒在过去十分常见。
　　计算机病毒发展到今天，用户会发现利用伪装进程来传染用户的病毒木马不再是主流趋势，很多时候用户会发现只是通过关闭进程是无法杀掉病毒的，这主要是由于DLL及产生的不同线程引起的.