解开SVCHOST.exe进程之谜

2024-01-21 14:48
文章标签 exe 进程 之谜 解开 svchost

本文主要是介绍解开SVCHOST.exe进程之谜，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

 大家对Windows操作系统一定不陌生，但你是否注意到系统中“SVCHOST.EXE”这个文件呢？细心的朋友会发现Windows中存在多个“SVCHOST”进程（通过“Ctrl+Alt+Del”键打开任务管理器，这里的“进程”标签中就可看到了），为什么会这样呢？下面就来揭开它神秘的面纱。

 发现

在基于NT内核的Windows操作系统家族中，不同版本的Windows系统，存在不同数量的“SVCHOST”进程，用户使用“任务管理器”可查看其进程数目。一般来说，Win2000有两个SVCHOST进程，WinXP中则有四个或四个以上的SVCHOST进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而Win2003 server中则更多。这些SVCHOST进程提供很多系统服务，如：RpcSs服务（Remote Procedure Call）、dmserver服务（Logical Disk Manager）、Dhcp服务（DHCP Client）等。

　　如果要了解每个SVCHOST进程到底提供了多少系统服务，可以在Win2000的命令提示符窗口中输入“Tlist -S”命令来查看，该命令是Win2000 Support Tools提供的。在WinXP则使用“tasklist /svc”命令。

　　

解开SVCHOST.exe进程之谜
深入

　　Windows系统进程分为独立进程和共享进程两种，“SVCHOST.EXE”文件存在于“%SystemRoot%/system32/”目录下，它属于共享进程。随着Windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由SVCHOST.EXE进程来启动。但SVCHOST进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？

　　原来这些系统服务是以动态链接库（DLL）形式实现的，它们把可执行程序指向SVCHOST，由SVCHOST调用相应服务的动态链接库来启动服务。那SVCHOST又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以RpcSs（Remote Procedure Call）服务为例，进行讲解。

　　
解开SVCHOST.exe进程之谜
实例：笔者以Windows XP为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“Remote Procedure Call”属性对话框，可以看到RpcSs服务的可执行文件的路径为“C:/WINDOWS/system32/svchost -k rpcss”，  
这说明RpcSs服务是依靠SVCHOST调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。

　　在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[HKEY_LOCAL_MACHINE/ SYSTEM/CurrentControlSet/Services/RpcSs]项，找到类型为“REG_EXPAND_SZ”的键“magePath”，其键值为“%SystemRoot%/system32/svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“Parameters”子项中有个名为“ServiceDll”的键，其值为“%SystemRoot%/system32/rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样SVCHOST进程通过读取“RpcSs”服务注册表信息，就能启动该服务了。　　

　　解惑　　

　　因为SVCHOST进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“W32.Welchia.Worm”）。 但Windows系统存在多个SVCHOST进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。

　　假设Windows XP系统被“W32.Welchia.Worm”感染了。正常的SVCHOST文件存在于“C:/Windows/system32”目录下，如果发现该文件出现在其他目录下就要小心了。“W32.Welchia.Worm”病毒存在于“C:/Windows/system32/wins”目录中，因此使用进程管理器查看SVCHOST进程的执行文件路径就很容易发现系统是否感染了病毒。Windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“Windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的SVCHOST进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。

　　由于篇幅的关系，不能对SVCHOST全部功能进行详细介绍，这是一个Windows中的一个特殊进程，有兴趣的朋友可参考有关技术资料进一步去了解它。

　　WinXP中SVCHOST.EXE的资料：

　　http://support.microsoft.com/default.aspx?scid=kb;en-us;314056。

　　Win2000中SVCHOST.EXE的资料：

　　http://support.microsoft.com/default.aspx?scid=kb;en-us;250320

　　
解开SVCHOST.exe进程之谜

这篇关于解开SVCHOST.exe进程之谜的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/629889。

相关文章

javafx 如何将项目打包为 Windows 的可执行文件exe

javafx 如何将项目打包为 Windows 的可执行文件exe

《javafx如何将项目打包为Windows的可执行文件exe》文章介绍了三种将JavaFX项目打包为.exe文件的方法：方法1使用jpackage（适用于JDK14及以上版本）,方法2使用La... 目录方法 1：使用 jpackage（适用于 JDK 14 及更高版本）方法 2：使用 Launch4j（
阅读更多...
C#如何优雅地取消进程的执行之Cancellation详解

C#如何优雅地取消进程的执行之Cancellation详解

《C#如何优雅地取消进程的执行之Cancellation详解》本文介绍了.NET框架中的取消协作模型,包括CancellationToken的使用、取消请求的发送和接收、以及如何处理取消事件... 目录概述与取消线程相关的类型代码举例操作取消vs对象取消监听并响应取消请求轮询监听通过回调注册进行监听使用Wa
阅读更多...
PHP执行php.exe -v命令报错的解决方案

PHP执行php.exe -v命令报错的解决方案

《PHP执行php.exe-v命令报错的解决方案》：本文主要介绍PHP执行php.exe-v命令报错的解决方案,文中通过图文讲解的非常详细,对大家的学习或工作有一定的帮助,需要的朋友可以参考下... 目录执行phpandroid.exe -v命令报错解决方案执行php.exe -v命令报错-PHP War
阅读更多...
[Linux]：进程(下)

[Linux]：进程(下)

✨✨ 欢迎大家来到贝蒂大讲堂✨✨ 🎈🎈养成好习惯，先赞后看哦~🎈🎈 所属专栏：Linux学习 贝蒂的主页：Betty’s blog 1. 进程终止 1.1 进程退出的场景 进程退出只有以下三种情况： 代码运行完毕，结果正确。代码运行完毕，结果不正确。代码异常终止（进程崩溃）。 1.2 进程退出码 在编程中，我们通常认为main函数是代码的入口，但实际上它只是用户级
阅读更多...
java 进程 返回值

java 进程 返回值

实现 Callable 接口 与 Runnable 相比，Callable 可以有返回值，返回值通过 FutureTask 进行封装。 public class MyCallable implements Callable<Integer> {public Integer call() {return 123;}} public static void main(String[] args
阅读更多...
C#关闭指定时间段的Excel进程的方法

C#关闭指定时间段的Excel进程的方法

private DateTime beforeTime;            //Excel启动之前时间          private DateTime afterTime;               //Excel启动之后时间          //举例          beforeTime = DateTime.Now;          Excel.Applicat
阅读更多...
linux中使用rust语言在不同进程之间通信

linux中使用rust语言在不同进程之间通信

第一种：使用mmap映射相同文件 fn main() {let pid = std::process::id();println!(
阅读更多...
Golang进程权限调度包runtime

Golang进程权限调度包runtime

关于 runtime 包几个方法: Gosched：让当前线程让出 cpu 以让其它线程运行,它不会挂起当前线程，因此当前线程未来会继续执行GOMAXPROCS：设置最大的可同时使用的 CPU 核数Goexit：退出当前 goroutine(但是defer语句会照常执行)NumGoroutine：返回正在执行和排队的任务总数GOOS：目标操作系统NumCPU：返回当前系统的 CPU 核数量 p
阅读更多...
如何保证android程序进程不到万不得已的情况下，不会被结束

如何保证android程序进程不到万不得已的情况下，不会被结束

最近，做一个调用系统自带相机的那么一个功能，遇到的坑，在此记录一下。 设备：红米note4 问题起因 因为自定义的相机，很难满足客户的所有需要，比如：自拍杆的支持，优化方面等等。这些方面自定义的相机都不比系统自带的好，因为有些系统都是商家定制的，难免会出现一个奇葩的问题。比如：你在这款手机上运行，无任何问题，然而你换一款手机后，问题就出现了。 比如：小米的红米系列，你启用系统自带拍照功能后
阅读更多...
flume系列之：记录一次flume agent进程被异常oom kill -9的原因定位

flume系列之：记录一次flume agent进程被异常oom kill -9的原因定位

flume系列之：记录一次flume agent进程被异常oom kill -9的原因定位 一、背景二、定位问题三、解决方法 一、背景 flume系列之：定位flume没有关闭某个时间点生成的tmp文件的原因，并制定解决方案在博主上面这篇文章的基础上，在机器内存、cpu资源、flume agent资源都足够的情况下，flume agent又出现了tmp文件无法关闭的情况 二、
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2