2024年4月22日发(作者：解寻绿)
XP系统进程详解
系统进程：
SystemIdleProcess
进程文件:SystemIdleProcess
进程名称:处理器分派
描述:每一个CPU上作为单线程。（支持多处理器的窗口系统和单处理器的系统区别就在此）。
SystemIDLEProcess这是一个当没有任何程序或者进程对CPU发出请求的时候调用的普通进程，该进程不能被
结束，如果它显示CPU占用率是“97%”，那就意味着只有3%的CPU进程被真正的程序占用着，如果你发现这
个IdleProcesses一直保持很低的数值（比如一直显示3％），那么肯定有一个应用程序一直在运行着，需要检查
一下！这个进程挺有意思的（翻译这个的时候我乐了半天），如果你看到了这个进程在运行，呵呵，
其实就是你看这个进程的任务管理器。它大约占用了3.2MB的内存，当你优化你的系统的时候，不要忘了把它
也算进去。
进程文件：taskmgr或者
进程名称：窗口任务管理者
描述：用于窗口任务管理器。它显示你系统中正在运行的进程。该程序使用Ctrl+Alt+Delete打开，这不是
纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。
进程文件:svchost或
进程名称:服务主机过程
描述:服务主机过程是一个标准的动态连接库主机处理服务。仅位于x：windowssytem32下。启
动时，依据以下注册表来加载：
HKEY_LOCAL_MACHINESOFTWAREMICROSOFTWINDOWSNTCURRENTVERSIONSCHOST,每个键值
都是REG_MULTI_SZ类型，包括多个运行服务。这实际上是一个服务（service），有时候你会经常
在任务管理器里面看到好几个一样的该进程（system、network、user或者其他），在WindowsXP里面，如果你
结束了这个进程，那么系统就会在一分钟之内自动关闭，在Windows2000中，该进程将显示为关键进程，禁止
结束！
进程详解：是一个系统的核心进程，并不是病毒进程。但由于进程的特殊性，所以
病毒也会千方百计的入侵。通过察看进程的执行路径可以确认是否中毒是
从动态链接库(DLL)中运行的服务的通用主机进程名称。其实是WindowsXP系统的一个核心进程。
不单单只出现在WindowsXP中，在使用NT内核的Windows系统中都会有的存在。一
般在Windows2000中进程的数目为2个，而在WindowsXP中进程的数目就上升到了4
个及4个以上。所以看到系统的进程列表中有几个不用那么担心。如果你怀疑计算机有可能被病毒
感染，的服务出现异常的话通过搜索文件就可以发现异常情况。一般只会找到一个在：
“C:WindowsSystem32”目录下的程序。如果你在其他目录下发现程序的话，那很可能
就是中毒了。
进程文件:conime或者
进程名称:ConsoleIMEIME控制台（WINDOWS2000命令）
描述:输入法编辑器，允许用户使用标准键盘就能输入复杂的字符与符号。注意：同时可能是一
个bfghost1.0远程控制后门程序。此程序允许攻击者访问你的计算机，窃取密码和个人数据。建议立即删除此
进程。
进程文件:
进程名称:PrinterSpoolerService
描述:Windows打印任务控制程序，用以打印机就绪。
进程文件:explore或
进程名称:资源管理器
描述:一旦终止会自动重新加载，否则会呈死机状态。这可不是InternetExplorer，总是在后台运
行，它控制着标准的用户界面、进程、命令和桌面等，如果你打开任务管理器，就会看到另外一个
在后台运行。根据系统的字体、背景图片、活动桌面等情况的不同，通常会消耗5.8MB到36MB内存不等。Idle
如果你在任务管理器看到它显示99%的占用率，千万不要害怕，实际上这是好事，因为这表示你的计算机目前
有99%的性能等待你的使用！这是关键进程，不能结束。该进程只有16KB的大小，循环统计CPU的空闲度。
进程文件:
进程名称:本地安全权限服务
描述:这个本地安全权限服务控制Windows安全机制。
进程详解：管理IP安全策略以及启动ISAKMP/Oakley(IKE)和IP安全驱动程序。(系统服务)产生会话密钥
以及授予用于交互式客户/服务器验证的服务凭据(ticket),也就是本地安全权限服务,属于Windowsde的核心进程
之一,也被黑客千方百计的寻找漏洞,大名鼎鼎的震荡波利用的就是其中一个漏洞。
进程文件:
进程名称:WindowsServiceController
描述:管理Windows服务。
进程文件:
进程名称:WindowsLogonProcess
描述:WindowsNT用户登陆程序。这个进程处理登录和注销任务，事实上，这个进程是必需的，
它的大小和你登录的时间有关系，我曾亲眼看见这个进程占用空间的波动情况，一个是登录一个小时左右，内
存在1.2MB到8.5MB之间波动；另一个是登录了40多天，内存在1.7MB到17MB之间波动。
进程文件:
进程名称:Client/ServerRuntimeServerSubsystem
描述:客户端服务子系统，用以控制Windows图形相关子系统。它是Windows的核心部分之一，全称为
ClientServerRuntimeProcess。我们不能结束该进程。这个只有4k的进程经常消耗3MB到6MB左右的内存，建
议不要禁止该进程，而且它很难去除，不如让它运行好了。
进程文件:
进程名称:SessionManagerSubsystem
描述:该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32
壳子系统和运行在Windows登陆过程。它只有45KB的大小却占据着300KB到2MB的内存空间，这
是一个Windows的核心进程之一，是WindowsNT内核的会话管理程序。
system
进程文件:system或system
2024年4月22日发(作者：解寻绿)
XP系统进程详解
系统进程：
SystemIdleProcess
进程文件:SystemIdleProcess
进程名称:处理器分派
描述:每一个CPU上作为单线程。（支持多处理器的窗口系统和单处理器的系统区别就在此）。
SystemIDLEProcess这是一个当没有任何程序或者进程对CPU发出请求的时候调用的普通进程，该进程不能被
结束，如果它显示CPU占用率是“97%”，那就意味着只有3%的CPU进程被真正的程序占用着，如果你发现这
个IdleProcesses一直保持很低的数值（比如一直显示3％），那么肯定有一个应用程序一直在运行着，需要检查
一下！这个进程挺有意思的（翻译这个的时候我乐了半天），如果你看到了这个进程在运行，呵呵，
其实就是你看这个进程的任务管理器。它大约占用了3.2MB的内存，当你优化你的系统的时候，不要忘了把它
也算进去。
进程文件：taskmgr或者
进程名称：窗口任务管理者
描述：用于窗口任务管理器。它显示你系统中正在运行的进程。该程序使用Ctrl+Alt+Delete打开，这不是
纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。
进程文件:svchost或
进程名称:服务主机过程
描述:服务主机过程是一个标准的动态连接库主机处理服务。仅位于x：windowssytem32下。启
动时，依据以下注册表来加载：
HKEY_LOCAL_MACHINESOFTWAREMICROSOFTWINDOWSNTCURRENTVERSIONSCHOST,每个键值
都是REG_MULTI_SZ类型，包括多个运行服务。这实际上是一个服务（service），有时候你会经常
在任务管理器里面看到好几个一样的该进程（system、network、user或者其他），在WindowsXP里面，如果你
结束了这个进程，那么系统就会在一分钟之内自动关闭，在Windows2000中，该进程将显示为关键进程，禁止
结束！
进程详解：是一个系统的核心进程，并不是病毒进程。但由于进程的特殊性，所以
病毒也会千方百计的入侵。通过察看进程的执行路径可以确认是否中毒是
从动态链接库(DLL)中运行的服务的通用主机进程名称。其实是WindowsXP系统的一个核心进程。
不单单只出现在WindowsXP中，在使用NT内核的Windows系统中都会有的存在。一
般在Windows2000中进程的数目为2个，而在WindowsXP中进程的数目就上升到了4
个及4个以上。所以看到系统的进程列表中有几个不用那么担心。如果你怀疑计算机有可能被病毒
感染，的服务出现异常的话通过搜索文件就可以发现异常情况。一般只会找到一个在：
“C:WindowsSystem32”目录下的程序。如果你在其他目录下发现程序的话，那很可能
就是中毒了。
进程文件:conime或者
进程名称:ConsoleIMEIME控制台（WINDOWS2000命令）
描述:输入法编辑器，允许用户使用标准键盘就能输入复杂的字符与符号。注意：同时可能是一
个bfghost1.0远程控制后门程序。此程序允许攻击者访问你的计算机，窃取密码和个人数据。建议立即删除此
进程。
进程文件:
进程名称:PrinterSpoolerService
描述:Windows打印任务控制程序，用以打印机就绪。
进程文件:explore或
进程名称:资源管理器
描述:一旦终止会自动重新加载，否则会呈死机状态。这可不是InternetExplorer，总是在后台运
行，它控制着标准的用户界面、进程、命令和桌面等，如果你打开任务管理器，就会看到另外一个
在后台运行。根据系统的字体、背景图片、活动桌面等情况的不同，通常会消耗5.8MB到36MB内存不等。Idle
如果你在任务管理器看到它显示99%的占用率，千万不要害怕，实际上这是好事，因为这表示你的计算机目前
有99%的性能等待你的使用！这是关键进程，不能结束。该进程只有16KB的大小，循环统计CPU的空闲度。
进程文件:
进程名称:本地安全权限服务
描述:这个本地安全权限服务控制Windows安全机制。
进程详解：管理IP安全策略以及启动ISAKMP/Oakley(IKE)和IP安全驱动程序。(系统服务)产生会话密钥
以及授予用于交互式客户/服务器验证的服务凭据(ticket),也就是本地安全权限服务,属于Windowsde的核心进程
之一,也被黑客千方百计的寻找漏洞,大名鼎鼎的震荡波利用的就是其中一个漏洞。
进程文件:
进程名称:WindowsServiceController
描述:管理Windows服务。
进程文件:
进程名称:WindowsLogonProcess
描述:WindowsNT用户登陆程序。这个进程处理登录和注销任务，事实上，这个进程是必需的，
它的大小和你登录的时间有关系，我曾亲眼看见这个进程占用空间的波动情况，一个是登录一个小时左右，内
存在1.2MB到8.5MB之间波动；另一个是登录了40多天，内存在1.7MB到17MB之间波动。
进程文件:
进程名称:Client/ServerRuntimeServerSubsystem
描述:客户端服务子系统，用以控制Windows图形相关子系统。它是Windows的核心部分之一，全称为
ClientServerRuntimeProcess。我们不能结束该进程。这个只有4k的进程经常消耗3MB到6MB左右的内存，建
议不要禁止该进程，而且它很难去除，不如让它运行好了。
进程文件:
进程名称:SessionManagerSubsystem
描述:该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32
壳子系统和运行在Windows登陆过程。它只有45KB的大小却占据着300KB到2MB的内存空间，这
是一个Windows的核心进程之一，是WindowsNT内核的会话管理程序。
system
进程文件:system或system