本文目录导航：
电脑启动名目中的这些英文都是什么意思？
这些都是电脑启动时要运转的文件名字，这些文件区分成功一些配置。 外部网络启动 --〉xp可不要Systemtray 系统托盘（工具条） --〉xp可不要scanRegistry 扫描注册名目 --〉xp可不要$EnteNet --〉ENTERNET? 中国电讯宽带的入网程序 --〉xp可不要Criticalupdate 关键降级 --〉xp可不要TkbellExe ？ --〉xp可不要taskMonitor 义务监测器loadpowerProfile 装入电源附件 --〉xp可不要soundMan 音频启动 --〉xp可不要Igfxtray ？如同是浮现卡的启动托盘 --〉xp可不要HotkeysCmds 热键命令 --〉xp可不要KB 安保降级 --〉xp可不要，做过一次性就可以了loadPowerProfile 同上Microsoft office startup Office启动 --〉xp可不要宿愿采用
svchost.exe是什么东东
我也很纳闷……我进程里有两三个……看了看他人的说明，这个比拟全，给你看看1. 多个服务共享一个进程利与弊 windows 系统服务分为独立进程和共享进程两种，在windows NT时只要主机治理器SCM（）有多个共享服务，随着系统内置服务的参与，在windows 2000中ms又把很多服务做成共享方式，由启动。
windows 2000普通有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个。
而在windows XP中，则普通有4个以上的服务进程，windows 2003 server中则更多，可以看出把更多的系统内置服务以共享进程方式由svchost启动是ms的一个趋向。
这样做在必定水平上缩小了系统资源的消耗，不过也带来必定的不稳固起因，由于任何一个共享进程的服务由于失误分开进程就会造成整个进程中的一切服务都分开。
另外就是有一点安保隐患，首先要引见一下的成功机制。
2. Svchost原理 Svchost自身只是作为服务宿主，并不成功任何服务配置，要求Svchost启动的服务以灵活链接库方式成功，在装置这些服务时，把服务的可口头程序指向svchost，启动这些服务时由svchost调用相应服务的灵活链接库来启动服务。
那么svchost如何知道某一服务是由哪个灵活链接库担任呢？这不是由服务的可口头程序门路中的参数局部提供的，而是服务在注册表中的参数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll标明该服务由哪个灵活链接库担任。
并且一切这些服务灵活链接库都必要求导出一个ServiceMain()函数，用来处置服务义务。
例如rpcss（Remote Procedure Call）在注册表中的位置是HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\RpcSs，它的参数子键Parameters里有这样一项： ServiceDll=REG_EXPAND_SZ:%SystemRoot%\\system32\\ 当启动rpcss服务时，svchost就会调用，并且口头其ServiceMain()函数口头详细服务。
既然这些服务是经常使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢？ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务经常使用多个svchost进程，组的区别是由服务的可口头程序后边的参数选择的。
例如rpcss在注册表中 HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\RpcSs 有这样一项： ImagePath=REG_EXPAND_SZ:%SystemRoot%\\system32\\svchost -k rpcss 因此rpcss就属于rpcss组，这在服务治理控制台也可以看到。
svchost的一切组和组内的一切服务都在注册表的如下位置： HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Svchost，例如windows 2000共有4组rpcss、netsvcs、wugroup、BITSgroup，其中最多的就是netsvcs=REG_MULTI_.. 在启动一个担任的服务时，服务治理器假设遇到可口头程序内容ImagePath曾经存在于服务治理器的映象库中，就不在启动第2个进程svchost，而是间接启动服务。
这样就成功了多个服务共享一个svchost进程。
每次刚启动完电脑,我就发如今进程中有很多的svchost.exe,这是不是病毒啊?
是病毒的两种状况1.应用冒充称号的病毒程序 这种方式运转的病毒并没有间接应用真正的进程，而是启动了另外一个称号雷同是的病毒进程，由于这个冒充的病毒进程并没有加载系统服务，它和真正的进程是不同的，只要在命令行窗口中运转一下“Tasklist /svc”，假设看到哪个进程前面揭示的服务消息是“暂缺”，而不是一个详细的服务名，那么它就是病毒进程了，记下这个病毒进程对应的PID数值(进程标识符)，即可在义务治理器的进程列表中找到它，完结进程后，在C盘搜查文件，也可以用第三方进程工具间接检查该进程的门路，反常的文件是位于%systemroot%\System32目录中的，而冒充的病毒或木马文件则会在其余目录，例如“”病毒冒充的就暗藏在Windows\System32\Wins目录中，将其删除，并彻底肃清病毒的其余数据即可。
2:一些初级病毒则采用相似系统服务启动的方式，经过真正的进程加载病毒程序，而是经过注册表数据来选择要装载的服务列表的，所以病毒理论会在注册表中采用以下方法启动加载： 参与一个新的服务组，在组里参与病毒服务名 在现有的服务组里间接参与病毒服务名 修正现有服务组里的现有服务属性，修正其“ServiceDll”键值指向病毒程序 判别方法:病毒程序要经过真正的进程加载，就必要求修正相关的注册表数据，可以关上[HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost]，观察有没有参与新的服务组，同时要留意服务组中的服务列表，观察有没有可疑的服务称号，理论来说，病毒不会在只要一个服务称号的组中参与，往往会选用LocalService和netsvcs这两个加载服务较多的组，以搅扰剖析，还有经过修正服务属性指向病毒程序的，经过注册表判别起来都比拟艰巨，这时可以应用前面引见的服务治理专家，区分关上LocalService和netsvcs分支，一一审核左边服务列表中的服务属性，尤其要留意服务形容消息所有为英文的，很或许是第三方装置的服务，同时要联合它的文件形容、版本、公司等相关消息，启动综合判别。
例如这个名为PortLess BackDoor的木马程序，在服务列表中可以看到它的服务形容为“Intranet Services”，而它的文件版本、公司、形容消息更所有为空，假设是微软的系统服务程序是相对无法能产生这种现象的。
从启动消息“C:\WINDOWS\System32\ -k netsvcs”中可以看出这是一款典型的应用进程加载运转的木马，知道了其原理，肃清方法也很便捷了：先用服务治理专家中止该服务的运转，而后运转关上“注册表编辑器”，删除[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IPRIP]主键，从新启动计算机，再删除%systemroot%\System32目录中的木马源程序“”，经过按期间排序，又发现了期间齐全相反的木马装置程序“”，一并删除即可。
是nt外围系统的十分关键的进程，关于2000、xp来说，无法或缺。
很多病毒、木马也会调用它。
所以，深化了解这个程序，是玩电脑的必经课之一。
大家对windows操作系统必定不生疏，但你能否留意到系统中“”这个文件呢？认真的好友会发现windows中存在多个 “svchost”进程（经过“ctrl+alt+del”键关上义务治理器，这里的“进程”标签中就可看到了），为什么会这样呢？上方就来揭开它奥秘的面纱。
发如今基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户经常使用“义务治理器”可检查其进程数目。
普通来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立刻判定系统有病毒了哟），而win2003 server中则更多。
这些svchost进程提供很多系统服务，如：rpcss服务（remote procedure call）、dmserver服务（logical disk manager）、dhcp服务（dhcp client）等。
假设要了解每个svchost进程究竟提供了多少系统服务，可以在win2000的命令揭示符窗口中输入“tlist -s”命令来检查，该命令是win2000 support tools提供的。
在winxp则经常使用“tasklist /svc”命令。
svchost中可以蕴含多个服务深化windows系统进程分为独立进程和共享进程两种，“”文件存在于“%systemroot% system32”目录下，它属于共享进程。
随着windows系统服务始终增多，为了节俭系统资源，微软把很多服务做成共享方式，交由 进程来启动。
但svchost进程只作为服务宿主，并不能成功任何服务配置，即它只能提供条件让其余服务在这里被启动，而它自己却不能给用户提供任何服务。
那这些服务是如何成功的呢？原来这些系统服务是以灵活链接库（dll）方式成功的，它们把可口头程序指向 svchost，由svchost调用相应服务的灵活链接库来启动服务。
那svchost又怎样知道某个系统服务该调用哪个灵活链接库呢？这是经过系统服务在注册表中设置的参数来成功。
上方就以rpcss（remote procedure call）服务为例，启动解说。
从启动参数中可见服务是靠svchost来启动的。
实例以windows xp为例，点击“开局”/“运转”，输入“”命令，弹出服务对话框，而后关上“remote procedure call”属性对话框，可以看到rpcss服务的可口头文件的门路为“c:\windows\system32\svchost -k rpcss”，这说明rpcss服务是依托svchost调用“rpcss”参数来成功的，而参数的内容则是寄存在系统注册表中的。
在运转对话框中输入“”后回车，关上注册表编辑器，找到[hkey_local_machine systemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另内在“parameters”子项中有个名为“servicedll”的键，其值为“% systemroot%”，其中“”就是rpcss服务要经常使用的灵活链接库文件。
这样 svchost进程经过读取“rpcss”服务注册表消息，就能启动该服务了。
解惑由于svchost进程启动各种服务，所以病毒、木马也想尽方法来应用它，希图应用它的个性来蛊惑用户，到达感化、入侵、破坏的目标（如冲击波变种病毒“”）。
但windows系统存在多个svchost进程是很反常的，在受感化的机器中究竟哪个是病毒进程呢？这里仅举一例来说明。
假定windows xp系统被“”感化了。
反常的svchost文件存在于“c:\windows\system32”目录下，假设发现该文件出如今其余目录下就要小心了。
“”病毒存在于“c:\windows\system32wins”目录中，因此经常使用进程治理器检查svchost进程的口头文件门路就很容易发现系统能否感化了病毒。
windows系统自带的义务治理器不能够检查进程的门路，可以经常使用第三方进程治理软件，如“windows提升巨匠”进程治理器，经过这些工具就可很容易地检查到一切的svchost进程的口头文件门路，一旦发现其口头门路为不平时的位置就应该马上启动检测和处置。
由于篇幅的相关，不能对svchost所有配置启动详细引见，这是一个windows中的一个不凡进程，有兴味的可参考有关技术资料进一步去了解它。
大家都要知道,是系统必无法少的一个进程,很多服务都会多多少少用到它, 然而我想大家也知道,由于它自身不凡性,拙劣的黑客们必需是不会放过的,前段期间的木马风云,大家应该是历历在目吧,而且如今还是有很多机器里都藏有此木马,由于它伪装和系统进程一样,所以很多人分不清,那个是进程,那个是木马....好的,还是让咱们详尽了解一下进程吧1.多个服务共享一个 进程利与弊 windows 系统服务分为独立进程和共享进程两种，在windows NT时只要主机治理器SCM（）有多个共享服务，随着系统内置服务的参与，在windows 2000中ms又把很多服务做成共享方式，由启动。
windows 2000普通有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个。
而在windows XP中，则普通有4个以上的服务进程，windows 2003 server中则更多，可以看出把更多的系统内置服务以共享进程方式由svchost启动是ms的一个趋向。
这样做在必定水平上缩小了系统资源的消耗，不过也带来必定的不稳固起因，由于任何一个共享进程的服务由于失误分开进程就会造成整个进程中的一切服务都分开。
另外就是有一点安保隐患，首先要引见一下的成功机制。
2. Svchost原理Svchost自身只是作为服务宿主，并不成功任何服务配置，要求Svchost启动的服务以灵活链接库方式成功，在装置这些服务时，把服务的可口头程序指向svchost，启动这些服务时由svchost调用相应服务的灵活链接库来启动服务。
那么svchost如何知道某一服务是由哪个灵活链接库担任呢？这不是由服务的可口头程序门路中的参数局部提供的，而是服务在注册表中的参数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll标明该服务由哪个灵活链接库担任。
并且一切这些服务灵活链接库都必要求导出一个ServiceMain()函数，用来处置服务义务。
例如rpcss（Remote Procedure Call）在注册表中的位置是 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs，它的参数子键Parameters里有这样一项：ServiceDll=REG_EXPAND_SZ:%SystemRoot%system32 当启动rpcss服务时，svchost就会调用，并且口头其ServiceMain()函数口头详细服务。
既然这些服务是经常使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢？ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务经常使用多个svchost进程，组的区别是由服务的可口头程序后边的参数选择的。
例如rpcss在注册表中 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs 有这样一项：ImagePath=REG_EXPAND_SZ:%SystemRoot%system32svchost -k rpcss因此rpcss就属于rpcss组，这在服务治理控制台也可以看到。
svchost的一切组和组内的一切服务都在注册表的如下位置： HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost，例如windows 2000共有4组rpcss、netsvcs、wugroup、BITSgroup，其中最多的就是netsvcs=REG_MULTI_..在启动一个担任的服务时，服务治理器假设遇到可口头程序内容ImagePath曾经存在于服务治理器的映象库中，就不在启动第2个进程svchost，而是间接启动服务。
这样就成功了多个服务共享一个svchost进程。
3. Svchost代码如今咱们基本分明svchost的原理了，然而要自己写一个DLL方式的服务，由svchost来启动，仅有上边的消息还有些疑问不是很分明。
比如咱们在导出的ServiceMain()函数中接纳的参数是ANSI还是Unicode？咱们能否要求调用RegisterServiceCtrlHandler和StartServiceCtrlDispatcher来注册服务控制及调度函数？这些疑问要经过检查svchost代码取得。
下边的代码是windows 2000+ service pack 4 的svchost反汇编片段，可以看出svchost程序还是很便捷的。
主函数首先调用ProcCommandLine()对命令前启动剖析，取得要启动的服务组，而后调用SvcHostOptions()查问该服务组的选项和服务组的一切服务，并经常使用一个数据结构 svcTable 来保留这些服务及其服务的DLL，而后调用PrepareSvcTable() 函数创立 SERVICE_TABLE_ENTRY 结构，把一切处置函数SERVICE_MAIN_FUNCTION 指向自己的一个函数FuncServiceMain()，最后调用API StartServiceCtrlDispatcher() 注册这些服务的调度函数。
; =============================== Main Funcion =======================================B8 public B8 start proc B8 push B9 push BA push offset sub_1001EBA ; BF xor edi, C1 call C7 push 1 ; C9 call CF call D5 push D6 call sub_DB mov eax, offset dword_E0 push offset unk_ ; E5 mov dword_C, EA mov dword_, EF call F5 call FB push eax ; FC call mov esi, test esi, jz short lab_ push call D call mov edi, eax ; SERVICE_TABLE_ENTRY test edi, jz short loc_ mov eax, [esi+10h]B test eax, D jz short loc_F push dword ptr [esi+14h] ; push eax ; call loc_: ; CODE XREF: start+ ; start+ push esi ; call E E lab_doservice: ; CODE XREF: start+E test edi, jz push edi ; call D jmp D start endp; =============================== Main Funcion end ===========================================由于svchost为该组的一切服务都注册了svchost中的一个处置函数，因此每次启动任何一个服务时，服务治理器SCM都会调用FuncServiceMain() 这个函数。
这个函数经常使用 svcTable 查问要启动的服务经常使用的DLL，调用DLL导出的ServiceMain()函数来启动服务，而后前往。
; ============================== FuncServiceMain() =========================================== FuncServiceMain proc near ; target=_blank>打算由来及结果 在很多人的印象中，每个运行程序普通只对应一个进程，如QQ对应进程、记事本对应进程等。
所以当看到系统有多个雷同名字的进程时，总是会将其联想为病毒或许木马程序在作祟。
假设不加考虑，横蛮的将其中的某些进程完结掉，会让系统的运转变得不稳固。
3.正确的处置方法 Windows 进程分为独立进程和共享进程两种，属于后者。
Windows XP为了浪费系统资源，将很多个系统服务做为共享方式由来启动。
Svchost自身只是作为服务宿主，并不能成功任何服务配置， svchost经过调用相应服务的灵活链接库（DLL）来启动该服务，而Windows将这些服务分为几个组，同组的服务共享一个Svchost进程，不同的组所指向的Svchost不同。
理论状况下，Windows XP有4个由Svchost启动的服务组，也就是说Windows XP系统普通有4个进程。
当然某些运行程序或服务也有或许会调用Svchost，所以当你看到系统中有多余4个的 进程，也不要自觉判别系统中了病毒。
实践上进程的个数跟能否中毒无间接相关。
小揭示：★ 笔者做了上方一个十分幽默的测试：关上义务治理器，切换到“进程”选项卡，首后手动完结掉由上到下的第三个进程，完结完后系统会马上从新建设该进程，接上去咱们手动完结掉由上到下的最后一个进程，系统会产生一个相似中了冲击波病毒的对话窗口，并倒计时关机，这是由于该进程疏导RPC服务，终止该进程则造成RPC服务终止，系统人造会从新启动了。
★Windows 2000中普通有两个进程，Windows Server 2003则十分多，普通有6个。
既然系统中进程数与能否中毒有关，咱们终究如何区别反常的和病毒伪造的Svchost进程呢？咱们可以经常使用上方两种方法来甄别：方法一：在系统所在分区启动搜查，假设发现多个文件，则系统很有或许中毒。
反常的位于%windir%\\ system32目录下，假设发现其它目录中有文件，你就要小心了。
例如冲击波的变种会在% windir%\\system32\\wins目录种下文件。
方法二：观察进程对应文件的门路。
Windows XP自带的义务治理器中无法观察，咱们要求借助第三方工具，例如Windows提升巨匠自带的进程治理工具，运转它后定
