Svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。 Svchost.exe 文件位于 %SystemRoot%\\System32 文件夹中。启动时，Svchost.exe 将检查注册表的服务部分，以构建需要加载的服务的列表。Svchost.exe 的多个实例可同时运行。每个 Svchost.exe 会话可以包含一组服务，以便可以根据 Svchost.exe 的启动方式和位置的不同运行不同的服务。这样可以更好地进行控制，且更加便于调试。 Svchost.exe 组由以下注册表项标识： HKEY_LOCAL_MACHINE\\Software\\Microsoft\\WindowsNT\\CurrentVersion\\Svchost此注册表项下的每个值都代表单独的 Svchost 组，并在您查看活动进程时作为单独的实例显示。每个值均为 REG_MULTI_SZ 值，并且包含在该 Svchost 组下面运行的服务。每个 Svchost 组都可以包含一个或多个从以下注册表项提取的服务名称，该注册表项的参数项包含一个 ServiceDLL 值： HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Services\\服务要查看在 Svchost 中运行的服务的列表，请执行以下操作： 单击 Windows 任务栏上的开始，然后单击运行。在打开框中，键入 CMD，然后按 ENTER 键。键入 Tasklist /SVC，然后按 ENTER 键。Tasklist 命令显示活动进程的列表。/SVC 命令开关显示每个进程中活动服务的列表。有关进程的详细信息，请键入以下命令，然后按 ENTER 键： Tasklist /FI "PID eq 进程 ID"（带引号） 以下的 Tasklist 命令输出示例显示正在运行的 Svchost.exe 的两个实例。 Image Name
PID Services======================================================================== System Process
0 N/ASystem
8 N/ASmss.exe
132 N/ACsrss.exe
160 N/AWinlogon.exe
180 N/AServices.exe
208 AppMgmt,Browser,Dhcp,Dmserver,Dnscache,Eventlog,LanmanServer,LanmanWorkstation,LmHosts,Messenger,PlugPlay,ProtectedStorage,Seclogon,TrkWks,W32Time,WmiLsass.exe
220Netlogon,PolicyAgent,SamSs Svchost.exe
404RpcSs Spoolsv.exe
452Spooler Cisvc.exe
544Cisvc Svchost.exe
556EventSystem,Netman,NtmsSvc,RasMan,SENS,TapiSrv Regsvc.exe
580RemoteRegistry Mstask.exe
596Schedule Snmp.exe
660SNMP Winmgmt.exe
728WinMgmt Explorer.exe
812N/ACmd.exe
1300N/ATasklist.exe
1144N/A
此示例的两种组合的注册表设置如下所示： HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Svchost:Netsvcs:Reg_Multi_SZ:EventSystem Ias Iprip Irmon Netman Nwsapagent Rasauto Rasman Remoteaccess SENS Sharedaccess Tapisrv NtmssvcRApcss :Reg_Multi_SZ:RpcSs
|
