svchost.exe进程详细分析（搜集）
我们先看看微软是怎样描述Svchost.exe的。在微软知识库314056中对Svchost.exe有如
下描述：Svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
其实Svchost.exe是Windows XP系统的一个核心进程。Svchost.exe不单单只出现在
Windows XP中，在使用NT内核的Windows系统中都会有Svchost.exe的存在。一般在Windows
2000中Svchost.exe进程的数目为2个，而在Windows XP中Svchost.exe进程的数目就上升到了
4个及4个以上。所以看到系统的进程列表中有几个Svchost.exe不用那么担心。
Svchost.exe到底是做什么用的呢？
首先我们要了解一点那就是Windows系统的中的进程分为：独立进程和共享进程这两种。
由于Windows系统中的服务越来越多，为了节约有限的系统资源微软把很多的系统服务做成了
共享模式。那Svchost.exe在这中间是担任怎样一个角色呢？
Svchost.exe的工作就是作为这些服务的宿主，即由Svchost.exe来启动这些服务。
Svchost.exe只是负责为这些服务提供启动的条件，其自身并不能实现任何服务的功能，也不
能为用户提供任何服务。Svchost.exe通过为这些系统服务调用动态链接库（DLL）的方式来
启动系统服务。
那Svchost.exe是病毒这种说法是任何产生的呢？
因为Svchost.exe可以作为服务的宿主来启动服务，所以病毒、木马的编写者也挖空心思
的要利用Svchost.exe的这个特性来迷惑用户达到入侵、破坏计算机的目的。
如何才能辨别哪些是正常的Svchost.exe进程，而哪些是病毒进程呢？
Svchost.exe的键值是在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
NT\CurrentVersion\Svchost”，如图1所示。图1中每个键值表示一个独立的Svchost.exe组
。
微软还为我们提供了一种察看系统正在运行在Svchost.exe列表中的服务的方法。以
Windows XP为例：在“运行”中输入：cmd，然后在命令行模式中输入：tasklist /svc。
例：
如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为：“tlist -s”即
可。如果你怀疑计算机有可能被病毒感染，Svchost.exe的服务出现异常的话通过搜索
Svchost.exe文件就可以发现异常情况。一般只会找到一个在：“C:\Windows\System32”目
录下的Svchost.exe程序。如果你在其他目录下发现Svchost.exe程序的话，那很可能就是中
毒了。
还有一种确认Svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是
由于在Windows系统自带的任务管理器不能察看进程路径，所以要使用第三方的进程察看工具
。
上面简单的介绍了Svchost.exe进程的相关情况。总而言之，Svchost.exe是一个系统的
核心进程，并不是病毒进程。但由于Svchost.exe进程的特殊性，所以病毒也会千方百计的入
侵Svchost.exe。通过察看Svchost.exe进程的执行路径可以确认是否中毒。
注：希望广大朋友不要进行非法用途，在这里解密木马捆绑是希望大家了解其原理。
如今网络上病毒肆虐，让电脑用户在应付病毒上花费了不少精力。当你使用杀毒软件查
杀病毒时，是否遇到查出了病毒，但是杀不掉的情况，原因何在?该如何处理呢?以下笔者对
此略作介绍。
◆系统还原文件
_restore文件夹是Windows Me/XP系统特有的系统还原文件夹，隐藏在该文件夹中的病毒
是不能直接清除的。当然这些病毒也不能直接发挥作用。要清除这些病毒，可以关闭Windows
系统的“系统还原”功能，清理系统还原点，或者直接删除_restore文件夹的内容。
◆疑似电脑病毒
有时杀毒软件会出现提示：unknown.com.tsr.virus。该提示中，unknown是“不明的”
意思，tsr是内存驻留的意思，本信息一般提示的是纯DOS环境下的可执行文件，表明杀毒软
件在该文件中发现了可疑代码，类似病毒，但是没有确定是什么病毒。
如果疑似病毒提示涉及Type-Win32代码，则表示可疑的32位代码的意思，是指Windows环
境下可疑的可执行代码。对于疑似病毒，可以直接删除该文件，或者将这些“疑似”的病毒
文件发送给反病毒软件公司，请求帮助。
◆exe 文件感染病毒
以.exe为扩展名称的文件是软件安装程序的部分文件，其中的病毒不能直接清除。只有
在软件完全安装成功后，方可清除。这有点类似于在COPY文件时发现了病毒的处理方法。
◆在DOS下清除病毒
对于在引导区发现的病毒，如POLYBOOT/WYX.b病毒，请使用干净的系统盘启动系统到DOS
，然后在DOS下杀毒即可清除。如果可感染引导区的病毒存在于文件中，可以直接删除该文件
。
◆系统初始文件中引用病毒
杀毒时出现如下提示：
-----------------------------------------------------------------------------------------------
QUOTE:
C：\Windows\brasil.pif worm.win32.opasoft.a病毒 已删除
C：\Windows\instit.bat worm.win32.opasoft.a病毒 已删除
C：\Windows\alevir.exe worm.win32.opasoft.a病毒 已删除
C：\Windows\marco.scr worm.win32.opasoft.a病毒 已删除
C：\Windows\SCRSVR.exe worm.win32.opasoft.a病毒 已删除
------------------------------------------------------------------------------------------------
杀毒后，重启动电脑时出现很多找不到文件的信息，而且再次杀毒时提示依旧，病毒还
是存在。这些顽固病毒的引用应该是在win.ini文件中，请单击“开始→运行”，键入
“sysedit”，按下回车键，编辑win.ini，删除对病毒的引用行。
◆病毒最新变种
杀毒软件查出的是其病毒库中不存在的新型病毒，请将杀毒软件的病毒库升级到最新，然后
再查杀。
--------------------
一款好的防火墙并不能发现所有病毒；一个好的杀毒软件并不能歼灭所有的带毒程序！
遇到这些情况我们该做何处理呢？很简单——手工杀毒。而要论到手工杀毒，就不能不提到
系统进程的妙用了。
进程、病毒？
书上说：“进程为应用程序的运行实例，是应用程序的一次动态执行。”看似高深，我
们可以简单地理解为：它是操作系统当前运行的执行程序。在系统当前运行的执行程序里包
括：系统管理计算机个体和完成各种操作所必需的程序；用户开启、执行的额外程序，当然
也包括用户不知道，而自动运行的非法程序（它们就有可能是病毒程序）。
危害较大的可执行病毒同样以“进程”形式出现在系统内部（一些病毒可能并不被进程
列表显示，如“宏病毒”），那么及时查看并准确杀掉非法进程对于“手工杀毒有起着关键
性的作用。
操作系统如何打开进程列表？
要通过进程列表查看系统是否染毒，必须打开当前的执行程序进程列表，Microsoft的每
种系统都有相应的打开方法，但能够显示的能力却因（系统）不同，有所差异：
1.Windows 98 /Me系统
打开系统进程的方式很简单，快捷键“Ctrl+Alt+Delete”（如图1），这个窗口大家应
该比较熟悉，使用Windows系统的用户都知道用这个方法来关闭程序，不过它同样用于显示系
统进程，只是Windows 98系统较初级，对进程的显示局限于名称，且里面所显示的还有打开
的文件及目录名，查看时易混淆。Windows Me的进程打开方式和Windows 98相同。
Windows 9x系统打开的进程列表混乱且不完全，显然不便于查看系统的具体进程状况，
所以建议使用一些工具程序来为Windows 9x系统显示进程，如“Windows优化大师”，在“优
化大师”的“系统安全优化”项内打开“进程管理”，在图2所示的“Windows 进程管理”窗
口内，可以详细查看当前计算机所运行的所有进程，及具体程序所在的位置，这样更方便完
成后面要介绍的如何利用进程进行查毒、杀毒。
2.Windows 2000/ XP/2003系统
Windows 2000、Windows XP、Windows 2003打开进程窗口的方式与Windows 9x系统相同
，只是三键后打开的是“Windows 任务管理器”窗口，需要选择里面的“进程”项。Windows
2000系统只显示具体进程的全名，占用的内存量；Windows XP、Windows 2003系统相比
Windows 2000会显示该进程归属于那个用户下，如操作系统所必须的基础程序，会在后面的
“用户名”内显示为“SYSTEM”，由用户另外开启的程序则用户名为当前的系统登录用户名
。
通过进程发现、处理病毒
在介绍具体的查毒和杀毒前，笔者先回答开篇提出的两个问题。为什么杀毒软件并不能
全面的查找和杀掉病毒？首先，病毒防火墙是通过对程序进行反汇编，然后与自己的病毒库
进行对比来查找病毒，如果病毒较新，而杀毒软件又未能及时升级便不能识别病毒。其次，
杀毒软件在发现病毒后，如果是独立的可执行病毒程序，会选择直接删除的处理方式，而病
毒如果被当作进程执行了，杀毒软件就无能为力了，因为它没有功能和权限先停止掉系统的
这些进程，被当作进程执行的程序是不能被删除的（这也是大家在删除一个程序时，提示该
程序正在被使用不能删除的原因）。所以在使用杀毒软件杀毒时，才会有杀毒完成后，又出
现病毒提示的原因。
回到原来话题上！通过进程如何发现和杀掉病毒呢？由前面的知识介绍可知，Windows
9X和Windows 2000系统只能显示进程的名称，这对判断该进程是否是病毒还不够，如果要准
确的断定病毒，最好使用前面介绍的“Windows优化大师”来查看进程程序的源路径，如果是
“C:\windows\system”下的一些未知的“EXE”那便极有病毒的可能性了。Windows XP和
Windows 2003系统，进程后会有“用户名”的显示，病毒是不可能获得“SYSTEM”权限的，
所以应注意“用户名”是当前登录用户的进程，一旦发现是病毒，可以立即“杀掉”。这里
介绍两个技巧：
1．发现可疑进程后，利用Windows的查找功能，查找该进程所在的具体路径，通过路径可以
知道该进程是否合法，譬如由路径“C:\Program Files\3721\assistse.exe”知道该程序是
3721的进程，是合法的。
2．在对进程是否病毒拿不定主意时，可以复制该进程的全名，如：“xxx.exe”到googl.com
或baidu.com这样的全球搜查引擎上进行搜查，如果是病毒会有相关的介绍网页。
确定了该进程是病毒，首先应该杀掉该进程，对于Windows 9x系统，选中该进程后，点
击下面的“结束任务”按钮，Windows 2000、Windows XP、Windows 2003系统则在进程上单
击右键在弹出菜单上选择“结束任务”。“杀掉”进程后找到该进程的路径删除掉即可，完
成后最好在进行一次杀毒，这样就万无一失了。
一次利用进程杀毒的具体过程是这样的：“通过进程名及路径判断是否病毒→杀掉进程→删除病毒程序”，为了让读者更好的判断进程，在这里补充一些Windows的进程资料给大家：
QUOTE:
进程名 描述
smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。
svchost.exe Windows 2000/XP 的文件保护系统
SPOOLSV.EXE 将文件加载到内存中以便迟后打印。
explorer.exe 资源管理器
internat.exe 托盘区的拼音图标
mstask.exe 允许程序在指定时间运行。
regsvc.exe 允许远程注册表操作。(系统服务)→remoteregister
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。
llssrv.exe 证书记录服务
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。
RsSub.exe 控制用来远程储存数据的媒体。
locator.exe 管理 RPC 名称服务数据库。
clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。
问：我的系统进程里有四个svchost.exe，听说有些木马就是伪装成系统的进程，不知道这个
是不是？
答：svchost.exe 存在 %windir%\system32\wins 下。
如果怀疑svchost.exe是病毒可以通过以下方法来证实是不是病毒：
1.可以去 wins 目录找找有无多余，
2.可以搜搜windows文件夹中 svchost.exe 看看有几个（应为1个），
3.tlist -s察看，
4.也可以下载一个可以看带路径名的进程的浏览工具。
问：svchost.exe是起什么作用的进程?
答：Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。
Svhost.exe文件定位在系统的%systemroot%\system32文件夹下。在启动的时候，
Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依*Svchost.exe怎样和在那里启动。这样就更加容易控制和查找错误。
Svchost.exe 组是用下面的注册表值来识别。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost每个在这个键下的值代表一个独立的Svchost组，并且当你正在看活动的进程时，它显示作为一个单独的例子。每个键值都是REG_MULTI_SZ类型的值而且包括运行在Svchost组内的服务。每个Svchost组都包含一个或多个从注册表值中选取的服务名，这个服务的参数值包含了一个ServiceDLL值。HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Servicemsdtc.exe ---并列事务，是分布于两个以上的数据库，消息队列，文件系统或其他事务保护资源管理器。
grovel.exe ---扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间（只对 NTFS 文件系统有用）。
snmp.exe ---包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
以上这些进程都是对计算机运行起至关重要的，千万不要随意“杀掉”，否则可能直接影响系统的正常运行。
TAG: 网络安全
-
引用 删除 jfioe / 2007-05-09 10:50:05
-
接下下楼：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\PortLess\FdsnqbTsuni`: "tjnkbu" HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\PortLess\Wfttphuc: "tofiXdo" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\Security\Security: 01 00 14 80 A0 00 00 00 AC 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 70 00 04 00 00 00 00 00 18 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 63 00 6F 00 00 00 1C 00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 6D 00 00 00 00 00 18 00 8D 01 02 00 01 01 00 00 00 00 00 05 0B 00 00 00 20 02 00 00 00 00 1C 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 6D 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\Parameters\ServiceDll: "C:\WINNT\system32\Svchostdll.dll" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\Parameters\program: "SvchostDLL.exe" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\Parameters\Interactive: 0x00000000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\Type: 0x00000020 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\Start: 0x00000002 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\ErrorControl: 0x00000001 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\ImagePath: "%SystemRoot%\System32\Svchost.exe -k netsvcs" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\DisplayName: "Intranet Services" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IPRIP\ObjectName: "LocalSystem" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\Security\Security: 01 00 14 80 A0 00 00 00 AC 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 70 00 04 00 00 00 00 00 18 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 63 00 6F 00 00 00 1C 00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 6D 00 00 00 00 00 18 00 8D 01 02 00 01 01 00 00 00 00 00 05 0B 00 00 00 20 02 00 00 00 00 1C 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 6D 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00 HKEY_LOCAL_MACHINE\SYSTEM
\CurrentControlSet\Services\IPRIP\Parameters\Service
Dll: "C:\WINNT\system32\Svchostdll.dll" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPRIP\Parameters\program: "SvchostDLL.exe" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\Parameters\Interactive: 0x00000000 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\Type: 0x00000020 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\Start: 0x00000002 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\ErrorControl: 0x00000001 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\ImagePath: "%SystemRoot%\System32\Svchost.exe -k netsvcs" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\DisplayName: "Intranet Services" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\IPRIP\ObjectName: "LocalSystem" 可以看出，PortLess BackDoor V1.2将自己注册为了服务IPRIP，它使用的启动参数是"%SystemRoot%\System32\Svchost.exe -k netsvcs"，它使用的DLL文件是"C:\WINNT\system32\Svchostdll.dll"。通过这里，我们就可以找到PortLess，将它使用的服务禁止掉，然后将对应的DLL文件删除，并将注册表中这些多出来的键值干掉，三下五除二就将Portless弄得一干二净！现在大家知道怎么清理掉用Svchost加载的后门了吧
-
-
http://www.dos163.com/Html/exee/19360820947.html
早上公司同事出现svchost.exe进程老是占用100％导致的死机，搜寻了些资料，顺便记录一下。
原因是windows的自动更新问题，上面已有解决办法。
-
- 为了确定我们的计算机中正在运行的Svchost.exe是不是真正的系统的Svchost.exe，我们可以使用如下方法来查看。Svchost.exe文件的调用路径可以通过“计算机管理→系统工具→系统信息→软件环境→正在运行任务”来查看。 这里仅举一例来说明。假设Windows XP系统被“w32.welchia.worm”感染了。正常的Svchost文件存在于“c:\Windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\Windows\system32wins”目录中，通过使用上面说的方法就可很容易地查看到所有的Svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。 现在我们已经搞清楚了一部分疑问，但是，我们还不知道哪个服务调用了哪个动态链接库文件，是不是没有办法呢？如果没有地方可以找到，那么Windows自己又是如何知道调用哪一个呢？大家知道，Windows将所有的系统信息和应用程序信息都保存在了系统注册表中，所以，我们可以在注册表中找找看。 下面以Remote Procedure Call（RPC）服务为例，来看看Svchost进程是如何调用DLL文件的。在Windiws中，打开服务，然后打开“Remote Procedure Call（RPC）”属性对话框，可以看到Remote Procedure Call（RPC）服务的可执行文件的路径为“C:\WINNT\system32\Svchost -k rpcss”，这说明Remote Procedure Call（RPC）服务是依靠Svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。 在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到“HKEY_LOCAL_MACHINE\System\currentcontrolset\services\ rpcss”项。然后，再在里面找到类型为“reg_expand_sz”的“Imagepath”项，其键值为“%SystemRoot%\system32\Svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“ServiceDll”的键，其值为“%SystemRoot%\system32\rpcss.dll”，其中“rpcss.dll”就是Remote Procedure Call（RPC）服务要使用的动态链接库文件。这样Svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。 同样情况下，如果有程序试图蛮天过海，假借Svchost.exe来启动自己的动态链接库文件（如将木马作成动态链接库文件），那么我们就可以从这里找到DLL木马的路径，将它大白于天下。 如果要了解每个Svchost进程到底提供了多少系统服务，可以在Windows 2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是Windows 2000 support tools提供的。不过，在这里看到的效果跟服务里面看到的是一样的，只不过是DOS界面而已。 小知识：在Windows xp下则使用“tasklist /svc”命令会收到同样的效果。 由于篇幅的关系，不能对Svchost全部功能进行详细介绍，这是一个Windows中的一个特殊进程，有兴趣的可参考有关技术资料进一步去了解它。 下面，我们通过一个实例来看一下木马程序是如何利用Svchost.exe进行启动的。这里，我选择了PortLess BackDoor V1.2来做演示，这是一个使用Svchost.exe去启动，平时不开端口,可以进行反连接的后门程序(和小榕的BITS是同一类型的后门)。 为了看一下这个后门是如何利用Svchost.exe进行启动的，我们在运行软件之前，先给注册表做一个快照，这里我选择了Regshot 1.61e5 final版本，并将初始快照命名为1.hiv。然后我们将Portlessinst.exe和Svchostdll.dll(不要改名)上传到系统目录(%winnt%\system32目录中)。 接下来，进入命令行，使用“Portlessinst.exe -install ActiveString Password”进行安装，这里的ActiveString就是连接那系统打开的端口后输入的验证字符串，这里的密码是使用正向连接你连接上后门打开的端口时需要输入的密码。比如，我输入如下： portlessinst.exe –install smiler wind_003 这样就安装上去了，我们来看一下注册表里的变化。将1.hiv装载进Regshot中的1st shot，然后对当前的注册表做2st shot的快照，然后使用compare进行比较，其比较的结果如下：
-
-
1.利用假冒Svchost.exe名称的病毒程序 这种方式运行的病毒并没有直接利用真正的Svchost.exe进程，而是启动了另外一个名称同样是Svchost.exe的病毒进程，由于这个假冒的病毒进程并没有加载系统服务，它和真正的Svchost.exe进程是不同的，只需在命令行窗口中运行一下“Tasklist /svc”，如果看到哪个Svchost.exe进程后面提示的服务信息是“暂缺”，而不是一个具体的服务名，那么它就是病毒进程了，记下这个病毒进程对应的PID数值(进程标识符)，即可在任务管理器的进程列表中找到它，结束进程后，在C盘搜索Svchost.exe文件，也可以用第三方进程工具直接查看该进程的路径，正常的Svchost.exe文件是位于%systemroot%\System32目录中的，而假冒的Svchost.exe病毒或木马文件则会在其他目录，例如“w32.welchina.worm”病毒假冒的Svchost.exe就隐藏在Windows\System32\Wins目录中，将其删除，并彻底清除病毒的其他数据即可。 2:一些高级病毒则采用类似系统服务启动的方式，通过真正的Svchost.exe进程加载病毒程序，而Svchost.exe是通过注册表数据来决定要装载的服务列表的，所以病毒通常会在注册表中采用以下方法进行加载： 添加一个新的服务组，在组里添加病毒服务名在现有的服务组里直接添加病毒服务名 修改现有服务组里的现有服务属性，修改其“ServiceDll”键值指向病毒程序判断方法:病毒程序要通过真正的Svchost.exe进程加载，就必须要修改相关的注册表数据，可以打开[HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\
CurrentVersion\Svchost]，观察有没有增加新的服务组，同时要留意服务组中的服务列表，观察有没有可疑的服务名称，通常来说，病毒不会在只有一个服务名称的组中添加，往往会选择LocalService和netsvcs这两个加载服务较多的组，以干扰分析，还有通过修改服务属性指向病毒程序的，通过注册表判断起来都比较困难，这时可以利用前面介绍的服务管理专家，分别打开LocalService和netsvcs分支，逐个检查右边服务列表中的服务属性，尤其要注意服务描述信息全部为英文的，很可能是第三方安装的服务，同时要结合它的文件描述、版本、公司等相关信息，进行综合判断。例如这个名为PortLess BackDoor的木马程序，在服务列表中可以看到它的服务描述为“Intranet Services”，而它的文件版本、公司、描述信息更全部为空，如果是微软的系统服务程序是绝对不可能出现这种现象的。从启动信息“C:\WINDOWS\System32\svchost.exe -k netsvcs”中可以看出这是一款典型的利用Svchost.exe进程加载运行的木马，知道了其原理，清除方法也很简单了：先用服务管理专家停止该服务的运行，然后运行regedit.exe打开“注册表编辑器”，删除[HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\IPRIP]主键，重新启动计算机，再删除%systemroot%\System32目录中的木马源程序“svchostdll.dll”，通过按时间排序，又发现了时间完全相同的木马安装程序“PortlessInst.exe”，一并删除即可。
打开任务管理器，切换到“进程”选项卡，首先手动结束掉由上到下的第三个Svchost.exe进程，结束完后系统会马上重新建立该进程，接下来我们手动结束掉由上到下的最后一个Svchost.exe进程，系统会出现一个类似中了冲击波病毒的对话窗口，并倒计时关机，这是由于该Svchost.exe进程引导RPC服务，终止该进程则导致RPC服务中断，系统自然会重新启动了。
-
-
過年回到家後發現，家裡的 PC 和老媽的 Notebook ，莫名其妙的都會被 svchost.exe 佔用掉所有的 CPU 資源（難怪老媽一直跟我抱怨新買的 Notebook 總是跑的很慢 XD）。一看到這個情況，腦中馬上浮現「不會是中毒了吧」的念頭，於是在 CPU 使用率總是停在100%的狀態下，花了半天的時間才把兩台電腦做掃毒、掃木馬以及Windows Update。結果當然，事情不是憨人想的那麼簡單，好幾個小時換來的代價就是，連個子兒都沒掃到，神秘的svchost.exe仍舊霸道地侵佔我的CPU。無可耐何之下只好求助Google大神，試了好多種解法都禺用，不過總算是皇天不負苦心人，最後還是讓我找到了解決的方法。
svchost.exe 吃掉所有 CPU 資源的原因很多，不過我的狀況都是在執行 Windwos Update 時發生的（或是自動更新服務 Automatic Updates 執行時）。因此解決方法主要就是把 Windows 的自動更新重設一次，步驟如下：
一、首先檢查系統服務的狀態。
1. 點「開始」–>「執行」，輸入「services.msc」後按「確定」。
2. 在服務「Automatic Updates」上點二下。
3. 點選「登入」頁籤，確定登入身分為「本機系統帳戶」且「允許服務與桌面互動」“沒有”被選取。
4. 確認服務已在目前的「硬體設定檔」中被啟用，如果沒有，按下「啟用」按鈕。
5. 點選「一般」頁籤，確定「啟動類型」為「自動」，然後按下「啟動」按鈕以啟動服務。
6. 對「Background Intelligent Transfer Service (BITS) 」服務重覆 2 ~ 5 的步驟。
二、接著重新註冊 Windwos Update 的元件。
1. 點選「開始」–>「執行」。
2. 輸入「REGSVR32 WUAPI.DLL」後按 Enter。
3. 當看到 “DllRegisterServer 在 WUAPI.DLL 成功” 的訊息後按下「確定」。
4. 重覆上述步驟重新註冊下列元件
REGSVR32 WUAUENG.DLL
REGSVR32 WUAUENG1.DLL
REGSVR32 ATL.DLL
REGSVR32 WUCLTUI.DLL
REGSVR32 WUPS.DLL
REGSVR32 WUPS2.DLL
REGSVR32 WUWEB.DLL
三、最後清除可能已損壞了的 Windows Update 暫存目錄。
1. 點「開始」–>「執行」，輸入「cmd」後按「確定」。
2. 在命令提示字元中鍵入以下指令。（若出現錯誤訊息請先重開機後再報執行一次）
net stop WuAuServ
2. 點「開始」–>「執行」，輸入「%windir%」後按「確定」。
3. 找到「SoftwareDistribution」並更名為「SDold」。
4. 點「開始」–>「執行」，輸入「cmd」後按「確定」，並在在命令提示字元中鍵入以下指令。
net start WuAuServ
四、大功告成！
-
-
现象：
机器启动运行几分钟后 svchost.exe就会占系统cpu资源的100%
拔掉网线就好了，重连上网后一会儿：svchost.exe又占cpu资源的99%；
解决：
假设你已经使用了免费杀毒软件排除了病毒和已经使用防间谍软件排除了恶意软件的影响：
想办法清空C:\WINDOWS\SoftwareDistribution 目录下所有的文件重启机器即可。
如果机器提示文件正在使用（"Automatic Updates"服务正在运行）无法删除相应目录：
则想办法打开控制面板==>管理工具==>服务，找到"Automatic Updates"，设置成手动启动，
重启后再删除 C:\WINDOWS\SoftwareDistribution。问题就解决了。
然后再打开控制面板==>管理工具==>服务，找到"Automatic Updates"，恢复成自动启动重启。
注意：重启后最好在上网条件比较好的地方让系统顺利完成一次系统自动更新。
推广： 遇到类似问题的应该挺多的，如果你也发现这个方法有用，请将 http://www.chedong.com/blog/archives/001286.html
这个链接加到你的blog里。
html代码： <a xhref="http://www.chedong.com/blog/archives/001286.html">svchost.exe</a>
原因分析：
先说说什么是svchost.exe：简单的说没有这个服务机器几乎就上不了网了。很多应用服务都是以来于这个接口RPC的，如果发现这个进程占了太多的CPU资源，
直接把系统的RPC服务禁用了会是一场灾难：因为连恢复这个界面的系统服务设置界面都无法使用了。恢复的方法需要使用注册表编辑器，找到 HKEY_LOCAL_MACHINE >> SYSTEM >> CurrentControlSet >> Services >> RpcSs, 右侧找到Start属性，把它的值改为2再重启即可
造成svchost占系统CPU 100%的原因并非svchost服务本身：以上的情况是由于Windows Update服务下载/安装失败而导致更新服务反复重试造成的。而Windows的自动更新也是依赖于svchost服务的一个后台应用，从而表现为svchost.exe负载极高。 常发生这类问题的机器一般是上网条件（尤其是去国外网站）不稳定的机器，比如家里的父母的机器，往往在安装机器几个月以后不定期发生，每个月的第二个星期是高发期：因为最近几年MS很有规律的在每个月的第二个星期发布补丁程序）。
上面的解决方法并不能保证不重发作，但是为了svchost文件而每隔几个月重装一次操作系统还是太浪费时间了。
教训：spoolsv.exe和svchost.exe的问题都是应用遇到失败/例外情况后自动重试造成的，本想为用户节省时间的设计，但是重试的频度过高反而导致了和病毒一样的效果。
标题搜索
日历
|
|||||||||
| 日 | 一 | 二 | 三 | 四 | 五 | 六 | |||
| 1 | 2 | 3 | 4 | 5 | 6 | ||||
| 7 | 8 | 9 | 10 | 11 | 12 | 13 | |||
| 14 | 15 | 16 | 17 | 18 | 19 | 20 | |||
| 21 | 22 | 23 | 24 | 25 | 26 | 27 | |||
| 28 | 29 | 30 | |||||||
我的存档
数据统计
- 访问量: 41256
- 日志数: 65
- 图片数: 1
- 文件数: 2
- 书签数: 13
- 建立时间: 2006-12-27
- 更新时间: 2008-05-31
