[转帖]深度解析Windows最令人迷惑的两大进程

在这将着重介绍一下windows系统的svchost.exe和explorer.exe两种进程，作为windows系统中两种重要的进程，下面我们就来看看他们的特点以及在各个操作系统中的应用。

explorer.exe
　　在windows系列的操作系统中，运行时都会启动一个名为explorer.exe的进程。这个进程主要负责显示系统桌面上的图标以及任务栏，它在不同的系统中有不同的妙用。

　　explorer在windows 9x中的应用

　　在windows 9x中，这个进程是运行系统时所必需的。如果用“结束任务”的方法来结束explorer.exe进程，系统就会刷新桌面，并更新注册表。所以，我们也可以利用此方法来快速更新注册表。方法如下：

　　按下ctrl+alt+del组合键，出现“结束任务”对话框。在该对话框中选择“explorer”选项，然后单击“结束任务”按钮，将出现“关闭windows”对话框。单击“否”按钮，系统过一会儿将出现另一个对话框，告诉你该程序没有响应，询问是否结束任务。单击“结束任务”按钮，则更新注册表并返回windows 9x系统环境中。这比起烦琐的重新启动过程要方便多了?

　　explorer在windows 2000/xp中的应用

　　在windows 2000/xp和其他windows nt内核的系统中，explorer.exe进程并不是系统运行时所必需的，所以可以用任务管理器来结束它，并不影响系统的正常工作。打开你需要运行的程序，如记事本。然后右击任务栏，选择“任务管理器”，选中“进程”选项卡，在窗口中选择explorer.exe进程，单击“结束进程”按钮，，接下来桌面上除了壁纸(活动桌面active desktop的壁纸除外)，所有图标和任务栏都消失了。此时你仍可以像平常一样操作一切软件。

　　如果你想运行其他软件，但此时桌面上空无一物，怎么办?别着急，下面有两种可以巧妙地打开其他软件：

　　第一种方法：按下ctrl+alt+del组合键，出现“windows安全”对话框，单击“任务管理器”按钮(或是直接按下ctrl+shift+esc组合键)，在任务管理器窗口中选中“应用程序”选项卡，单击“新任务”，在弹出的“创建新任务”的对话框中，输入你想要打开的软件的路径和名称即可。

　　你还可以在正在运行的软件上，选择“文件→打开”，在“打开”对话框中，点击“文件类型”下拉列表，选择“所有文件”，再浏览到你想打开的软件，右击它，在快捷菜单中选择“打开”命令，就可以启动你需要的软件了。注意，此时不能够通过单击“打开”按钮来打开软件，此种方法适用于大多数软件，office系列除外。

　　通过结束explorer.exe进程，还可以减少4520kb左右的系统已使用内存，无疑会加快系统的运行速度，为资源紧张的用户腾出了宝贵的空间。

svchost.exe

　　svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。很多病毒、木马也会调用它。所以，深入了解这个程序，是玩电脑的必修课之一。

　　大家对windows操作系统一定不陌生，但你是否注意到系统中“svchost.exe”这个文件呢?细心的朋友会发现windows中存在多个 “svchost”进程(通过“ctrl+alt+del”键打开任务管理器，这里的“进程”标签中就可看到了)，为什么会这样呢?下面就来揭开它神秘的面纱。

　在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win 2000有两个svchost进程，win xp中则有四个或四个以上的svchost进程(以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟)，而win 2003 server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务(remote procedure call)、dmserver服务(logical disk manager)、dhcp服务(dhcp client)等。

　　如果要了解每个svchost进程到底提供了多少系统服务，可以在win 2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win 2000 support tools提供的。在win xp则使用“tasklist /svc”命令。

　　svchost中可以包含多个服务

　　windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot% system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。

　　但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢?

　　原来这些系统服务是以动态链接库(dll)形式实现的，它们把可执行程序指向 svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢?这是通过系统服务在注册表中设置的参数来实现。

　　从启动参数中可见服务是靠svchost来启动的。

　　因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢?这里仅举一例来说明。

　　假设windows xp系统被病毒感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。病毒存在于“c:\windows\system32\wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。

　　windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。

哦，原来简单的两个进程还有此等旋机啵

看来您对这方面还是有不少兴趣的嘛~ 谢谢来顶我一个.,~