搜索

[18895] 2020-08-14_应急响应手册-Windows系统进程介绍

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-18
2020-08-14_应急响应手册-Windows系统进程介绍 应 急 响 应 手 册 - W i n d o w s 系 统 进 程 介 绍 原 创   花 十 一 一   h u a s e c   2 0 2 0 - 0 8 - 1 4 收 录 于 话 题   # 应 急 响 应   , 2 6 个 “ 本 篇 介 绍   W i n d o w s 系 统 上 常 见 进 程 ” 应 急 响 应 手 册 - 概 念 介 绍 （ 一 ） 应 急 响 应 手 册 - 概 念 介 绍 （ 二 ） 应 急 响 应 手 册 - 概 念 介 绍 （ 三 ） 0 1 — s m s s . e x e s m s s . e x e ( 会 话 管 理 器 ) 是 W i n d o w s 系 统 中 第 一 个 创 建 的 用 户 模 式 进 程 ， 随 着 系 统 一 起 启 动 。 位 于 C : W i n d o w s S y s t e m 3 2 s m s s . e x e 。 在 W i n d o w s 启 动 的 过 程 中 ， s m s s . e x e 作 用 过 程 分 为 7 个 步 骤 ： ( 1 ) 创 建 L P C   p o r t 对 象 ， 为 M S D O S 定 义 符 号 连 接 ， 例 如 C O M 1 、 L P T 1 ， 假 如 安 装 有 T e r m i n a l   S e r v i c e s ， 则 创 建 S e s s i o n s 目 录 。 ( 2 ) 运 行 注 册 表 中 的 H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n M a n a g e r B o o t E x e c u t e 定 义 的 程 序 ， 一 般 默 认 的 是 运 行 A u t o c h k ( 3 )   执 行 H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n M a n a g e r P e n d i n g F i l e R e n a m e O p e r a t i o n s 表 键 中 的 延 迟 ， 删 除 ， 改 名 操 作 ( 4 )   加 载 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n M a n a g e r K n o w n D L L s 初 始 化 p a g i n g   f i l e s 和 注 册 表 ( 5 )   创 建 系 统 环 境 变 量 ， 这 些 定 义 在 H K L M S y s t e m C u r r e n t C o n t r o l S e t S e s s i o n   M a n a g e r E n v i r o n m e n t ( 6 )   加 载 和 初 始 化 W i n 3 2 子 系 统 的 内 核 模 块 W i n 3 2 k . s y s ( 7 )   创 建 W i n 3 2 子 系 统 服 务 器 进 程 ， 包 括 c s r s s . e x e ， 创 建 W i n l o g o n . e x e 进 程   0 2 — s v c h o s t . e x e s v c h o s t . e x e 是 W i n d o w s 系 统 上 不 可 缺 少 的 进 程 ， 是 动 态 链 接 库 （ D L L ） 执 行 程 序 名 称 ， 在 w i n d o w s 下 一 般 会 有 4 个 以 上 的 s v c h o s t . e x e 进 程 ， 负 责 提 供 更 多 的 系 统 服 务 。 正 常 路 径 是 在 C : W i n d o w s S y s t e m 3 2 下 。 在 启 动 的 时 候 s v c h o s t . e x e 检 查 注 册 表 中 的 位 置 来 构 建 需 要 加 载 的 服 务 列 表 ， 这 就 会 使 多 个 s v c h o s t . e x e 在 同 一 时 间 运 行 。 H K L M S o f t w a r e M c r o s o f t W i n d o w s N t C u r r e n t V e r s i o n S v c h o s t 每 个 键 下 的 值 都 代 表 一 个 s v c h o s t . e x e 组 。   0 3 —
E x p l o r e r . e x e E x p l o r e r . e x e 是 w i n d o w s 系 统 资 源 管 理 器 进 程 ， 用 于 管 理 操 作 系 统 的 图 形 界 面 ， 包 括 开 始 菜 单 、 桌 面 下 访 的 任 务 栏 、 桌 面 图 标 和 文 件 管 理 ， 随 系 统 一 起 启 动 ， 路 径 为 C : W i n d o w s e x p l o r e r . e x e   结 束 该 进 程 后 ， W i n d o w s 桌 面 全 部 消 失 ， 此 时 可 以 通 过 输 入 c t r l + a l t + d e l 打 开 任 务 管 理 器 ， 新 建 任 务 e x p l o r e r 来 恢 复 桌 面 环 境 。                                                       作 为 显 示 图 形 界 面 的 e x p l o r e r . e x e 进 程 ， 在 w i n d o w s 系 统 里 只 会 存 在 一 个 ， 任 务 管 理 其 中 如 果 出 现 两 个 就 需 要 注 意 了 。 0 5 — I e x p l o r e r . e x e I e x p l o r e r . e x e 是 I E 浏 览 器 的 进 程 ， 路 径 为 C : P r o g r a m F i l e s I n t e r n e t E x p l o r e r   0 6 — T a s k m g r . e x e T a s k m g r . e x e 进 程 通 常 被 称 为 “ W i n d o w s 任 务 管 理 器 ” 。 这 个 进 程 并 非 一 直 存 在 ， 只 有 当 我 们 启 动 任 务 任 务 管 理 器 的 时 候 才 会 看 到 t a s k m g r . e x e 进 程 。 位 置 在 C : W i n d o w s S y s t e m 3 2 。   0 7 —
C s r s s . e x e   C s r s s . e x e 是 W i n d o w s 系 统 的 核 心 进 程 ， 用 途 是 控 制 图 形 字 系 统 、 负 责 管 理 线 程 （ 创 建 或 删 除 ） ， 并 执 行 1 6 为 的 D O S 环 境 即 c m d . e x e 的 图 形 窗 口 等 。 （ 在 W i n 7 之 后 新 增 C o n h o s t . e x e 替 代 ） 。 路 径 为 C : W i n d o w s S y s t e m 3 2 c s r s s . e x e 。 相 关 的 恶 意 进 程 可 能 会 修 改 c s r s s . e x e 或 者 通 过 相 似 的 进 程 名 字 迷 惑 用 户 ， 有 ： c s r s c . e x e   c s r s . e x e   c s r s s e s . e x e   c s r s s c . e x e c s r s e . e x e ，   0 8 — L s a s s . e x e L s a   s h e l l   本 地 安 全 认 证 服 务 ， 其 作 用 是 处 理 密 码 变 更 以 及 验 证 尝 试 登 录 到 计 算 机 的 用 户 ， 如 果 登 录 成 功 他 会 创 建 该 用 户 的 访 问 令 牌 ， 并 用 它 来 启 动 外 壳 程 序 e x p l o r e r . e x e 。 路 径 为 C : W i n d o w s S y s t e m 3 2 。   0 9 — W i n l o g o n . e x e W i n l o g o n . e x e 负 责 执 行 与 W i n d o w s 登 录 过 程 中 的 相 关 任 务 ， 例 如 登 录 时 候 w i n l o g o n . e x e 进 程 负 责 将 用 户 的 配 置 文 件 到 注 册 表 中 ， 允 许 程 序 使 用 H L C U 下 的 键 。 该 进 程 还 会 监 听 用 户 是 否 按 下 c t r l + a l t + d e l ， 以 确 保 在 安 全 桌 面 上 登 录 ， 其 他 程 序 无 法 监 听 到 用 户 数 输 入 的 密 码 。 当 启 动 P C 的 时 候 ， 如 果 W i n d o w s 无 法 启 动 w i n l o g o n . e x e 、 c s r s s . e x e 等 其 他 关 键 进 程 ， 那 么 w i n d o w s 将 蓝 屏 。 路 径 为 C : W i n d o w s S y s t e m 3 2 。   1 0 — D w m . e x e D w m 是 D e s k t o p   W i n d o w M a n a g e   的 缩 写 。 其 描 述 为 桌 面 窗 口 管 理 器 ， 在 默 认 情 况 下 ， d w m . e x e 会 随 着 系 统 自 启 动 并 一 直 运 行 ， 此 进 程 主 要 功 能 可 以 使 w i n d o w s 操 作 系 统 上 显 示 的 各 种 窗 口 图 形 效 果 更 美 观 。 可 以 结 束 该 进 程 。   1 1 — C o n h o s t . e x e C o n h o s t . e x e 在 系 统 中 被 称 为 “ 控 制 台 窗 口 主 机 ” ， 其 主 要 功 能 是 为 命 令 行 程 序 （ c m d . e x e ） 提 供 类 似 于 c s r s s . e x e 进 程 的 图 形 子 系 统 等 功 能 支 持 。 路 径 为 C : W i n d o w s S y s t e m 3 2
1 2 — C t f m o n . e x e C t f m o n . e x e 进 程 使 微 软 定 义 的 属 于 M i c r s o f t   o f f i c e 套 件 的 进 程 。 作 用 是 为 负 责 控 制 可 选 用 户 输 入 方 法 技 术 提 供 文 本 输 入 服 务 支 持 （ 包 括 语 音 识 别 、 手 写 识 别 、 键 盘 、 翻 译 等 ） ， 最 显 著 表 现 就 是 启 动 语 言 栏 组 件 。 路 径 位 于 C : W i n d o w s S y s t e m 3 2 。 在 W i n d o w s   7 中 虽 然 也 能 在 S y s t e m 3 2 目 录 下 发 现 C t f m o n . e x e 进 程 ， 但 其 并 不 会 启 动 ， 即 便 是 我 通 过 双 击 来 启 动 C t f m o n . e x e ， 屏 幕 也 只 是 闪 一 下 ， 在 任 务 管 理 器 里 面 还 没 有 发 现 此 进 程 。 1 3 — C o n i m e . e x e   C o n i m e . e x e 进 程 并 不 会 随 着 系 统 启 动 而 启 动 。 只 有 在 打 开 了 命 令 行 程 序 （ c m d . e x e ） 后 才 能 看 到 c o n i m e . e x e 进 程 随 之 启 动 。 路 径 为 C : W i n d o w s S y s t e m 3 2 ， 但 是 在 W i n d o w s 1 0 和 7 下 都 没 这 个 文 件 。   1 4 — S p o o l s v . e x e S p o o l s v . e x e 全 程 S p o o l e r S u b S y s t e m   A p p ( 后 台 处 理 程 序 子 系 统 应 用 程 序 ) ， 是 打 印 后 台 处 理 程 序 打 印 接 口 的 主 要 组 成 部 分 。 他 的 功 能 就 是 管 理 后 台 打 印 作 业 。 给 本 地 打 印 机 发 送 打 印 任 务 ， 缓 存 打 印 数 据 ， 负 责 对 多 个 打 印 任 务 进 行 队 列 。 如 果 我 们 需 要
打 印 文 件 图 片 必 须 有 s p o o l s v . e x e 进 程 运 行 。 此 进 程 运 行 没 窗 口 。 路 径 为 C : W i n d o w s S y s t e m 3 2 s p o o l s v . e x e 。   1 5 — R u n d l l 3 2 . e x e R u n d l l . e x e ， 可 以 把 它 分 成 两 部 分 ， R u n ( 运 行 ) 和 D L L ( 动 态 数 据 库 ) ， 所 以 ， 此 程 序 的 功 能 是 运 行 那 些 不 能 作 为 程 序 单 独 运 行 的 D L L 文 件 。 而 R u n d l l 3 2 . e x e 则 用 来 运 行 3 2 位 D L L 文 件 。 有 些 木 马 是 利 用 R u n d l l 3 2 . e x e 加 载 D L L 形 式 运 行 的 ， 但 大 多 数 情 况 下 R u n d l l 3 2 . e x e 都 是 加 载 系 统 的 D L L 文 件 。     1 6 — W i n i n i t . e x e W i n i n i t . e x e 是 W i n d o w s 8 之 后 的 核 心 进 程 ， 工 作 是 开 启 一 些 主 要 的 w i n d o w s 的 后 台 服 务 ， 比 如 中 央 服 务 器 管 理 器 s e r v i c e C e n t r a l M a n a g e r ( s C M ) 、 本 地 安 全 验 证 子 系 统 L o c a l   S e c u r i t y   A u t h o r i t y s u b s y s t e m ( L s A s s ) 和 本 地 会 话 管 理 器 L o c a l   s e s s i o n M a n a g e r ( L s M . e x e ) 。 位 于 C : W i n d o w s S y s t e m 3 2 下 。 关 闭 该 进 程 后 W i n d o w s 系 统 会 蓝 屏 。   1 7 — S e r v i c e s . e x e S e r v i c e s . e x e 被 描 述 为 服 务 和 控 制 器 应 用 程 序 。 其 主 要 功 能 是 负 责 运 行 和 结 束 系 统 服 务 。 通 常 以 s y s t e m 用 户 名 在 运 行 。 路 径 为 C : W i n d o w s s y s t e m 3 2 。 S e r v i e c e . e x e 进 程 在 开 机 的 时 候 会 占 用 很 多 的 C P U 及 内 存 资 源 ， 用 P r o c e s s   M o n i t o r 工 具 分 析 发 现 居 然 在 疯 狂 读 写 W I N D O W S L a s t G o o d . t m p I N F o e m 3 2 . i n f 和 W I N D O W S L a s t G o o d . t m p I N F o e m 3 2 . p n f 文 件 ， 估 计 这 可 能 是 某 个 软 件 正 准
备 安 装 新 驱 动 时 驱 动 文 件 损 坏 导 致 的 结 果 。   1 8 — C m d . e x e 默 认 情 况 下 ， A d m i n 权 限 是 无 法 删 除 原 生 的 c m d . e x e ， 需 要 T r u s t e d I n s t a l l e r 权 限 才 可 以 删 除 ， 但 是 复 制 的 可 以 删 除 。 未 完 待 续 。 。 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理