#I 最基本的系统进程.docx

1、#I 最基本的系统进程I、 最基本的系统进程 II、 附加的系统进程 III、应该关掉的服务 IV、 模块一览 V、 WIN2000的常用服务列表 一、最基本的系统进程（系统运行的基本条件，有了这些进程，系统就能正常运行） System Idle Process 这个进程是作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。 smss.exe Session Manager 这是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始化的，并且对许多活动的，包括已经正在运行的Winlogon，Win32（Csrss.exe）线程和设定的系统变量作出反映。在它启动

2、这些进程后，它等待Winlogon或者Csrss结束。如果这些过程时正常的，系统就关掉了。如果发生了什么不可预料的事情，smss.exe就会让系统停止响应（就是挂起）。 csrss.exe 子系统服务器进程，负责控制windows，创建或者删除线程和一些16位的虚拟MS-DOS环境。 winlogon.exe 这个进程是管理用户登录和推出的。而且winlogon在用户按下CTRL+ALT+DEL时就激活了，显示安全对话框 services.exe 包含很多系统服务 lsass.exe 这是一个本地的安全授权服务，管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安

3、全驱动程序。并且它会为使用winlogon服务的授权用户生成一个进程。这个进程是通过使用授权的包，例如默认msgina.dll来执行的。如果授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的shell。其他的由用户初始化的进程会继承这个令牌的。 svchost.exe 在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。多个Svchost.exe可以在同一时间运行；每个Svchost.exe的会话期间都包含一组服务，单独的服务必须依靠Svchost.exe获知怎样和在那里启动。 SPOOLSV.EXE 管理缓冲池中的打印和传真作业。(系统服务) e

4、xplorer.exe 资源管理器。 internat.exe 托盘区的输入法图标。 二、附加的系统进程（不是必要的，可以根据需要通过服务管理器来增加或减少） mstask.exe 允许程序在指定时间运行。(系统服务) regsvc.exe 允许远程注册表操作。(系统服务) winmgmt.exe 提供系统管理信息(系统服务)。它是win2000客户端管理的核心组件。当客户端使用程序连接或当管理程序需要他本身的服务时这个进程初始化。 inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务) tlntsvr.exe 允许远程用户登录到系统并且使用

5、命令行运行控制台程序。(系统服务) 允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务) tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务) termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000 Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务) dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务) 三、应该关掉的服务（里面的服务很少会用到，可能对安全有害） tcpsvcs.exe 提

6、供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional 的能力。(系统服务) 支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务) ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务) ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务) wins.exe 为注册和分析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。(系统服务)

7、 llssrv.exe License Logging Service(system service) ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务) RsSub.exe 控制用来远程储存数据的媒体。(系统服务) locator.exe 管理 RPC 名称服务数据库。(系统服务) lserver.exe 注册客户端许可证。(系统服务) dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务) clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务) msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件

8、系统，或其它事务保护资源管理器。(系统服务) faxsvc.exe 帮助您发送和接收传真。(系统服务) cisvc.exe Indexing Service(system service) dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务) mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务) netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务) smlogsvc.exe 配置性能日志和警报。(系统服务) rsvp.exe 为依赖质量服务(QoS)的程序和控制使用程序提供网络信号和本地通

9、信控制安装功能。(系统服务) RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务) RsFsa.exe 管理远程储存的文件的操作。(系统服务) grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务) SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务) snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务) snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNM

10、P 管理程序。(系统服务) UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务) msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务) 四、模块一览： 名称 模块所在位置 何时被启动/加载 由谁启动 hal.dll 硬件抽象层 系统启动时 系统 ntoskrnl.exe 微内核和执行体 系统启动时 系统 kernel32.dll win32子系统.dll 系统启动时 系统 gdi32.dll win32子系统.dll 系统启动时 系统 user32.dll win32子系统.dll 系统启动时 系统 advapi32.dll win32

11、子系统.dll 系统启动时 系统 smss.exe 会话管理器 系统启动时 系统 win32k.sys win32的内核模式部分 系统启动时 smss.exe csrss.exe win32子系统进程 系统启动时 smss.exe winlogon.exe windows登陆进程 系统启动时 smss.exe msgina.dll 缺省gina 系统启动时 winlogon.exe lsass.exe 本地安全性鉴别服务器 系统启动时 winlogon.exe ntdll.dll 支持函数和到执行体的接口 系统启动时 smss.exe services.exe 服务控制器和大多数系统服务 系统

12、启动时 smss.exe os2ss.exe os/2子系统进程 根据需要 smss.exe psxdll.dll posix子系统.dll 根据需要 smss.exe psxss.exe posix子系统进程 根据需要 smss.exe 五、WIN2000的常用服务列表 服务名称：Alerter 显示名称：Alerter 描述：通知所选用户和计算机有关系统管理级警报。 可执行文件的路径：C:WINNTSystem32services.exe（假设系统在C盘，以下同） 服务名称：AppMgmt 显示名称：Application Management 描述：提供软件安装服务，诸如分派，发行以及删

13、除。 可执行文件的路径：C:WINNTsystem32services.exe 服务名称：Ati HotKey Poller 显示名称：Ati HotKey Poller 描述： 可执行文件的路径：C:WINNTSystem32Ati2evxx.exe 服务名称：ClipSrv 显示名称：ClipBook 描述：支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。 可执行文件的路径：C:WINNTsystem32clipsrv.exe 服务名称：EventSystem 显示名称：COM+ Event System 描述：提供事件的自动发布到订阅 COM 组件。 可执行文件的路径：C:WIN

14、NTSystem32svchost.exe -k netsvcs 服务名称：Browser 显示名称：Computer Browser 描述：维护网络上计算机的最新列表以及提供这个列表给请求的程序。 可执行文件的路径：C:WINNTSystem32services.exe 服务名称：Dhcp 显示名称：DHCP Client 描述：通过注册和更改 IP 地址以及 DNS 名称来管理网络配置。 可执行文件的路径：C:WINNTSystem32services.exe 服务名称：TrkWks 显示名称：Distributed Link Tracking Client 描述：当文件在网络域的 NTF

15、S 卷中移动时发送通知。 可执行文件的路径：C:WINNTsystem32services.exe 服务名称：MSDTC 显示名称：Distributed Transaction Coordinator 描述：并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。 可执行文件的路径：C:WINNTSystem32msdtc.exe 服务名称：Dnscache 显示名称：DNS Client 描述：分析和缓冲域名系统 (DNS) 名称。 可执行文件的路径：C:WINNTSystem32services.exe 服务名称：Eventlog 显示名称：Event Log

16、描述：记录程序和 Windows 发送的事件消息。事件日志包含对诊断问题有所帮助的信息。您可以在“事件查看器”中查看报告。 可执行文件的路径：C:WINNTsystem32services.exe 服务名称：Fax 显示名称：Fax Service 描述：帮助您发送和接收传真 可执行文件的路径：C:WINNTsystem32faxsvc.exe 服务名称：MSFTPSVC 显示名称：FTP Publishing Service 描述：通过 Internet 信息服务的管理单元提供 FTP 连接和管理。 可执行文件的路径：C:WINNTSystem32inetsrvinetinfo.exe 服务

17、名称：IISADMIN 显示名称：IIS Admin Service 描述：允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。 可执行文件的路径：C:WINNTSystem32inetsrvinetinfo.exe 服务名称：cisvc 显示名称：Indexing Service 描述：本地和远程计算机上文件的索引内容和属性；通过灵活查询语言提供文件快速访问。 可执行文件的路径：C:WINNTSystem32cisvc.exe 服务名称：Irmon 显示名称：Infrared Monitor 描述：支持安装在这台计算机上的红外设备并且检测在有效范围内的其它红外设备。

18、 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：SharedAccess 显示名称：Internet Connection Sharing 描述：为通过拨号网络连接的家庭网络中所有计算机提供网络地址转换、定址以及名称分析服务。 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：PolicyAgent 显示名称：IPSEC Policy Agent 描述：管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。 可执行文件的路径：C:WINNTSy

19、stem32lsass.exe 服务名称：dmserver 显示名称：Logical Disk Manager 描述：逻辑磁盘管理器监视狗服务 可执行文件的路径：C:WINNTSystem32services.exe 服务名称：dmadmin 显示名称：Logical Disk Manager Administrative Service 描述：磁盘管理请求的系统管理服务 可执行文件的路径：C:WINNTSystem32dmadmin.exe /com 服务名称：Messenger 显示名称：Messenger 描述：发送和接收系统管理员或者“警报器”服务传递的消息。 可执行文件的路径：C:W

20、INNTSystem32services.exe 服务名称：MSUpdate 显示名称：Microsoft Windows Update Service 描述：Microsoft(R) Windows Update 可执行文件的路径：C:WINNTSystem32wupdmgr32.exe 服务名称：Netlogon 显示名称：Net Logon 描述：支持网络上计算机 pass-through 帐户登录身份验证事件。 可执行文件的路径：C:WINNTSystem32lsass.exe 服务名称：mnmsrvc 显示名称：NetMeeting Remote Desktop Sharing 描述

21、：允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。 可执行文件的路径：C:WINNTSystem32mnmsrvc.exe 服务名称：Netman 显示名称：Network Connections 描述：管理“网络和拨号连接”文件夹中对象，在其中您可以查看局域网和远程连接。 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：NetDDE 显示名称：Network DDE 描述：提供动态数据交换 (DDE) 的网络传输和安全特性。 可执行文件的路径：C:WINNTsystem32netdde.exe 服务名称：Ne

22、tDDEdsdm 显示名称：Network DDE DSDM 描述：管理网络 DDE 的共享动态数据交换 可执行文件的路径：C:WINNTsystem32netdde.exe 服务名称：NtLmSsp 显示名称：NT LM Security Support Provider 描述：为使用传输协议而不是命名管道的远程过程调用(RPC)程序提供安全机制。 可执行文件的路径：C:WINNTSystem32lsass.exe 服务名称：SysmonLog 显示名称：Performance Logs and Alerts 描述：配置性能日志和警报。 可执行文件的路径：C:WINNTsystem32sml

23、ogsvc.exe 服务名称：PlugPlay 显示名称：Plug and Play 描述：管理设备安装以及配置，并且通知程序关于设备更改的情况。 可执行文件的路径：C:WINNTsystem32services.exe 服务名称：Spooler 显示名称：Print Spooler 描述：将文件加载到内存中以便迟后打印。 可执行文件的路径：C:WINNTsystem32spoolsv.exe 服务名称：ProtectedStorage 显示名称：Protected Storage 描述：提供对敏感数据(如私钥)的保护性存储，以便防止未授权的服务，过程或用户对其的非法访问。 可执行文件的路径：

24、C:WINNTsystem32services.exe 服务名称：RSVP 显示名称：QoS RSVP 描述：为依赖质量服务(QoS)的程序和控制使用程序提供网络信号和本地通信控制安装功能。 可执行文件的路径：C:WINNTSystem32rsvp.exe -s 服务名称：RasAuto 显示名称：Remote Access Auto Connection Manager 描述：无论什么时候当某个程序引用一个远程 DNS 或 NetBIOS 名或者地址就创建一个到远程网络的连接。 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：RasMa

25、n 显示名称：Remote Access Connection Manager 描述：创建网络连接。 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：RpcSs 显示名称：Remote Procedure Call (RPC) 描述：提供终结点映射程序 (endpoint mapper) 以及其它 RPC 服务。 可执行文件的路径：C:WINNTsystem32svchost -k rpcss 服务名称：RpcLocator 显示名称：Remote Procedure Call (RPC) Locator 描述：管理 RPC 名称服务数据

26、库。 可执行文件的路径：C:WINNTSystem32locator.exe 服务名称：RemoteRegistry 显示名称：Remote Registry Service 描述：允许远程注册表操作。 可执行文件的路径：C:WINNTsystem32regsvc.exe 服务名称：NtmsSvc 显示名称：Removable Storage 描述：管理可移动媒体、驱动程序和库。 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：RemoteAccess 显示名称：Routing and Remote Access 描述：在局域网以及广域网

27、环境中为企业提供路由服务。 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：seclogon 显示名称：RunAs Service 描述：在不同凭据下启用启动过程 可执行文件的路径：C:WINNTsystem32services.exe 服务名称：SamSs 显示名称：Security Accounts Manager 描述：存储本地用户帐户的安全信息。 可执行文件的路径：C:WINNTsystem32lsass.exe 服务名称：lanmanserver 显示名称：Server 描述：提供 RPC 支持、文件、打印以及命名管道共享。 可

28、执行文件的路径：C:WINNTSystem32services.exe 服务名称：Service Support 显示名称：Service Support 描述：Windows Service Support 可执行文件的路径：C:WINNTSystem32srvsupp.exe 服务名称：SMTPSVC 显示名称：Simple Mail Transport Protocol (SMTP) 描述：跨网传送电子邮件 可执行文件的路径：C:WINNTSystem32inetsrvinetinfo.exe 服务名称：SCardSvr 显示名称：Smart Card 描述：对插入在计算机智能卡阅读器中

29、的智能卡进行管理和访问控制。 可执行文件的路径：C:WINNTSystem32SCardSvr.exe 服务名称：SCardDrv 显示名称：Smart Card Helper 描述：提供对连接到计算机上旧式智能卡的支持。 可执行文件的路径：C:WINNTSystem32SCardSvr.exe 服务名称：SENS 显示名称：System Event Notification 描述：跟踪系统事件，如登录 Windows，网络以及电源事件等。将这些事件通知给 COM+ 事件系统 “订阅者(subscriber)”。 可执行文件的路径：C:WINNTsystem32svchost.exe -k n

30、etsvcs 服务名称：Schedule 显示名称：Task Scheduler 描述：允许程序在指定时间运行。 可执行文件的路径：C:WINNTsystem32MSTask.exe 服务名称：LmHosts 显示名称：TCP/IP NetBIOS Helper Service 描述：允许对“TCP/IP 上 NetBIOS (NetBT)”服务以及 NetBIOS 名称分析的支持。 可执行文件的路径：C:WINNTSystem32services.exe 服务名称：TapiSrv 显示名称：Telephony 描述：提供 TAPI 的支持，以便程序控制本地计算机，服务器以及 LAN 上的电话设备和基于IP 的语音连接。 可执行文件的路径：C:WINNTSystem32svchost.exe -k netsvcs 服务名称：TlntSvr 显示名称：Telnet