#I 最基本的系统进程.docx

#I 最基本的系统进程.docx

《#I 最基本的系统进程.docx》由会员分享，可在线阅读，更多相关《#I 最基本的系统进程.docx（16页珍藏版）》请在冰点文库上搜索。

#I最基本的系统进程

I、最基本的系统进程

II、附加的系统进程

III、应该关掉的服务

IV、模块一览

V、WIN2000的常用服务列表

一、最基本的系统进程（系统运行的基本条件，有了这些进程，系统就能正常运行）

SystemIdleProcess

这个进程是作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。

smss.exe

SessionManager

这是一个会话管理子系统，负责启动用户会话。

这个进程是通过系统进程初始化的，并且对许多活动的，包括已经正在运行的Winlogon，Win32（Csrss.exe）线程和设定的系统变量作出反映。

在它启动这些进程后，它等待Winlogon或者Csrss结束。

如果这些过程时正常的，系统就关掉了。

如果发生了什么不可预料的事情，smss.exe就会让系统停止响应（就是挂起）。

csrss.exe

子系统服务器进程，负责控制windows，创建或者删除线程和一些16位的虚拟MS-DOS环境。

winlogon.exe

这个进程是管理用户登录和推出的。

而且winlogon在用户按下CTRL+ALT+DEL时就激活了，显示安全对话框

services.exe包含很多系统服务

lsass.exe

这是一个本地的安全授权服务，管理IP安全策略以及启动ISAKMP/Oakley（IKE）和IP

安全驱动程序。

并且它会为使用winlogon服务的授权用户生成一个进程。

这个进程是通过使用授权的包，例如默认msgina.dll来执行的。

如果授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的shell。

其他的由用户初始化的进程会继承这个令牌的。

svchost.exe

在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。

多个Svchost.exe可以在同一时间运行；每个Svchost.exe的会话期间都包含一组服务，单独的服务必须依靠Svchost.exe获知怎样和在那里启动。

SPOOLSV.EXE管理缓冲池中的打印和传真作业。

（系统服务）

explorer.exe资源管理器。

internat.exe托盘区的输入法图标。

二、附加的系统进程（不是必要的，可以根据需要通过服务管理器来增加或减少）

mstask.exe允许程序在指定时间运行。

（系统服务）

regsvc.exe允许远程注册表操作。

（系统服务）

winmgmt.exe

提供系统管理信息（系统服务）。

它是win2000客户端管理的核心组件。

当客户端使用程序连接或当管理程序需要他本身的服务时这个进程初始化。

inetinfo.exe通过Internet信息服务的管理单元提供FTP连接和管理。

（系统服务）

tlntsvr.exe

允许远程用户登录到系统并且使用命令行运行控制台程序。

（系统服务）允许通过Internet

信息服务的管理单元管理Web和FTP服务。

（系统服务）

tftpd.exe实现TFTPInternet

标准。

该标准不要求用户名和密码。

远程安装服务的一部分。

（系统服务）

termsrv.exe

提供多会话环境允许客户端设备访问虚拟的Windows2000Professional

桌面会话以及运行在服务器上的基于Windows的程序。

（系统服务）

dns.exe应答对域名系统（DNS）名称的查询和更新请求。

（系统服务）

三、应该关掉的服务（里面的服务很少会用到，可能对安全有害）

tcpsvcs.exe

提供在PXE可远程启动客户计算机上远程安装Windows2000Professional

的能力。

（系统服务）支持以下TCP/IP服务：

CharacterGenerator,Daytime,

Discard,Echo,以及QuoteoftheDay。

（系统服务）

ismserv.exe允许在WindowsAdvancedServer

站点间发送和接收消息。

（系统服务）

ups.exe管理连接到计算机的不间断电源（UPS）。

（系统服务）

wins.exe为注册和分析NetBIOS型名称的TCP/IP客户提供NetBIOS

名称服务。

（系统服务）

llssrv.exeLicenseLoggingService（systemservice）

ntfrs.exe在多个服务器间维护文件目录内容的文件同步。

（系统服务）

RsSub.exe控制用来远程储存数据的媒体。

（系统服务）

locator.exe管理RPC名称服务数据库。

（系统服务）

lserver.exe注册客户端许可证。

（系统服务）

dfssvc.exe管理分布于局域网或广域网的逻辑卷。

（系统服务）

clipsrv.exe支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。

（系统服务）

msdtc.exe

并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。

（系统服务）

faxsvc.exe帮助您发送和接收传真。

（系统服务）

cisvc.exeIndexingService（systemservice）

dmadmin.exe磁盘管理请求的系统管理服务。

（系统服务）

mnmsrvc.exe允许有权限的用户使用NetMeeting远程访问Windows桌面。

（系统服务）

netdde.exe提供动态数据交换（DDE）的网络传输和安全特性。

（系统服务）

smlogsvc.exe配置性能日志和警报。

（系统服务）

rsvp.exe为依赖质量服务（QoS）的程序和控制使用程序提供网络信号和本地通信控制安装功能。

（系统服务）

RsEng.exe协调用来储存不常用数据的服务和管理工具。

（系统服务）

RsFsa.exe管理远程储存的文件的操作。

（系统服务）

grovel.exe

扫描零备份存储（SIS）卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。

（系统服务）

SCardSvr.exe对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。

（系统服务）

snmp.exe包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。

（系统服务）

snmptrap.exe

接收由本地或远程SNMP代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上SNMP

管理程序。

（系统服务）

UtilMan.exe从一个窗口中启动和配置辅助工具。

（系统服务）

msiexec.exe依据.MSI文件中包含的命令来安装、修复以及删除软件。

（系统服务）

四、模块一览：

名称模块所在位置何时被启动/加载由谁启动

hal.dll硬件抽象层系统启动时系统

ntoskrnl.exe微内核和执行体系统启动时系统

kernel32.dllwin32子系统.dll系统启动时系统

gdi32.dllwin32子系统.dll系统启动时系统

user32.dllwin32子系统.dll系统启动时系统

advapi32.dllwin32子系统.dll系统启动时系统

smss.exe会话管理器系统启动时系统

win32k.syswin32的内核模式部分系统启动时smss.exe

csrss.exewin32子系统进程系统启动时smss.exe

winlogon.exewindows登陆进程系统启动时smss.exe

msgina.dll缺省gina系统启动时winlogon.exe

lsass.exe本地安全性鉴别服务器系统启动时winlogon.exe

ntdll.dll支持函数和到执行体的接口系统启动时smss.exe

services.exe服务控制器和大多数系统服务系统启动时smss.exe

os2ss.exeos/2子系统进程根据需要smss.exe

psxdll.dllposix子系统.dll根据需要smss.exe

psxss.exeposix子系统进程根据需要smss.exe

五、WIN2000的常用服务列表

服务名称：

Alerter

显示名称：

Alerter

描述：

通知所选用户和计算机有关系统管理级警报。

可执行文件的路径：

C:

WINNTSystem32services.exe（假设系统在C盘，以下同）

服务名称：

AppMgmt

显示名称：

ApplicationManagement

描述：

提供软件安装服务，诸如分派，发行以及删除。

可执行文件的路径：

C:

WINNTsystem32services.exe

服务名称：

AtiHotKeyPoller

显示名称：

AtiHotKeyPoller

描述：

[]

可执行文件的路径：

C:

WINNTSystem32Ati2evxx.exe

服务名称：

ClipSrv

显示名称：

ClipBook

描述：

支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。

可执行文件的路径：

C:

WINNTsystem32clipsrv.exe

服务名称：

EventSystem

显示名称：

COM+EventSystem

描述：

提供事件的自动发布到订阅COM组件。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

Browser

显示名称：

ComputerBrowser

描述：

维护网络上计算机的最新列表以及提供这个列表给请求的程序。

可执行文件的路径：

C:

WINNTSystem32services.exe

服务名称：

Dhcp

显示名称：

DHCPClient

描述：

通过注册和更改IP地址以及DNS名称来管理网络配置。

可执行文件的路径：

C:

WINNTSystem32services.exe

服务名称：

TrkWks

显示名称：

DistributedLinkTrackingClient

描述：

当文件在网络域的NTFS卷中移动时发送通知。

可执行文件的路径：

C:

WINNTsystem32services.exe

服务名称：

MSDTC

显示名称：

DistributedTransactionCoordinator

描述：

并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。

可执行文件的路径：

C:

WINNTSystem32msdtc.exe

服务名称：

Dnscache

显示名称：

DNSClient

描述：

分析和缓冲域名系统（DNS）名称。

可执行文件的路径：

C:

WINNTSystem32services.exe

服务名称：

Eventlog

显示名称：

EventLog

描述：

记录程序和Windows

发送的事件消息。

事件日志包含对诊断问题有所帮助的信息。

您可以在“事件查看器”中查看报告。

可执行文件的路径：

C:

WINNTsystem32services.exe

服务名称：

Fax

显示名称：

FaxService

描述：

帮助您发送和接收传真

可执行文件的路径：

C:

WINNTsystem32faxsvc.exe

服务名称：

MSFTPSVC

显示名称：

FTPPublishingService

描述：

通过Internet信息服务的管理单元提供FTP连接和管理。

可执行文件的路径：

C:

WINNTSystem32inetsrvinetinfo.exe

服务名称：

IISADMIN

显示名称：

IISAdminService

描述：

允许通过Internet信息服务的管理单元管理Web和FTP服务。

可执行文件的路径：

C:

WINNTSystem32inetsrvinetinfo.exe

服务名称：

cisvc

显示名称：

IndexingService

描述：

本地和远程计算机上文件的索引内容和属性；通过灵活查询语言提供文件快速访问。

可执行文件的路径：

C:

WINNTSystem32cisvc.exe

服务名称：

Irmon

显示名称：

InfraredMonitor

描述：

支持安装在这台计算机上的红外设备并且检测在有效范围内的其它红外设备。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

SharedAccess

显示名称：

InternetConnectionSharing

描述：

为通过拨号网络连接的家庭网络中所有计算机提供网络地址转换、定址以及名称分析服务。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

PolicyAgent

显示名称：

IPSECPolicyAgent

描述：

管理IP安全策略以及启动ISAKMP/Oakley（IKE）和IP安全驱动程序。

可执行文件的路径：

C:

WINNTSystem32lsass.exe

服务名称：

dmserver

显示名称：

LogicalDiskManager

描述：

逻辑磁盘管理器监视狗服务

可执行文件的路径：

C:

WINNTSystem32services.exe

服务名称：

dmadmin

显示名称：

LogicalDiskManagerAdministrativeService

描述：

磁盘管理请求的系统管理服务

可执行文件的路径：

C:

WINNTSystem32dmadmin.exe/com

服务名称：

Messenger

显示名称：

Messenger

描述：

发送和接收系统管理员或者“警报器”服务传递的消息。

可执行文件的路径：

C:

WINNTSystem32services.exe

服务名称：

MSUpdate

显示名称：

MicrosoftWindowsUpdateService

描述：

Microsoft（R）WindowsUpdate

可执行文件的路径：

C:

WINNTSystem32wupdmgr32.exe

服务名称：

Netlogon

显示名称：

NetLogon

描述：

支持网络上计算机pass-through帐户登录身份验证事件。

可执行文件的路径：

C:

WINNTSystem32lsass.exe

服务名称：

mnmsrvc

显示名称：

NetMeetingRemoteDesktopSharing

描述：

允许有权限的用户使用NetMeeting远程访问Windows桌面。

可执行文件的路径：

C:

WINNTSystem32mnmsrvc.exe

服务名称：

Netman

显示名称：

NetworkConnections

描述：

管理“网络和拨号连接”文件夹中对象，在其中您可以查看局域网和远程连接。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

NetDDE

显示名称：

NetworkDDE

描述：

提供动态数据交换（DDE）的网络传输和安全特性。

可执行文件的路径：

C:

WINNTsystem32netdde.exe

服务名称：

NetDDEdsdm

显示名称：

NetworkDDEDSDM

描述：

管理网络DDE的共享动态数据交换

可执行文件的路径：

C:

WINNTsystem32netdde.exe

服务名称：

NtLmSsp

显示名称：

NTLMSecuritySupportProvider

描述：

为使用传输协议而不是命名管道的远程过程调用（RPC）程序提供安全机制。

可执行文件的路径：

C:

WINNTSystem32lsass.exe

服务名称：

SysmonLog

显示名称：

PerformanceLogsandAlerts

描述：

配置性能日志和警报。

可执行文件的路径：

C:

WINNTsystem32smlogsvc.exe

服务名称：

PlugPlay

显示名称：

PlugandPlay

描述：

管理设备安装以及配置，并且通知程序关于设备更改的情况。

可执行文件的路径：

C:

WINNTsystem32services.exe

服务名称：

Spooler

显示名称：

PrintSpooler

描述：

将文件加载到内存中以便迟后打印。

可执行文件的路径：

C:

WINNTsystem32spoolsv.exe

服务名称：

ProtectedStorage

显示名称：

ProtectedStorage

描述：

提供对敏感数据（如私钥）的保护性存储，以便防止未授权的服务，过程或用户对其的非法访问。

可执行文件的路径：

C:

WINNTsystem32services.exe

服务名称：

RSVP

显示名称：

QoSRSVP

描述：

为依赖质量服务（QoS）的程序和控制使用程序提供网络信号和本地通信控制安装功能。

可执行文件的路径：

C:

WINNTSystem32rsvp.exe-s

服务名称：

RasAuto

显示名称：

RemoteAccessAutoConnectionManager

描述：

无论什么时候当某个程序引用一个远程DNS或NetBIOS名或者地址就创建一个到远程网络的连接。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

RasMan

显示名称：

RemoteAccessConnectionManager

描述：

创建网络连接。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

RpcSs

显示名称：

RemoteProcedureCall（RPC）

描述：

提供终结点映射程序（endpointmapper）以及其它RPC服务。

可执行文件的路径：

C:

WINNTsystem32svchost-krpcss

服务名称：

RpcLocator

显示名称：

RemoteProcedureCall（RPC）Locator

描述：

管理RPC名称服务数据库。

可执行文件的路径：

C:

WINNTSystem32locator.exe

服务名称：

RemoteRegistry

显示名称：

RemoteRegistryService

描述：

允许远程注册表操作。

可执行文件的路径：

C:

WINNTsystem32regsvc.exe

服务名称：

NtmsSvc

显示名称：

RemovableStorage

描述：

管理可移动媒体、驱动程序和库。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

RemoteAccess

显示名称：

RoutingandRemoteAccess

描述：

在局域网以及广域网环境中为企业提供路由服务。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

seclogon

显示名称：

RunAsService

描述：

在不同凭据下启用启动过程

可执行文件的路径：

C:

WINNTsystem32services.exe

服务名称：

SamSs

显示名称：

SecurityAccountsManager

描述：

存储本地用户帐户的安全信息。

可执行文件的路径：

C:

WINNTsystem32lsass.exe

服务名称：

lanmanserver

显示名称：

Server

描述：

提供RPC支持、文件、打印以及命名管道共享。

可执行文件的路径：

C:

WINNTSystem32services.exe

服务名称：

ServiceSupport

显示名称：

ServiceSupport

描述：

WindowsServiceSupport

可执行文件的路径：

C:

WINNTSystem32srvsupp.exe

服务名称：

SMTPSVC

显示名称：

SimpleMailTransportProtocol（SMTP）

描述：

跨网传送电子邮件

可执行文件的路径：

C:

WINNTSystem32inetsrvinetinfo.exe

服务名称：

SCardSvr

显示名称：

SmartCard

描述：

对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。

可执行文件的路径：

C:

WINNTSystem32SCardSvr.exe

服务名称：

SCardDrv

显示名称：

SmartCardHelper

描述：

提供对连接到计算机上旧式智能卡的支持。

可执行文件的路径：

C:

WINNTSystem32SCardSvr.exe

服务名称：

SENS

显示名称：

SystemEventNotification

描述：

跟踪系统事件，如登录Windows，网络以及电源事件等。

将这些事件通知给COM+事件系统

“订阅者（subscriber）”。

可执行文件的路径：

C:

WINNTsystem32svchost.exe-knetsvcs

服务名称：

Schedule

显示名称：

TaskScheduler

描述：

允许程序在指定时间运行。

可执行文件的路径：

C:

WINNTsystem32MSTask.exe

服务名称：

LmHosts

显示名称：

TCP/IPNetBIOSHelperService

描述：

允许对“TCP/IP上NetBIOS（NetBT）”服务以及NetBIOS名称分析的支持。

可执行文件的路径：

C:

WINNTSystem32services.exe

服务名称：

TapiSrv

显示名称：

Telephony

描述：

提供TAPI的支持，以便程序控制本地计算机，服务器以及LAN上的电话设备和基于IP的语音连接。

可执行文件的路径：

C:

WINNTSystem32svchost.exe-knetsvcs

服务名称：

TlntSvr

显示名称：

Telnet