关于进程问题

关于进程问题~

winxp基本的系统进程应该有15个，不过有些如杀毒软件之类的也是必须开的

1、Alerter
服务名称：Alerter
进程名称：services.exe
功能说明：这个服务是当系统发生故障时向管理员发送警报，或向用户发送出错信息。除非你的电脑处在局域网中，而且配有网络管理员，一般情况下可以设置为“手动”或“已禁用”。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

2、Application Layer Gateway Service
服务名称：ALG
进程名称：alg.exe
功能说明：为Internet共享和防火墙的第三方插件提供支持如果你使用了WindowsXP的Internet共享和防火墙，那么这个服务必须启用。它占用大约1.5MB的内存资源。
默认设置：手动
普通配置：手动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

3、Application Management
服务名称：AppMgmt
进程名称：svchost.exe
功能说明：Windows2000/XP引入了一种基于msi文件格式（应用程序安装信息程序包）的软件管理方案——应用程序管理组件服务，它不仅管理软件的安装、删除，而且可以使用此项服务修改、修复现有应用程序，监视文件复原并通过复原排除基本故障等。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：手动
极端配置：手动

4、Automatic Updates服务名称：wuauserv
进程名称：svchost.exe
功能说明：Windows自动升级的服务。要注意的是，不管是通过Windows Update手动或自动升级，都需要Background Intelligent Transfer Service和System Event Notification这两个服务的支持。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

5、Background Intelligent服务名称：BITS
进程名称：svchost.exe
功能说明：用于通过Http1.1服务器来异步传输数据，也就是利用闲置网络带宽在后台传输文件，Windows Update需要用到这个服务，从而实现升级数据断点续传功能。另外，在使用MSN Explorer、Windows Messenger、Windows Media Player或.NET功能等时，它的自动更新需要这个服务。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

6、Transfer Service服务名称：
进程名称：svchost.exe
功能说明：用于通过Http1.1服务器来异步传输数据，也就是利用闲置网络带宽在后台传输文件，Windows Update需要用到这个服务，从而实现升级数据断点续传功能。另外，在使用MSN Explorer、Windows Messenger、Windows Media Player或.NET功能等时，它的自动更新需要这个服务。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

7、ClipBook服务名称：ClipSrv
进程名称：clipsrv.exe
功能说明：这个服务通过Network DDE和Network DDE DSDM提供的网络动态数据交换服务，查阅远程电脑中的剪贴薄，即使你的电脑在局域网中，为了安全起见还是强烈建议将其设置为“手动”，而对于普通用户来 说，完全可以将其设置为“已禁用”。这样可以节省大约1.3MB的内存空间。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

8、Com+System Application服务名称：COMSysApp
进程名称：dllhost.exe
功能说明：主要为那些使用了COM+的程序提供主持，同时系统日志也需要它才能运行，因此建议改为手动。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：已禁用
极端配置：已禁用

9、COM+ Event System服务名称：EventSystem
进程名称：svchost.exe
功能说明：为使用COM+程序提供系统事件支持，或曰自动发布到订阅 COM 组件。建议保持Windows的默认设置。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：手动
极端配置：已禁用

10、Computer Browser服务名称：Browser
进程名称：svchost.exe
功能说明：维护网络邻居中计算机的最新列表，其中包括基于Windows 的域、工作组和计算机，还有其它NetBIOS协议的网络设备，“网上邻居”显示的内容是来源于此。并将这个列表通知给请求的程序。普通单机用户设置为 “已禁用”，局域网用户设置为“自动”。如果，在“网上邻居”中看不到其它电脑，很可能是这个服务没有开启。
默认设置：自动
普通配置：已禁用
网络配置：自动
单机配置：已禁用
极端配置：已禁用

11、Cryptographic Services服务名称：CryptSvc
进程名称：svchost.exe
功能说明：它主要用来确认Windows 文件签名的，如果将其禁用，那么你会经常遇到报告驱动程序未被微软鉴定的警告框。同时这个服务也是Windows Update手动或自动更新时所需要的。另外，在升级SP1 或SP2、DirectX 9.0 必须要这个服务处于运行状态。而Windows Media Player和一些.NET应用程序也需要该服务。它大约占用1.9MB内存空间。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：已禁用

12、DHCP Client服务名称：Dhcp
进程名称：svchost.exe
功能说明：全称Dynamic Host Configuration Protocol（动态主机配置协议），该协议可以自动为局域网中的每一台计算机自动分配IP 地址，并完成每台计算机的TCP/IP协议配置，包括IP地址、子网掩码、网关，以及DNS 服务器等。这样在局域网中特别是大型局域网中，管理员就不必为每一台计算机手工配置TCP/IP 协议了，也避免了IP 地址重复的问题。作为普通用户，如果已通过DSL、Cable等方式连入Internet，那么还是保持自动状态为好，因为我们在Internet 上的IP地址是由ISP动态分配的。如果系统不应用于任何网络，那么你可以将其设为“已禁用”。在Windows中要启用DHCP协议，只要将IP地址设 置为“自动获得IP地址”即可。具体的方法如下：以Windows XP为例，打开“本地连接”属性，双击“Internet协议（TCP/IP）”打开属性窗口。接着，在“常规”选项卡中选中“自动获得IP地址”，单击 右下角的“高级”。下面在打开窗口的“IP设置”选项卡中，就可以看到“DHCP被启用”。
默认设置：自动
普通配置：自动
网络配置：已禁用
单机配置：自动
极端配置：已禁用

13、Distributed Link Tracking Client服务名称：TrkWks
进程名称：svchost.exe
功能说明：分布式连接跟踪客户端，它能跟踪文件在网络域的NTFS卷中移动状况，并发出通知。普通用户设置为：“已禁用”，局域网用户（硬盘分区文件系统 为NTFS）设为：“自动”。比如：你在电脑A上创建了一个文件，接着在电脑B上创建了这个文件的快捷方式或链接，如果你在电脑A 中移动了文件的位置，那么这个服务将会告诉电脑B 这个文件的新位置并进行修正。对于单机用户，这个服务用处不大，而且它会占用大约3.5MB～4MB 的内存资源。
默认设置：自动
普通配置：手动
网络配置：手动
单机配置：已禁用
极端配置：已禁用

14、Distributed Transaction Coordinator服务名称：MSDTC
进程名称：msdtc.exe
功能说明：并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。这个服务禁用后，事件日志会报告相关错误。不过，经测试发现，并不会影响系统运行。而一些.NET程序会用到它。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：已禁用
极端配置：已禁用

15、DNS Client服务名称：Dnscache
进程名称：svchost.exe
功能说明：域名系统客户端，它可将域名解析为IP 地址。除非你没有连入任何网络，否则应设为“自动”。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

16、Error Reporting Service服务名称：ERSvc
进程名称：svchost.exe
功能说明：当应用程序出现错误时，这个服务可以向微软提交相关报告。因为它的用处并不大，还白白占用内存和系统资源，因此推荐将其禁用。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

17、Event Log服务名称：Eventlog
进程名称：services.exe
功能说明：该服务能记录程序和系统发送的出错消息。日志包含了对诊断问题有所帮助的信息。有时禁用这个服务重启系统后，会导致了与几个网络有关的服务无法启动，并出现无法拨号上网的现象。因此如果你存在Internet 或局域网连接，建议还是把设为“自动”吧。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：自动
极端配置：自动

18、Fast User Switching Compatibility服务名称：FastUserSwitc hing Compatibility
进程名称：svchost.exe
功能说明：在Windows XP中提供了用户快速切换功能，让你可以在保持当前用户登录的情况下，再用另外的账户登录，实现同时登录状态。除非你的电脑有多人使用，并且真的需要这个功能，否则还是将其改为手动或已禁用。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：已禁用
极端配置：已禁用

19、Fax Service服务名称：FAX
进程名称：fxssvc.exe
功能说明：传真服务，在Windows 95中的传真功能在Windows 2000中重新被予以支持，而且与系统集成得更好。如果你不用它，就设为“已禁用”吧。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

20、Help and Support服务名称：helpsvc
进程名称：svchost.exe
功能说明：WindowsXP 搜索和帮助功能所必需的服务，但我们并不是每天都要用到这个功能，因此建议设置为“已禁用”，需要时再启动它。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

21、Human Interface Device Access服务名称：HidServ
进程名称：svchost.exe
功能说明：主要是那些带有功能按钮（传真、复印）扫描仪、或者多媒体键盘等需要使用这个服务，因此，建议先将其设置为“已禁用”，如果你的某些设备出现问题，再将其设置为“自动”。
默认设置：已禁用
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

22、HTTP SSL服务名称：HTTPFilter
进程名称：svchost.exe
功能说明：此服务通过安全套接字层(SSL)实现 HTTP 服务的安全超文本传送协议(HTTPS)。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：手动
极端配置：手动

23、IMAPI CD-Burning COM Service服务名称：ImapiService
进程名称：imapi.exe
功能说明：这是Windows XP的刻录功能的服务，让你可以通过拖放来进行光盘刻录，非常方便。同时，一些软件也会用到这个服务，因此建议将其设置为“自动”，如果你安装了Nero 等刻录软件，也可以尝试将其禁用，这样可以加速Nero的运行速度。这个服务占用1.6MB的内存资源。
默认设置：手动
普通配置：自动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

24、Indexing Service服务名称：cisvc
进程名称：cisvc.exe
功能说明：索引服务能针对本地硬盘或共享网络驱动器上的文档内容和属性建立索引，并通过Windows 2000/XP特有的文档过滤器快速定位到你所需要的文档，它大大强化了Windows 2000/XP的搜索能力。但索引服务要持续不断进行，所以会消耗了大量系统资源。微软建议在仅有64MB内存的系统中，如需索引的文档超过十万个，就应 该禁用这个服务。但实际测试中，我们发现即使文档数量远远低于十万个，系统资源的消耗也非常惊人，而且在128MB的系统上情况也好不了多少，因此我们强 烈建议禁用它。另外，虽然微软称它只在系统空闲时运行，但我们发现，它经常并不那么规矩，如果你的电脑经常会出现迟缓的问题，那么试着禁用它看看效果。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

25、Internet Connection Firewall/Internet Connection Sharing服务名称：SharedAccess
进程名称：svchost.exe
功能说明：Internet防火墙及为局域网计算机提供Internet共享连接。这个服务为多台联网的电脑共享一个拨号网络访问Internet 提供了捷径，对不使用该功能的普通用户可将其设为“已禁用”。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

26、IPSEC Services服务名称：PolicyAgent
进程名称：lsass.exe
功能说明：IP 安全策略代理服务，它允许IP 安全策略对两台计算机之间传输的数据包进行加密，从而防止在网上看到它的人对它进行更改和破译。IPSEC 是一种用来保护内部网、专用网络以及外部网
（Internet、Extranet）免遭攻击的重要防御方法。使用IPSEC 前必须需要首先定义两台计算机之间相互信任和通信安全的方式。请注意：在Windows 2000默认情况下“IP安全策略代理”是自动启动的，而“IP安全策略”并没有启动，既然如此，一般用户就完全可以禁用该服务。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

27、Logical Disk Manager服务名称：dmserver
进程名称：svchost.exe
功能说明：它是Windows 磁盘管理的重要服务，如果你在通过“控制面板→管理工具→计算机管理→磁盘管理”时遇到问题，那么最好看看这个服务是否启动。
默认设置：自动
普通配置：手动
网络配置：手动
单机配置：已禁用
极端配置：已禁用

28、Logical Disk Manager Administrative Service服务名称：dmadmin
进程名称：dmadmin.exe
功能说明：与上一个服务相似，磁盘管理请求的系统管理服务。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：已禁用
极端配置：已禁用

29、Messenger服务名称：Messenger
进程名称：services.exe
功能说明：发送和接收由系统管理员或由Alerter 服务所发送消息的服务。由于Alerter服务需要依存本服务，因此如果已将Alerter禁止，那么这项可以设置为“手动”或“已禁用”。这个服务提供 了服务器和客户机之间传输信息的功能，它对于家庭用户来说没有任何用处，因此建议将其设置为“已禁用”，这样还可以将来自互联网的垃圾信息禁掉。另外，你 还可以在命令提示符中输入“netsend 127.0.0.1 hi”来测试你的电脑是否存在相关漏洞，如果收到了弹出信息“Hi”，那么你应该禁用这个服务。如果收到的是错误提示“网络找不到此消息别名”，那么你的 电脑是安全的。如果你实在需要这个服务，那么可以通过防火墙关闭UDP 的135、137端口和TCP 的135、139、445 端口来过滤来自互联网的信息。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

30、MS Software Shadow Copy Provider服务名称：SwPrv
进程名称：dllhost.exe
功能说明：和“Volume Shadow Copy”服务联合使用，主要用来进行备份的。另外，有些磁盘克隆、镜像等软件需要使用这个服务才能运行。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：已禁用
极端配置：已禁用

31、Net Logon
服务名称：Netlogon
进程名称：lsass.exe
功能说明：简单说就是在局域网上验证登录信息的服务。一般家庭用户可以将其设为“已禁用”或“手动”。有时中了病毒后，这个服务会出现无法启动的问题。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

32、NetMeeting Remote Desktop Sharing服务名称：mnmsrvc
进程名称：mnmsrvc.exe
功能说明：远程桌面共享，该服务能通过NetMeeting 允许有权限的用户远程访问Windows桌面。这个功能对一般用处不大，可以设为“已禁用”。
默认设置：手动
普通配置：已禁用
网络配置：已禁用

33、Network Connections服务名称：Netman
进程名称：svchost.exe
功能说明：网络连接管理着“网络和拨号连接”文件夹中的所有对象。如果你有任何网络连接（包括Internet拨号连接）就保持“手动”状态。否则若你禁用它，在“网络和拨号连接”文件夹中将什么都看不到，更不用说新建连接和拨号上网了。
默认设置：手动
普通配置：手动
网络配置：自动
单机配置：手动
极端配置：已禁用

34、Network DDE
服务名称：NetDDE
进程名称：netdde.exe
功能说明：网络动态数据交换服务是一种为DDE 对话提供网络传输和安全的服务。DDE（动态数据交换）是实现进程通讯的一种形式，它允许支持DDE 的两个或多个程序交换信息和命令。对一般用户可设为“已禁用”。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

35、Network DDE DSDM服务名称：NetDDE dsdm
进程名称：netdde.exe
功能说明：网络动态数据交换服务是一种为DDE 对话提供网络传输和安全的服务。DDE（动态数据交换）是实现进程通讯的一种形式，它允许支持DDE 的两个或多个程序交换信息和命令。对一般用户可设为“已禁用”。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

36、Network Location Awareness (NLA)服务名称：Nla
进程名称：svchost.exe
功能说明：这个服务是Internet 网络连接共享所必需的，不过只要在服务端开启即可。
默认设置：手动
普通配置：手动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

37、NT LM Security Support Provider
进程名称：lsass.exe
功能说明：为没有使用命名管道传输的远程过程调用 (RPC) 程序提供安全性。管理系统安全信息，如果你启动了Telnet 服务，那么这个服务必须打开。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：手动
极端配置：已禁用

38、Performance Logs and Alerts服务名称：SysmonLog
进程名称：smlogsvc.exe
功能说明：按照计划收集系统性能数据，并将信息发送到日志或进行提醒。一般用户根本不需要它。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

39、Plug and Play服务名称：PlugPlay
进程名称：services.exe
功能说明：打开Windows 的即插即用功能，建议将其设置为：自动，如不然会导致注册表混乱。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：自动
极端配置：自动

40、Portable Media Serial Number服务名称：WmdmPmSp
进程名称：svchost.exe
功能说明：通过联网的计算机重新找回连接在你电脑上的移动播放器（MP3播放器等）的数字序号。一般情况下禁用即可。如果禁用后，你的Windows Media Player出现问题，需要将其开启。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

41、Print Spooler服务名称：Spooler
进程名称：spoolsv.exe
功能说明：打印后台处理，该服务的作用是将多个请求打印的文档统一进行保存和管理，待打印机空闲后，再将数据送往打印机处理。无任何打印设备的用户设置为“已禁用”，否则设为“自动”。请注意：
如果你启用了传真服务（Fax Service）的话，就应该保持自动状态，因为传真服务依赖Print Spooler的运行。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：自动
极端配置：已禁用

42、Protected Storage服务名称：Protected Storage
进程名称：lsass.exe
功能说明：该服务主要用来保存本地密码，比如：拨号密码和Outlook密码等，或网络站点用户名、密码等信息（IE 的自动完成需要它的支持）。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

43、QoS RSVP服务名称：RSVP
进程名称：rsvp.exe
功能说明：QoS是网络的一种安全机制。在正常情况下并不需要QoS，但是对关键应用和多媒体应用就十分必要。当网络过载或拥塞时，QoS 能确保重要业务量不受延迟或丢弃，同时保证网络的高效运行。如果你经常使用Windows Media Player收看或收听网络电视或广播，或者使用NetMeeting，那么就得将其设置为“自动”。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

44、Remote Access Auto Connection Manager服务名称：RasAuto
进程名称：svchost.exe
功能说明：当某个程序需要远程地址时，该服务会创建到网络的连接。有时你的网络连接需要这个服务。同时，一些Cable或DSL服务提供商需要这个服务，你可以尝试将其设置为禁用，并测试网络连接是否正常。如果你使用了硬件路由器和网关，那么此服务就不必要了。
默认设置：手动
普通配置：手动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

45、Remote Access Connection Manager
服务名称：RasMan
进程名称：svchost.exe
功能说明：用于创建网络连接，如果你使用了Internet共享，那么该服务就是必需的了。另外，一些Cable 和DSL 连接需要此服务才能正常运行。如果你使用了硬件网关和路由器，那么它就不必开启了。
默认设置：手动
普通配置：手动
网络配置：自动
单机配置：已禁用
极端配置：已禁用

46、Remote Desktop Help Session Manager
服务名称：RDSessMgr
进程名称：sessmgr.exe
功能说明：管理和控制远程助手。它大约会占用3.4～4MB的内存资源。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

47、Remote Procedure Call (RPC)
服务名称：RpcSs
进程名称：svchost.exe
功能说明：这个服务极为重要，许多其他服务需要它才能正常运行。而且如果你禁用了它，那么很可能导致电脑无法启动。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：自动
极端配置：自动

48、Remote Procedure Call (RPC) Locator服务名称：RpcLocator
进程名称：locator.exe
功能说明：用于管理RPC 名称服务数据库。一般情况下禁用即可，如果遇到网络断线，那么可以将其设置为手动。它将占用大约1.2MB的内存空间。
默认设置：手动
普通配置：手动
网络配置：手动
单机配置：手动
极端配置：已禁用

49、Remote Registry Service服务名称：RemoteRegistry
进程名称：svchost.exe
功能说明：远程注册表服务能使你在本机上编辑远程的另一台计算机上的注册表。普通用户根本没必要使用这个服务。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

50、Removable Storage
服务名称：NtmsSvc
进程名称：svchost.exe
功能说明：用于管理可移动存储媒体，比如：磁带机等，如果在禁用后，你的软盘、CD或DVD光驱出现问题（比如：如果自动播放等），那么可以将其设置为“自动”。
默认设置：自动
普通配置：自动
网络配置：自动
单机配置：自动
极端配置：自动

51、Routing and Remote Access服务名称：RemoteAccess
进程名称：svchost.exe
功能说明：提供通过Modem（或其他设备拨号）或VPN远程连接到局域网络的路由服务。启用后，控制面板中的网络连接的接入的连接图标将被激活。
默认设置：手动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

52、Run As Service服务名称：seclogon
进程名称：services.exe
功能说明：以其他用户身份运行服务的服务，当你以一般权限用户身份登录系统，而在使用中又需要修改只有系统管理员才能修改的系统设置项时，该服务提供了不 重启系统以管理员身份登录的捷径。你只需要在命令提示符下运行RunAs 命令就可达到更改目的。对于一般用户在未熟悉RunAs 命令用法之前可以将其设为“已禁用”。另外，按住Shift键再右击程序快捷方式后，在弹出菜单中选择“运行方式”可打开它的窗口。
默认设置： 已禁用
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

53、Secondary Logon服务名称：seclogon
进程名称：svchost.exe
功能说明：是Run As服务的辅助服务，在Windows XP中已经不再有Run As Service，而直接使用这个服务来实现，让你在当初账户下使用另外的账户启动程序。比如：当前的账户权限较低，无法使用一些系统工具，而利用这个服 务，则可以直接右击程序文件，然后选择“Run As”，接着就可以用管理员帐户启动系统工具，而不必重新登录。
默认设置：自动
普通配置：已禁用
网络配置：已禁用
单机配置：已禁用
极端配置：已禁用

54、Security Accounts Manager
服务名称：SamSs
进程名称：lsass.exe
功能说明：与“Protec

XPSP2我就21个
开始 运行 MSCONFIG 启动只保留CTFMON
开始运行 SERVICES.MSC找个朋友帮你禁用点服务

瑞星防火墙18.09中屏蔽Rfwproxy.exe的解决办法瑞星防火墙18.09版本可疑程序的解决办法！
自本星期一升级防火墙以来，很多人反映防火墙18.09版加了可疑程序rfwproxy.exe。其实这是个DL服务程序，而且随系统启动，占用了大约14M内存，对我等小内存来说就是个痛苦（我的是256M）。具体用途我现在还不大清楚，我已经向瑞星客服发了邮件，等一有消息就告诉大家。我觉得现在这个服务没什么用，还占地方，就把它停用了。有与我一样想法的朋友，可按照下面方法停用。
1、“开始”－－“控制面板”－－“管理工具”－－“服务”，打开服务窗口。
2、在右侧窗口中找到 rising proxy service 这个服务程序。
3、用右键点击这个服务程序，在弹出菜单中选 “属性”命令。
4、在“启动类型”项中选“已禁用”。
5、在“服务状态”区域中点“停用”按钮。
6、最后“确定”就行了。

rfwstub.exe
Language： English
名 称：rfwstub.exe
描 述：
瑞星的防火墙进程
分 析：
瑞星个人防火墙2008版，针对目前流行的黑客攻击、钓鱼网站、网络色情等做了针对性的优化，采用未知木马识别、家长保护、反网络钓鱼、
多账号管理、上网保护、模块检查、可疑文件定位、网络可信区域设置、IP攻击追踪等技术，可以帮助用户有效抵御黑客攻击、网络诈骗等安
全风险。
* 防火墙多账号管理，方便用户管理自己的电脑
* 未知木马识别，防范未知木马的攻击
* IE功能调用拦截，使IE浏览器不被病毒利用
* 提供强大的反钓鱼、防木马病毒网站功能
* 模块检查功能，阻止木马通过网络发送信息
官方网站：http://www.rising.com.cn/
用 途：防火墙
作 者：北京瑞星科技股份有限公司
属 于：瑞星防火墙

svchost.exe
进程文件： svchost or svchost.exe

进程名称： Microsoft Service Host Process

进程类别：其他进程

英文描述：

svchost.exe is a system process belonging to the Microsoft Windows Operating System which handles processes executed from DLLs. This program is important for the stable and secure running of your computer and should not be terminated. Note: svchost.

中文参考：

svchost.exe是一个属于微软Windows操作系统的系统程序，用于执行DLL文件。这个程序对你系统的正常运行是非常重要的。注意：svchost.exe也有可能是W32.Welchia.Worm病毒，它利用Windows LSASS漏洞，制造缓冲区溢出，导致你计算机关机。更多详细信息参考:http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx，该进程的安全等级是建议立即删除。

出品者：Microsoft Corp.

属于：Microsoft Windows Operating System

系统进程：Yes

后台程序：Yes

网络相关：Yes

常见错误：N/A

内存使用：N/A

安全等级 (0-5): 0

间谍软件：No

广告软件：No

病毒：No

木马：No

发现

在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务（remoteprocedurecall）、dmserver服务（logicaldiskmanager）、dhcp服务（dhcpclient）等。

如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist-s”命令来查看，该命令是win2000supporttools提供的。在winxp则使用“tasklist/svc”命令。

svchost中可以包含多个服务

深入

windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot%system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由svchost.exe进程来启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？

原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以rpcss（remoteprocedurecall）服务为例，进行讲解。

从启动参数中可见服务是靠svchost来启动的。

实例

以windowsxp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remoteprocedurecall”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchost-krpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。

在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machinesystemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost-krpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“%systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。

解惑

因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。

假设windowsxp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
=========================================================
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++

Svchost.exe说明解疑对Svchost的困惑
---------------
2006年12月21日
Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的%systemroot%\system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依靠Svchost.exe怎样和在那里启动。这样就更加容易控制和查找错误。
.
Svchost.exe 组是用下面的注册表值来识别。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
每个在这个键下的值代表一个独立的Svchost组，并且当你正在看活动的进程时，它显示作为一个单独的例子。每个键值都是REG_MULTI_SZ类型的值而且包括运行在Svchost组内的服务。每个Svchost组都包含一个或多个从注册表值中选取的服务名，这个服务的参数值包含了一个ServiceDLL值。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Service
.
.
更多的信息
.
为了能看到正在运行在Svchost列表中的服务。
开始－运行－敲入cmd
然后在敲入 tlist -s （tlist 应该是win2k工具箱里的东东）
Tlist 显示一个活动进程的列表。开关 -s 显示在每个进程中的活动服务列表。如果想知道更多的关于进程的信息，可以敲 tlist pid。
Tlist 显示Svchost.exe运行的两个例子。
0 System Process
8 System
132 smss.exe
160 csrss.exe Title:
180 winlogon.exe Title: NetDDE Agent
208services.exe
Svcs: AppMgmt,Browser,Dhcp,dmserver,Dnscache,Eventlog,lanmanserver,LanmanWorkst
ation,LmHosts,Messenger,PlugPlay,ProtectedStorage,seclogon,TrkWks,W32Time,Wmi
220 lsass.exe Svcs: Netlogon,PolicyAgent,SamSs
404 svchost.exe Svcs: RpcSs
452 spoolsv.exe Svcs: Spooler
544 cisvc.exe Svcs: cisvc
556 svchost.exe Svcs: EventSystem,Netman,NtmsSvc,RasMan,SENS,TapiSrv
580 regsvc.exe Svcs: RemoteRegistry
596 mstask.exe Svcs: Schedule
660 snmp.exe Svcs: SNMP
728 winmgmt.exe Svcs: WinMgmt
852 cidaemon.exe Title: OleMainThreadWndName
812 explorer.exe Title: Program Manager
1032 OSA.EXE Title: Reminder
1300 cmd.exe Title: D:\WINNT5\System32\cmd.exe - tlist -s
1080 MAPISP32.EXE Title: WMS Idle
1264 rundll32.exe Title:
1000 mmc.exe Title: Device Manager
1144 tlist.exe
在这个例子中注册表设置了两个组。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost:
netsvcs: Reg_Multi_SZ: EventSystem Ias Iprip Irmon Netman Nwsapagent RasautoRa
sman Remoteaccess SENS Sharedaccess Tapisrv Ntmssvc
rpcss :Reg_Multi_SZ: RpcSs
smss.exe
csrss.exe
这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss 负责控制windows，创建或者删除线程和一些16位的虚拟MS-DOS环境。

rfwmain.exe
进程文件: rfwmain.exe
进程名称: rfwmain.exe
英文描述: Rising Personal FireWall Main Program
进程分析: 瑞星防火墙主程序。
进程位置:c:\program files\rising\rfw\RfwMain.exe
程序用途: unknown
作者: Beijing Rising Technology Co., Ltd.
安全等级 (0-5): N/A (N/A无危险 5最危险)
间谍软件: 否
广告软件: 否
病毒: 否
木马: 否
系统进程: 否
应用程序: 否
后台程序: 否
使用访问: 否
访问互联网: 否

spoolsv.exe
spoolsv.exe 是Print Spooler的进程，管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用，本地计算机上的打印将不可用。该进程属 Windows 系统服务。

正常spoolsv进程信息
进程文件： spoolsv or spoolsv.exe
进程名称： Microsoft Printer Spooler Service

描述：
spoolsv.exe用于将Windows打印机任务发送给本地打印机。注意spoolsv.exe也有可能是Backdoor.Ciadoor.B木马。该木马允许攻击者访问你的计算机，窃取密码和个人数据。该进程的安全级别是建议立即删除。

出品者： Microsoft Corp.
属于：Microsoft Windows 2000 and later

系统进程： 是
后台程序： 是
使用网络： 否
硬件相关： 否
常见错误： 未知N/A
内存使用： 未知N/A
安全等级 (0-5): 0
间谍软件： 否
Adware: 否
病毒： 否
木马: 否

木马spoolsv进程信息:

描述:
这个垃圾软件利用将msicn\msibm.dll插入多个进程的方法对系统进行监控，在system32下创建如下该死的东西：

wmpdrm.dll
1116\
msicn\msibm.dll
msicn\ube.exe
msicn\plugins\
spoolsv\spoolsv.exe(这个还长得像微软打印服务，shit！！）

注册表加入如下垃圾：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"spoolsv"="%System%\spoolsv\spoolsv.exe -printer"
[HKEY_CLASSES_ROOT\CLSID\\InprocServer32]
@="%System%\wmpdrm.dll"
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho]
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho.1]
[HKEY_CLASSES_ROOT\TypeLib\]
[HKEY_CLASSES_ROOT\Interface\]

然后每隔4秒左右对以上东西进行监控，前后互相照应，让你无从下手

启动项 c:/windows/system32/spoolsv/spoolsv.exe -printer

cfs2…… 相关文件、目录：

%System%\wmpdrm.dll
%System%\1116\
%System%\msicn\msibm.dll
%System%\msicn\ube.exe
%System%\msicn\plugins\
%System%\spoolsv\spoolsv.exe
%System%\spoolsv\spoolsv.exe，有一个启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"spoolsv"="%System%\spoolsv\spoolsv.exe -printer"

运行后会调用%System%\msicn\msibm.dll，创建%System%\1116\目录，备份用。

%System%\1116\目录是备份目录，里面是%System%\wmpdrm.dll、%System%\msicn\和%System%\spoolsv\spoolsv.exe的备份。

%System%\msicn\msibm.dll，会插入多个指定进程，大约每4秒钟监视恢复文件（从%System%\1116\目录）和注册表信息（启动项、BHO）：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"spoolsv"
[HKEY_CLASSES_ROOT\CLSID\\InprocServer32]
@="%System%\wmpdrm.dll"

注："spoolsv"的数据不会被监视，所以修改它的数据也不会被恢复，只有删除"spoolsv"才会被恢复。

还可能会从远程服务器下载文件：

http://liveupdate.ourxin.com/secp.exe
secp.exe是个安装程序，安装以下文件：

%System%\wmpdrm.dll
%System%\msicn\ube.exe
%System%\msicn\plugins\（目录里4个dll文件）
%System%\wmpdrm.dll是一个BHO，%System%\msicn\ube.exe像是卸载程序。

另外，在%System%\和%System%\msicn\目录里还有有一些从远程下载来的cpz、vxd文件，比如：

ava.vxd
guid.vxd
plgset.vxd
safep.vxd
%System%\wmpdrm.dll作为BHO被调用后，会尝试调用%System%\spoolsv\spoolsv.exe和%System%\msicn\msibm.dll。

注：如果%System%\spoolsv\spoolsv.exe没有被运行或被调用，也就不会备份还原，好像它就是用来备份的。

另外……

在“开始菜单”>>“程序”里 可能 会有一项“NavAngel”，里面有个快捷方式NavAngel.lnk，指向：%System%\spoolsv\spoolsv.exe -ctrlfun:4,3

“添加/删除程序”里有一项“NavAngel”，对应命令是：%System%\spoolsv\spoolsv.exe -ctrlfun:4,2

还有一项“WinDirected 2.0”，对应命令是：%System%\spoolsv\spoolsv.exe -uninst

还可能会有mscache\目录，从名字看像是存放临时缓存文件的。

BHO相关注册表信息：
[HKEY_CLASSES_ROOT\CLSID\]
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho]
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho.1]
[HKEY_CLASSES_ROOT\TypeLib\]
[HKEY_CLASSES_ROOT\Interface\]

判别自己是否中毒:

1、点开始－运行，输入msconfig，回车，打开实用配置程序，选择“启动”， 感染以后会在启动项里面发现运行Spoolsv.exe的启动项， 每次进入windows会有NTservice的对话框。

2、打开系统盘，假设C盘，看是否存在C:\WINDOWS\system32\spoolsv文件夹，里面有个spoolsv.exe文件，有“傲讯浏览器辅助工具”的字样说明，正常的spoolsv.exe打印机缓冲池文件应该在C:\WINDOWS\system32目录下。

3，打开任务管理器，会发现spoolsv.exe进程，而且CPU占用率很高。

清除方法：

1、重新启动，开机按F8进入安全模式。

2、点开始－运行，输入cmd，进入dos。

利用rd命令删除以下目录（如果存在）（ 在dos窗口下输入：rd(空格）C:\WINDOWS\system32\spoolsv/s，回车，出现提示，输入y回车，即可删除整个目录。）：

C:\WINDOWS\system32\msibm
C:\WINDOWS\system32\spoolsv
C:\WINDOWS\system32\bakcfs
C:\WINDOWS\system32\msicn

利用del命令删除下面的文件（如果存在）（比如在dos窗口下输入：del(空格）C:\windows\system32\spoolsv.exe，回车，即可删除被感染的spoolsv.exe，这个文件可以在杀毒结束后在别的正常的机器上复制正常的spoolsv.exe粘贴到
C:\windows\system32文件夹。）：

C:\windows\system32\spoolsv.exe
C:\WINDOWS\system32\wmpdrm.dll

3、重启按F8再次进入安全模式。

（1）桌面右键点击我的电脑，选择“管理”，点击“服务和应用程序”-“服务”，右键点击
NTservice，选择“属性”，修改启动类型为“禁用”。
、
（2）点开始，运行，输入regedit，回车打开注册表，点菜单上的编辑，选择查找，查找含有spoolsv.exe的注册表项目，删除。可以利用F3继续查找，将含有spoolsv.exe的注册表项目全部删除。

4、若以上操作完成后,仍然有该进程。请桌面右键点击我的电脑，选择“管理”，点击“服务和应用程序”-“服务”，右键点击print spooler，选择“属性”，先点“停止”然后修改启动类型为手动或“禁用”。随后重复以上步骤。

另外解决方案 直接删除C:\WINDOWS\system32\spool\PRINTERS 下的文件即可

我还遇到一种情况：经检查，不是以上所描述的病毒，但经常占CPU 100％，但是连续关进程几次，便不再出现，奇怪。
如上所述，在system32里有 spool文件夹。直接把 \PRINTERS 下的文件删除，便解决了这个问题。
这可能不是“病毒”问题，而是系统的故障，但出现了还是很麻烦的。

-----------------------------------------------------------------
微软的解释

Windows 2000 后台打印程序没有删除打印作业后台文件

症状
您向打印机发送打印作业时，后台打印程序在打印作业完成后可能没有从 %Systemroot%\System32\Spool\Printers 文件夹删除打印后台文件，因而后台打印程序可能会反复地尝试对该打印作业进行后台处理。
该打印后台文件的存在并不会阻止其他打印作业的后台处理。

原因
如果打印作业的打印后台文件具有只读属性，就会发生这种问题。

解决方案
为避免发生此问题，请不要在打印后台文件位于 %Systemroot%\System32\Spool\Printers 文件夹中时更改它的属性。
要解决此问题，请删除只读属性，然后将该后台文件从 %Systemroot%\System32\Spool\Printers 文件夹中删除。
要删除只读属性，请右键单击 Windows 资源管理器或我的电脑中的后台文件，单击属性，单击清除只读复选框，然后单击确定。
有关如何在 Windows 2000 中删除文件的更多信息，请单击开始，单击帮助，单击索引选项卡，键入删除，然后双击删除文件主题。

状态
这种现象是设计所导致的。

更多信息
默认情况下，打印后台文件只有存档属性。打印后台文件属性只会在以下情况下发生更改：当文件位于 %Systemroot%\System32\Spool\Printers 文件夹中时，程序更改了它的属性；或者，用户或管理员特意更改了文件属性。
回到顶端

CCenter.exe
进程文件:ccenter 或 ccenter.exe
进程名称:ccenter.exe
描述:ccenter.exe是瑞星信息中心，是瑞星杀毒软件的组件。
出品者:瑞星
属于:瑞星
系统进程:否
后台进程:是
使用网络:否
硬件相关:否
常见错误:未知
内存使用:1796k
安全等级:0
间谍软件:否
广告软件:否
病毒:否
木马: 否

RFW开头的是瑞星的进程
LASASS 和 SVCHOST是系统关键进程
SPOOLSV是打印机的（可以关闭）
CCENTER是安全中心的（也可关闭）

---

南汇区13317434818： 关于进程问题？
蔽叔维博： 这个非常安全 , 显示系统空闲进程的

南汇区13317434818： 关于进程问题？
蔽叔维博： 第一个是正常的系统进程,explorer.exe是连接桌面的进程,你打开任务管理器,新任务explorer.exe就行了 嗯,不过你的进程也太多了,四十多,正常32个.

南汇区13317434818： 关于进程问题？
蔽叔维博： 朋友,这是正常的进程; explorer.exe是用来显示桌面的; iexplore.exe是IE的进程,打开网页就有.

南汇区13317434818： 关于进程问题？
蔽叔维博： csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 管理IP安全策略以及启动ISAKMP/Oakley(IKE)和IP安全驱动程序.(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据...

南汇区13317434818： 关于进程的问题! - ？
蔽叔维博： 会,查出进程来删除他的源文件就可以了,或者点开始运行msconfig 点启动项把这四个进程的程序去掉勾.

南汇区13317434818： 问几个关于进程的问题？
蔽叔维博：很正常啊,89是CPU剩余量,28K是使用内存量svchost相当于宿主,可执行程序指向 svchost,由svchost调用相应服务的动态链接库来启动服务,所以看见多个很正常

南汇区13317434818： 关于系统进程问题？
蔽叔维博： System Idle Process 是WIN2000/XP以上系统所有的,“System Idle Process”进程其实是“系统空闲进程”.是在CPU空闲的时候,发出一个IDLE命令,使CPU挂起(暂时停止工作),可有效的降低CPU内核的温度,在操作系统服务里面,都没有禁止它的选项; 默认它是占用除了当前应用程序所分配的处理器(CPU)百分比之外的所有占用率;;一旦应用程序发出请求,处理器会立刻响应的.在这个进程里出现的CPU占用数值并不是真正的占用而是体现的CPU的空闲率,也就说这个数值越大CPU的空闲率就越高,反之就是CPU的占用率越高.

南汇区13317434818： 关于进程的问题我家机子开机后进程里就有很多的进程,在安全模式里就 ？
蔽叔维博： 先禁用除输入法(ctfmon),杀毒,防火墙外的所有启动项,在＂开始＂-＂运行＂... 禁止过多的自启动项. 本人觉得除系统需要的,杀毒,防火墙外的进程都可终止它们随...

南汇区13317434818： 关于计算机进程的若干问题 - ？
蔽叔维博： ekrn.exe是可疑进程,如果不是你安装的程序的进程,就是病毒进程;iexplore.exe正常情况下是IE浏览器的进程,但是有木马病毒同样使用这个进程.如果没有开启IE浏览器,进程里面出现这个进程...

南汇区13317434818： 关于进程的问题？
蔽叔维博： 当然有关了.一般来说,进程越多,CPU使用率越大.当然了,CPU使用率我们看到的是一个总和,即所有的进程之和,对有些进程来说,占用CPU比较多,有些甚至于到达了百分之百.进程是CPU里正在运行的程序,这些都是并行程序,它们都要依靠CPU进行计算和控制.