工作管理員裡密密麻麻的系統程序名稱 (smss.exe, csrss.exe, svchost.exe...) 讓人頭暈？本文整理 Windows 核心程序的**正式名稱、啟動順序、核心職責、所屬服務群組、常見異常徵兆**，助你快速識別正常與異常 (惡意軟體偽裝)。

核心程序啟動順序與職責表 (Windows 10/11/Server 2019+)

程序名稱	完整名稱	啟動階段	核心職責	關鍵特徵
System (PID 4)	System Process	核心初始化最早	核心模式執行緒容器：記憶體管理、快取管理員、檔案系統驅動、ACPI、中斷處理。無使用者模式映像。	PID 恆為 4、無映像路徑、CPU 時間極高
smss.exe	Session Manager Subsystem	核心初始化後第一個使用者模式程序	建立環境變數、建立分頁檔、載入 Windows 子系統 (csrss.exe)、啟動 Winlogon、處理延遲重命名/刪除 (PendingFileRenameOperations)。	父進程 System、多實例 (每個 Session 一個)、路徑 %SystemRoot%\System32\smss.exe
csrss.exe	Client/Server Runtime Subsystem	Session 0 及每個使用者 Session 各一	使用者模式子系統核心：主控台視窗管理、執行緒/進程建立支援、關機處理、硬體錯誤彈窗。Win 7 後不再負責 GUI 繪製 (移至 win32k.sys)。	關鍵系統程序，結束即藍屏 (CRITICAL_PROCESS_DIED)
wininit.exe	Windows Initialization Process	Session 0 (系統會話)	啟動服務控制管理器 (services.exe)、LSASS (lsass.exe)、LSAIso (lsaiso.exe, VBS 啟用時)、字型快取服務。	父進程 smss.exe (Session 0 實例)
services.exe	Services Control Manager (SCM)	早期啟動	服務控制管理器：讀取登錄 HKLM\SYSTEM\CurrentControlSet\Services，依相依關係啟動/停止/暫停所有「自動」服務，處理服務控制請求。	父進程 wininit.exe、載入大量服務 DLL (svchost.exe)
lsass.exe	Local Security Authority Subsystem Service	早期啟動	**本地安全授權**：認證使用者 (登入/解鎖)、管理存取權杖 (Token)、執行安全性套件 (Kerberos, NTLM, Schannel, CredSSP)、儲存密碼雜湊/票據 (記憶體)、EFS/金鑰管理。	極高價值攻擊目標 (Mimikatz 等)、受保護程序光 (PPL) 防止記憶體讀取
winlogon.exe	Windows Logon Process	互動登入 Session	處理互動式登入/登出/鎖定/解鎖、載入使用者設定檔、啟動 Shell (explorer.exe)、安全性注意序列 (SAS, Ctrl+Alt+Del)、螢幕保護啟動。	每個登入 Session 一個、父進程 smss.exe (Session n 實例)
svchost.exe	Service Host Process	服務啟動時	**通用服務宿主**：載入以 DLL 形式實作的 Windows 服務 (非獨立 exe)。一個 svchost 可載入多個服務 (共享進程節省資源)，依服務群組分組 (如 netsvcs, LocalSystemNetworkRestricted, DcomLaunch...)。	大量實例、命令列含 -k GroupName、tasklist /svc /fi "imagename eq svchost.exe" 查看內含服務
spoolsv.exe	Print Spooler Service	列印服務啟動時	管理列印佇列、驅動程式隔離、網路列印轉發。可停用若無列印需求。	服務名 Spooler、常被駭客利用提權 (PrintNightmare CVE-2021-34527)
explorer.exe	Windows Explorer (Shell)	使用者登入後	桌面 Shell：工作列、開始選單、檔案總管、桌面圖示、右鍵選單、命名空間擴充、DDE/COM 伺服器。	使用者權限、每 Session 一個、掛掉可重啟 (Ctrl+Shift+Esc → 檔案 → 執行新工作 → explorer.exe)
taskhostw.exe	Task Host Window	登入後	託管以 DLL 形式實作的背景工作 (如 Windows Update、同步中心、推播通知平台)，類似 svchost 但屬使用者 Session。	多實例、命令列含 {GUID} 識別工作
RuntimeBroker.exe	Runtime Broker	UWP 應用啟動時	管理 UWP (通用 Windows 平台) 應用的權限存取 (麥克風、位置、相機、聯絡人等)、應用生命週期、背景工作註冊。	記憶體佔用通常 < 50 MB，異常高可能為 UWP 應用洩漏
SearchIndexer.exe	Microsoft Windows Search Indexer	背景	建立/維護全文索引 (檔案內容、屬性、郵件、OneNote)，提供極速搜尋。可暫停/限制資源。	服務名 WSearch、I/O 密集、SSD 影響較小
MsMpEng.exe	Microsoft Malware Protection Engine (Defender)	即時保護啟動時	Windows Defender 核心掃描引擎：即時掃描、雲端查詢、行為監控、修復。高 CPU 通常為掃描壓縮檔/大量寫入。	服務名 WinDefend、受 PPL 保護、可排除路徑/副檔名/進程降低負載
Memory Compression	Memory Compression Process	記憶體壓力時	將未使用記憶體頁面壓縮存放於系統程序記憶體中 (非分頁檔)，減少分頁 I/O，提升回應。Win 10 1607+ 引入。	工作管理員「詳細資料」可見、不可終止、屬 System 進程一部分

其他常見系統程序速查

程序	說明
fontdrvhost.exe	字型驅動程式宿主 (使用者模式字型解析，安全性隔離)
dwm.exe	Desktop Window Manager (桌面合成、Aero/玻璃效果、HDR、多顯示器合成)
sihost.exe	Shell Infrastructure Host (開始選單、動作中心、通知、磚狀動態更新)
StartMenuExperienceHost.exe	開始選單獨立進程 (Win 10 1903+ 分離，提升穩定性)
ShellExperienceHost.exe	舊版 UWP Shell 宿主 (Win 10 早期，已被上述取代)
SecurityHealthService.exe	Windows 安全性中心服務 (病毒防護、防火牆、裝置效能狀態監控)
WmiPrvSE.exe	WMI Provider Host (WMI 查詢執行宿主，高 CPU 通常為惡意查詢或效能計數器輪詢)
audiodg.exe	Windows Audio Device Graph Isolation (音效處理隔離，第三方 APO 載入於此)
NisSrv.exe	Microsoft Network Inspection System (Defender 網路行為監控、漏洞利用防護)
Vmmem.exe	Hyper-V / WSL2 / 沙箱 虛擬機記憶體容器進程 (記憶體佔用 = VM 配置記憶體)

快速辨識惡意軟體偽裝系統程序

• 路徑檢查：正規系統程序 **必須** 在 C:\Windows\System32\ (或 SysWOW64 32-bit) 或 WinSxS。其他路徑 (Temp, AppData, ProgramData, 根目錄) **極高機率為惡意軟體**。
• 數位簽章：右鍵屬性 → 數位簽章 → 驗證簽發者為 Microsoft Windows / Microsoft Corporation。
• 父進程：使用 Process Explorer / Process Hacker 檢查父進程是否符合預期 (如 svchost 父進程應為 services.exe)。
• 命令列參數：svchost 必須帶 -k GroupName；異常參數或無參數可疑。
• 網路連線：系統程序通常不主動對外連線 (除 Windows Update、Defender 雲端、時間同步、授權驗證)。

收藏此表，下次打開工作管理員看到陌生名稱，幾秒鍵即可判斷友軍還是敵軍。