任務管理器裡常見的 Explorer.exe 與 Svchost.exe，常被誤判為病毒。實則它們是 Windows 核心進程，了解其特性與差異，才能在異常時冷靜判斷。
Explorer.exe——桌面殼的守門人
Windows 9x 時代
- 系統必需進程，結束會觸發桌面刷新並更新註冊表。
- 技巧：Ctrl+Alt+Del 結束 Explorer，在「關閉 Windows」對話框選「否」，再次提示時選「結束任務」，即可不重啟電腦刷新註冊表。
Windows 2000/XP/NT 核心系列
- 非系統必需，可安全結束。結束後桌面圖示、任務列消失，但已運行程式不受影響。
- 需啟動新程式時：
① 任務管理器 → 「應用程式」→「新增工作」輸入路徑；
② 在運行中程式的「檔案→開啟」對話框中瀏覽啟動（Office 除外）。
- 結束可釋放約 4.5 MB 記憶體，對資源緊張機器有顯著加速效果。
Svchost.exe——服務宿主的多面手
- NT 核心系統（2000/XP/2003…）不可或缺的共享進程，
%SystemRoot%\System32\svchost.exe。
- 微軟為節省資源，將眾多系統服務（RPC、DHCP、事件日誌…）打包由多個 Svchost 實例共享載入。
Win2000 通常 2 個，XP 4 個以上，2003 更多——多個實例屬正常現象。
- 查看具體服務：
Win2000: tlist -s（需 Support Tools）
XP/2003+: tasklist /svc
- 病毒/木馬常偽裝同名文件放置於非標準路徑，或注入合法 Svchost。判斷依據：路徑、簽名、啟動參數、網絡行為。
快速辨別真偽口訣
- 看路徑：唯有
%SystemRoot%\System32\ 下的才是正版。
- 看簽名：右鍵屬性 →「數位簽章」應為 Microsoft Windows Publisher。
- 看命令列：正常 Svchost 帶
-k 參數（如 -k netsvcs）。
- 看網絡：正常 Svchost 只建立系統必要連接，異常連接外部可疑 IP 需警惕。
熟悉核心進程行為，是系統安全排查的基本功。下次見到多個 Svchost，請先查服務清單，再下結論。