打開工作管理員「處理程序」頁籤，面對密密麻麻的 .exe 名稱 (Csrss、Ctfmon、Svchost、Lsass…)，哪些是系統核心？哪些可安全結束？哪些是病毒偽裝重災區？本文建立**權威進程圖鑑**，附記憶體佔用、功能說明、可否結束、偽裝辨識要點。
核心系統進程 (嚴禁結束)
| 進程名 | 完整名稱 | 功能 | 典型記憶體 | 偽裝特徵 |
|---|
| System Idle Process | 系統閒置進程 | CPU 閒置百分比統計 (99% = 閒置 99%) | 0 KB (虛擬) | 無 (PID 0) |
| System | 核心系統進程 | 核心模式驅動程式執行緒容器 (PID 4) | 變動 | 路徑非 C:\Windows\System32\ |
| Smss.exe | Session Manager Subsystem | 建立使用者會話、載入核心子系統 | ~400 KB | 非 System32 路徑、無簽章 |
| Csrss.exe | Client/Server Runtime Subsystem | 使用者模式圖形/主控台子系統 | 3-6 MB | 多於 1 個實例 (每 Session 1 個) |
| Wininit.exe | Windows Initialization | 啟動服務控制管理器 (services.exe) | ~500 KB | 路徑異常 |
| Services.exe | Service Control Manager | 管理所有 Windows 服務啟動/停止 | 5-10 MB | 路徑異常 |
| Lsass.exe | Local Security Authority Subsystem | 認證、權杖、安全原則 (極高價值目標) | 5-15 MB | **最常被偽裝** (lsass.exe 小寫、路徑錯誤、無簽章) |
| Winlogon.exe | Windows Logon | 互動式登入、安全注意序列 (Ctrl+Alt+Del) | 3-8 MB | 非 System32、多實例 |
| Explorer.exe | Windows Explorer | 桌面、工作列、開始選單、殼命名空間 | 5-36 MB | 用戶權限而非 SYSTEM、路徑異常 |
| Svchost.exe | Service Host | 共享進程載入 DLL 服務 (見下表) | 各異 | 路徑非 System32、命令列無 -k 參數、無簽章 |
常見 Svchost 服務群組對照 (XP/2003 典型)
| 參數 (-k) | 服務群組 | 典型服務 |
|---|
| DcomLaunch | DCOM 啟動 | DcomLaunch, PlugPlay, Power |
| RpcSs | RPC 端點對應器 | RpcSs |
| LocalService | 本地服務 (低權限) | WebClient, SSDP, W32Time |
| NetworkService | 網路服務 (網路權限) | Dhcp, Dnscache, PolicyAgent |
| Netsvcs | 網路服務群組 | AudioSrv, Browser, CryptSvc, EventLog, LanmanServer, LanmanWorkstation, WZCSVC |
| Imgsvc | Windows 影像獲取 | StiSvc |
查看完整對應：Win+R → tasklist /svc /fi "imagename eq svchost.exe" (XP/2003) 或工作管理員「詳細資料」→ 右鍵 Svchost → 「前往服務」。
常見使用者模式進程 (可選擇性結束)
| 進程 | 來源/功能 | 記憶體 | 建議 |
|---|
| Ctfmon.exe | 輸入法/語言列 (Office/XP) | 1.5-4 MB | 不需語言列可停用 (控制台 → 地區語言 → 語言列 → 關閉) |
| Dovldr32.exe | Creative Sound Blaster Live 驅動 | 2.3-2.6 MB | 無創新聲卡可停用/移除驅動 |
| IEXPLORE.EXE | Internet Explorer | 7 MB+ | 關閉視窗後仍駐留 (預載)，可結束釋放記憶體 |
| Msmsgs.exe | Windows Messenger | 2-4 MB | 不用 MSN 可停用服務/移除元件 |
| Msn6.exe | MSN Explorer | 5-10 MB | 同上 |
| Navpw32.exe | Norton AntiVirus 2002 監控 | 3-8 MB | 若改用其他防毒請完整移除 Norton |
| Point32.exe | IntelliMouse/特殊滑鼠驅動 | 1.1-1.6 MB | XP 內建支援多鍵滑鼠，通常可移除 |
| Promon.exe | Intel 顯卡控制面板圖示 | 0.6-1.1 MB | 不需熱鍵切換解析度可停用 |
| Mmtask.tsk | 多媒體排程器 (MIDI 等) | ~500 KB | 罕用可停用 |
病毒偽裝進程命名規律 (高危)
- 拼寫微調：
svch0st.exe、expl0rer.exe、lsass.exe (小寫 L)、system.exe (非 System)。
- 路徑異常：
C:\Windows\Temp\、C:\Documents and Settings\...\Local Settings\Temp\、C:\Program Files\Common Files\。
- 無數位簽章 / 簽章非 Microsoft / 簽章已撤銷。
- 命令列參數異常 (無
-k、帶奇怪參數)。
快速驗證三步驟
- 工作管理員 → 「檢視」→ 「選擇欄位」→ 勾選「映像路徑名稱」、「命令列」、「使用者」。
- 可疑進程右鍵 → 「開啟檔案位置」→ 檢查路徑與簽章。
- 上傳可疑檔案至 VirusTotal 多引擎掃描。