前言

打開工作管理員的「進程」頁籤，您會看到數十個陌生的 .exe 名稱。哪些是系統核心？哪些可能是病毒偽裝？本文詳細解析 XP 常見系統進程的正規功能、檔案路徑、典型特徵，並提供辨識惡意程式的實用判斷準則。

一、核心系統進程（缺一不可）

進程名稱	完整路徑 (預設)	功能說明	備註
System Idle Process	N/A (核心)	CPU 閒置百分比顯示，非實際程式	佔用 99% 為正常
System	N/A (核心)	核心模式驅動程式容器，處理記憶體管理、硬體中斷	PID 為 4
smss.exe	C:\Windows\System32\	工作階段管理員，啟動用戶會話、建立環境變數	啟動 csrss.exe、winlogon.exe
csrss.exe	C:\Windows\System32\	用戶端/伺服器執行子系統，管理主控台視窗、執行緒、16 位虛擬 DOS 環境	每個會話一個實例
winlogon.exe	C:\Windows\System32\	登入/登出、安全性注意序列 (Ctrl+Alt+Del)、載入用戶設定檔	關鍵進程，結束會導致藍屏
services.exe	C:\Windows\System32\	服務控制管理器 (SCM)，啟動/停止系統服務	父進程為 wininit.exe (Vista+) 或 smss.exe
lsass.exe	C:\Windows\System32\	本地安全性授權子系統，處理驗證、權杖、安全性原則	常被木馬注入竊取密碼雜湊
explorer.exe	C:\Windows\	Windows 殼層：桌面、工作列、開始功能表、檔案總管	用戶登入後自動啟動
spoolsv.exe	C:\Windows\System32\	列印佇列管理服務	無印表機可停用
svchost.exe	C:\Windows\System32\	服務宿主進程，載入 DLL 形式的服務 (如 Windows Update、音訊、網路)	正常會有多個實例，各載入不同服務群組

二、常見系統輔助進程

進程	描述	正規路徑	異常徵兆
alg.exe	應用層閘道服務，支援網路共享 (ICS、防火牆)	System32	非 System32 路徑
DirectDraw Helper，DirectX 圖形元件	System32	罕見偽裝
dllhost.exe	DCOM DLL Host，載入 COM 元件	System32	大量實例或高 CPU 可能中毒
inetinfo.exe	IIS 管理服務	System32\inetsrv	未安裝 IIS 卻存在
internat.exe	輸入法指示器 (系統匣圖示)	System32	正常
kernel32.dll	核心 DLL，非獨立進程 (任務管理員誤顯)	System32	不應出現在進程清單
mdm.exe	Machine Debug Manager，VS/Office 腳本除錯	Program Files\Common Files\Microsoft Shared\VS7Debug	未安裝開發工具卻存在
mmtask.tsk	多媒體排程器 (MIDI 等)	System32	正常
mprexe.exe	網路提供者路由器	System32	正常
msgsrv32.exe	Windows 16 位訊息伺服器 (Win9x 遺留)	System32	XP 罕見，可能為惡意程式

三、病毒/木馬常見偽裝手法與辨識口訣

1. 路徑偽裝：正規系統進程絕對位於 C:\Windows\System32\ (或 C:\Windows\ 如 explorer.exe)。若在 C:\Windows\Temp\、C:\Program Files\、C:\Documents and Settings\ 等目錄執行，極大機率為惡意程式。
2. 拼字錯誤/相似命名：如 scvhost.exe (少 s)、explore.exe (少 r)、svch0st.exe (數字 0)、system.exe (System 不帶 .exe)。
3. 重複名稱但無簽章：右鍵進程 →「內容」→「數位簽章」，正規 Microsoft 檔案皆有有效簽章。
4. 無描述/版本資訊：正規檔案「詳細資料」頁籤含產品名稱、版權、版本號；惡意檔案通常空白或亂碼。
5. 啟動參數異常：使用 Process Explorer (Sysinternals) 查看命令列參數，異常參數常為惡意行為指令。

四、快速檢查工具推薦

• Process Explorer (Microsoft Sysinternals)：最強進程檢視器，顯示 DLL、控制代碼、TCP 連線、病毒總覽 (VirusTotal 整合)。
• Autoruns (Sysinternals)：全面掃描所有自動啟動點 (登錄、啟動資料夾、服務、排程任務、WMI 等)。
• HiJackThis / Trend Micro HijackThis：經典啟動項掃描，輸出日誌供分析。
• Windows Defender / MSE / 第三方防毒：定期全盤掃描。

五、懷疑中毒時的應急步驟

1. 斷開網路連線，防止資料外洩、惡意碼下載載荷。
2. 進入安全模式 (開機按 F8)，運行防毒全盤掃描。
3. 使用 Autoruns 禁用可疑啟動項，重啟驗證。
4. 檢查 hosts 檔 (C:\Windows\System32\drivers\etc\hosts) 是否被竄改。
5. 若核心系統檔案被感染，建議備份資料後重灌系統，較徹底可靠。

結語

認識正規進程特徵，是電腦維護的基本功。遇到陌生進程，先查路徑、再看簽章、最後用工具深度分析。養成定期檢查啟動項、保持防毒更新、不隨意執行不明程式的習慣，才是防禦惡意程式的最強盾牌。