任何病毒和木马存在于系统中，都无法彻底和进程脱离关系，即使采用了隐藏技术，也还是能够从进程中找到蛛62616964757a686964616fe78988e69d8331333337383236丝马迹，因此，查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多，哪些是正常的系统进程，哪些是木马的进程，而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢？请看本文。

　　病毒进程隐藏三法

　　当我们确认系统中存在病毒，但是通过“任务管理器”查看系统中的进程时又找不出异样的进程，这说明病毒采用了一些隐藏措施，总结出来有三法：

　　1.以假乱真

　　系统中的正常进程有：svc日夏养花网host.exe、explorer.exe、iexplore.exe、winlogon.exe等，可能你发现过系统中存在这样的进程：svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下，发现区别了么？这是病毒经常使用的伎俩，目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0，l改为i，i改为j，然后成为自己的进程名，仅仅一字之差，意义却完全不同。又或者多一个字母或少一个字母，例如explorer.exe和iexplore.exe本来就容易搞混，再出现个iexplorer.exe就更加混乱了。如果用户不仔细，一般就忽略了，病毒的进程就逃过了一劫。

　　2.偷梁换柱

　　如果用户比较心细，那么上面这招就没用了，病毒会被就地正法。于是乎，病毒也学聪明了，懂得了偷梁换柱这一招。如果一个进程的名字为svchost.exe，和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢？非也，其实它只是利用了“任务管理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:WINDOWSsystem32”目录下（Windows2000则是C:WINNTsystem32目录），如果病毒将自身复制到“C:WINDOWS”中，并改名为svchost.exe，运行后，我们在“任务管理器”中看到的也是svchost.exe，和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗？

　　3.借尸还魂

　　除了上文中的两种方法外，病毒还有一招终极大法——借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术，将病毒运行所需的dll文件插入正常的系统进程中，表面上看无任何可疑情况，实质上系统进程已经被病毒控制了，除非我们借助专业的进程检测工具，否则要想发现隐藏在其中的病毒是很困难的。

　　系统进程解惑

　　上文中提到了很多系统进程，这些系统进程到底有何作用，其运行原理又是什么？下面我们将对这些系统进程进行逐一讲解，相信在熟知这些系统进程后，就能成功破解病毒的“以假乱真”和“偷梁换柱”了。

　　svchost.exe

　　常被病毒冒充的进程名有：svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的，它们把可执行程序指向scvhost，由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务，双击其中“ClipBook”服务，在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务，可以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”，而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用，可以省下不少系统资源，因此系统中出现多个svchost.exe，其实只是系统的服务而已。

　　在Windows2000系统中一般存在2个svchost.exe进程，一个是RPCSS(RemoteProcedureCall)服务进程，另外一个则是由很多服务共享的一个svchost.exe；而在WindowsXP中，则一般有4个以上的svchost.exe服务进程。如果svchost.exe进程的数量多于5个，就要小心了，很可能是病毒假冒的，检测方法也很简单，使用一些进程管理工具，例如Windows优化大师的进程管理功能，查看svchost.exe的可执行文件路径，如果在“C:WINDOWSsystem32”目录外，那么就可以判定是病毒了。

　　explorer.exe

　　常被病毒冒充的进程名有：iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束，那么包括任务栏、桌面、以及打开的文件都会统统消失，单击“任务管理器”→“文件”→“新建任务”，输入“explorer.exe”后，消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理计算机中的资源。

　　explorer.exe进程默认是和系统一起启动的，其对应可执行文件的路径为“C:Windows”目录，除此之外则为病毒。

　　iexplore.exe

　　常被病毒冒充的进程名有：iexplorer.exe、iexploer.exeiexplorer.exe进程和上文中的explorer.exe进程名很相像，因此比较容易搞混，其实iexplorer.exe是Microsoft Internet Explorer所产生的进程，也就是我们平时使用的IE浏览器。知道作用后辨认起来应该就比较容易了，iexplorer.exe进程名的开头为“ie”，就是IE浏览器的意思。

　　iexplore.exe进程对应的可执行程序位于C:ProgramFilesInternetExplorer目录中，存在于其他目录则为病毒，除非你将该文件夹进行了转移。此外，有时我们会发现没有打开IE浏览器的情况下，系统中仍然存在iexplore.exe进程，这要分两种情况：1.病毒假冒iexplore.exe进程名。2.病毒偷偷在后台通过iexplore.exe干坏事。因此出现这种情况还是赶快用杀毒软件进行查杀吧。

　　rundll32.exe

　　常被病毒冒充的进程名有：rundl132.exe、rundl32.exe。rundll32.exe在系统中的作用是执行DLL文件中的内部函数，系统中存在多少个Rundll32.exe进程，就表示Rundll32.exe启动了多少个的DLL文件。其实rundll32.exe我们是会经常用到的，他可以控制系统中的一些dll文件，举个例子，在“命令提示符”中输入“rundll32.exe user32.dll,LockWorkStation”，回车后，系统就会快速切换到登录界面了。rundll32.exe的路径为“C:Windowssystem32”，在别的目录则可以判定是病毒。

　　spoolsv.exe

　　常被病毒冒充的进程名有：spoo1sv.exe、spolsv.exe。spoolsv.exe是系统服务“Print Spooler”所对应的可执行程序，其作用是管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用，计算机上的打印将不可用，同时spoolsv.exe进程也会从计算机上消失。如果你不存在打印机设备，那么就把这项服务关闭吧，可以节省系统资源。停止并关闭服务后，如果系统中还存在spoolsv.exe进程，这就一定是病毒伪装的了。

　　限于篇幅，关于常见进程的介绍就到这里，我们平时在检查进程的时候如果发现有可疑，只要根据两点来判断：

　　1.仔细检查进程的文件名；

　　2.检查其路径。

　　通过这两点，一般的病毒进程肯定会露出马脚。

　　找个管理进程的好帮手

　　系统内置的“任务管理器”功能太弱，肯定不适合查杀病毒。因此我们可以使用专业的进程管理工具，例如Procexp。Procexp可以区分系统进程和一般进程，并且以不同的颜色进行区分，让假冒系统进程的病毒进程无处可藏。

　　运行Procexp后，进程会被分为两大块，“System Idle Process”下属的进程属于系统进程，

　　explorer.exe”下属的进程属于一般进程。我们介绍过的系统进程svchost.exe、winlogon.exe等都隶属于“System Idle Process”，如果你在“explorer.exe”中发现了svchost.exe，那么不用说，肯定是病毒冒充的。

这不好教啊,因为这都是靠平时多看,多学,比如一个名为qq.exe的进程我不知道是什么,我就去专百度,百度完就知道属了.比如这是病毒,那我下次再见这样的进程我就开杀软扫毒.
电脑中木马了,不要着急,先安装个腾讯电脑管家,它是杀毒与防护二合一的安全软件.有着几大强力杀毒引擎.查杀木马更彻底.有着技术过硬的技术员.更新速度快.占用内存小,安全放心!
下载安装完后,接下来我们就要开始扫描病毒了.有两种方法,第一就是正常的启动系统扫描.另一种是对付比较厉害点的病毒,需要我们进入F8安全模式下进行全盘的查杀.有必要的话还需要断开网络来进行扫描.电脑管家不仅可以杀毒,还可以优化电脑,清理垃圾,恶意插件等.杀完毒,顺便给自己电脑做个美容也是很不错的~
希望能够帮到你~

　　打开windows任务管理器，察看是e69da5e6ba9062616964757a686964616f31333335313133否有可疑的进程（可以根据杀毒软件的报告

或者在网上搜索相关信息来判定）在运行，如果有把它结束。注意在system32目

录下的Rundll32.exe本身不是病毒，有可能一个dll文件在运行，他才可能是病毒

或恶意程序之类的东西。
　　1.由于windows 任务管理器不能显示进程的路径，因此建议使用杀毒软件自

带的进程察看和管理工具来查找并中止可疑进程。然后设法找到病毒程序文件（

主要是你所中止的病毒进程文件，另外先在资源管理器的文件夹选项中，设置显

示所有文件和文件夹、显示受保护的文件，再察看如system32文件夹中是否有不

明dll或exe文件，日夏养花网C:\Program Files、C:\Documents and Settings\user\Local

Settings\Temporary Internet Files、C:\Documents and Settings\user\Local

Sett日夏养花网ings\Temp等处是否有不明文件或病毒程序文件），然后删去，搞清楚是否是

系统文件再动手。
　　2.有些病毒进程终止不了，提示“拒绝访问”，或者出现“屡禁不止”的情

况。根据我的经验，有三种办法供尝试：
　　A.可能是某些木马病毒、流氓软件等注册为系统服务了。办法是：察看控制

面板〉管理工具〉服务，看有没有与之相关的服务(特别是“描述”为空的)在运

行，把它停止。再试著中止病毒进程并删除。
　　B.你可以尝试安全模式下（开机后按F8选安全模式）用杀毒软件处理，不行

则再按步骤1和2A试一试。
　　C.使用冰刃等工具，察看病毒进程的线程信息和模块信息，尝试结束线程和

解除模块，再试著删除病毒进程文件和相应的模块。（慎用）
　　3.如果稍微懂得注册表使用的，可以再把相关的注册表键值删除。一般方法

：开始〉运行，输入regedit，确定，打开注册表编辑器。编辑〉查找，查找目标

为病毒进程名，在搜索结果中将与之有关的键值删除。有时这样做不能遏止病毒

，还应尝试使用步骤2中方法。
　　4.某些病毒会劫持IE浏览器，导致乱弹网页的状况。建议用360安全卫士，看

浏览器辅助对象BHO是否有可疑项目，有没有没恶意插件或者木马。有就修复它。
　　5.其他提示：为了更好的操作，请先用优化大师或超级兔子清理所有临时文

件和上网时的缓存文件。一般病毒往往在临时文件夹Temp中，这样做可以帮你更

快找到病毒文件。
　　开始>>运行，输入msconfig，确定，可以打开“系统配置实用程序”。选择

“启动”，察看开机时加载的程序，如果在其中发现病毒程序，可以禁止它在开

机时加载。不过此法治标不治本，甚至对某些程序来说无效。还是要按步骤1、2

办。
　　6.说了这么多，不过有时还是不能解决。只好请教高人或格式化重做系统了

，当然不推荐后者

跟常用的进程很相识但有不是
往往改了几个
如0改成O
1改i等等

现在的木马一般都会将自身进程插入到其它正常的进程中,比如灰鸽子,在配置服务器端时选择插入"iexplorer"进程来穿透防火墙

推荐你使用软件“Windows进程e68a84e8a2ad3231313335323631343130323136353331333335313133管理器”，自己查看电脑进程，熟悉正常的系统进程，以后这样的问题自己都可以解决。对于软件无法识别的进程，很可能是一些非常用软件的进程（摄像头，行业软件）或者是木马进程Windows进程管理器 V4.00_进程库版本更新0915_简体中文绿色特别版 http://www.xdowns.com/soft/6/99/2006/Soft_28639.html 软件说明： 本程序收录了作者在网上搜集整理的有关Windows系统中的进程，并提供一此进程管理功能以帮助大家更好地了解和管理Windows系统中的进程。目前共收集了700多条进程信息——包括系统进程、应用程序进程以及部分病毒与木马进程。 本软件最大的特点在于它丰富强大的进程信息数据库，包含了几乎全部的Windows系统进程，和大量的常用软件进程，以及不少的病毒和木马进程。并且按其安全等级进行了区分：正常进程（正常的系统或应用程序进程，安全）——黑色；可疑进程（容易被病毒或木马利用的正常进程，需要留心）——绿色；病毒&木马进程（危险）——红色。可以让您在查询进程时一目了然地分辨出进程是否安全。另外本软件提供查看进程文件路径的功能，您也可以根据进程的实际路径来判断它是否为正常进程。最后，您还可以使用软件提供的“删除文件”直接结束并删除危险进程。这一切对于您维护系统安全与稳定很有帮助。 除此之外，软件还提供系统资源监视与开机等操作以及特别设计的“智能运行”功能。这些功能可以取代您系统里的任务管理器。

木马程序会隐藏自e68a84e8a2ad62616964757a686964616f31333365636563己.
主要途径有：
a,在任务栏中隐藏自己，这是最基本的只要把Form的Visible属性设为False、 ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。
b,在任务管理器中隐形：将程序设为“系统服务”可以很轻松地伪装自己。它也会悄无声息地启动，你当然不会指望用户每次启动后点击“木马”图标来运行服务端
c,“木马”会在每次用户启动时自动装载服务端，Windows系统启动时自动加载应用程序的方法，“木马”都会用上，如：启动组、win.www.rixia.ccini、system.ini、注册表等等都

是“木马”藏身的好地方。下面具体谈谈 “木马”是怎样自动加载的。

在win.ini文件中，在[WINDOWS]下面，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现

后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得看清楚，因为好多“木马”，如 “AOL Trojan木马”，它把自身伪装成

command.exe文件，如果不注意可能不会发现它不是真正的系统启动文件。

在system.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是 “explorer.exe”，而是“shell= explorer.exe 程序名”，那么

后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。

在注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：“HKEY－LOCAL－ MACHINESoftwareMicrosoftWindowsCurrentVersionRun”目录下，查

看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这里切记：有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery

v1.0木马”，它将注册表“HKEY－LOCAL－ MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”下的 Explorer 键值改为Explorer=“C:WINDOWSexpiorer.exe”

，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“HKEY－CURRENT－

USERSoftwareMicrosoftWindowsCurrentVersionRun”、“HKEY－ USERS＊＊＊＊SoftwareMicrosoftWindowsCurrentVersionRun”的目录下都有可能，最好的办法就

是在 “HKEY－LOCAL－MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索即可。

知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最安全也是最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对你进

行攻击。然后编辑win.ini文件，将[WINDOWS]下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=” 和 “load=”；编辑system.ini文件，将[BOOT]下面的

“shell=‘木马’文件”，更改为：“shell= explorer.exe”；在注册表中，用regedit对注册表进行编辑，先在“HKEY－LOCAL－

MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是：有的“木

马”程序并不是直接将“HKEY－LOCAL－ MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下的“木马”键值删除就行了，因为有的“木马” 如：BladeRunner“木

马”，如果你删除它，“木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到MS－DOS下，找到此 “木马”文件并删除掉。重新启动计算机，然

后再到注册表中将所有“木马”文件的键值删除。至此，我们就大功告成了

用杀毒软件查杀一下就好了啊，不过现在很多杀毒软件都是敷衍，建议可以用下腾讯电脑管家腾讯电脑管家已全面拦截并查杀该木马变种,提醒广大用户保持安全警惕,切勿点击观看该类虚假文档以防中招。

1，是不是进程的e68a84e8a2ad62616964757a686964616f31333238653935用户名是SYSTEM就一定安全？

答：不是。

2，看到很多进程，比如smss,csrss,LSASS,winlogon,svchost。这些进程，有的时候是大写的，有的时候是小写的，这是否和病毒木马有关？经常看到以上进程名的木马或者病毒，但是没办法区日夏养花网别这个进程是否是病毒木马。

答：进程大小写没有什么关系，你可以结束桌面进程在运行中输入小写也是一样的。关与进程的介绍与学习建议使用windows进程管理器（不是原的进程管理器，需要下载）

3，SVCHOST这个进程应该有几个？分别在哪个用户名下。

答：在windows XP中，一般有4个以上的svchost.exe服务进程，我的电脑中是6个。（svchost是多个服务共享一个 Svchost.exe进程，由svchost调用相应服务的动态链接库来启动服务 ）。

4，如何查看这个进程的程序所在位置。比如EXPLORER是在某地，SMSS在某地址。

答：这个可以通过一些安辅软件，可以用冰刃+Wsyscheck来进行查杀，进程的程序所在位置变很简单。（要不用软件很难，你可以拷如U盘中，即使没有网络也可以用，毕竟也是因为需要才有这些软件的）。

5，为什么有的人的任务管理器里就看不到用户名？如何能看到？

答：这个我不太清楚，在查看-选择列，中看有没有钩。不过那好像不是很重要。

6，如何通过进程简单判断是否存在病毒木马。（这个问题很重要，希望得到详细答案）

答：只通过进程是不太可靠的，对于系统的进程要记忆，其它进程可以用排除，系统中文件很多可以看创建时间和注释，要结合数字签名验证来查杀比较有效。启动项、进程、模块、内核、服务函数、联网情况与端口这些都是要注意的。最好带个绿色扫描器，和一些软件如windows清理助手，先用软杀，后用手工，不然要杀到什么时候。

从注册表是可以看到一些信息，比如知道一个木马文件后可以进行查找与之相关的文件，在软件中都有注册表编辑和查找，就是一些常见的项和键要记住，具体的可以在百度搜索病毒处理技术看看。要进行比较完整的分析建议使用SRENG，看看相关的教程就知道看注册表。

计算机病毒（Computer Virus）是编制者在计算机程序中插入的破坏计算机功能内或者数据的代码容，能影响计算机使用，能自我复制的一组计算机指令或者程序代码。
只通过进程是不太可靠的，对于系统的进程要记忆，其它进程可以用排除，系统中文件很多可以看创建时间和注释，要结合数字签名验证来查杀比较有效。启动项、进程、模块、内核、服务函数、联网情况与端口这些都是要注意的。最好带个绿色扫描器，和一些软件如windows清理助手，先用软杀，后用手工，不然要杀到什么时候。
从注册表是可以看到一些信息，比如知道一个木马文件后可以进行查找与之相关的文件，在软件中都有注册表编辑和查找，就是一些常见的项和键要记住，具体的可以在百度搜索病毒处理技术看看。要进行比较完整的分析建议使用SRENG，看看相关的教程就知道看注册表。

楼主你好，你的问bai题我du一一来解答。zhi
1.这个不一定，因为很多病毒dao木马程序也会伪装专成此进属程，试图迷惑用户，所以你要小心；
2.你好，进程大写和小写，都没有区别，病毒木马只是在个别字母或者数字上做手脚而已；
3.正常情况下，svchost应该有5至6个，其用户名为：当前用户名，system.
local services, network services等，
4.任务管理器的缺陷就是不能查找进程所在路径， 你可以下载一个金山清理专家，里面的进程管理器就可以告诉你进程所对应路径以及该进程是否安全。
5.这个是因为他在组策略设置里面将用户名屏蔽，只需要进入组策略恢复即可；
6.现在病毒和木马都会伪装自己，你很难通过进程看出来的，但是有几点你要注意：
（1）明明没有打开ie浏览器，可是你的进程里面却出现了iexplore.exe.之类的进程，那么你的电脑就是中木马了，要赶紧杀掉。或者即使你打开了ie浏览器，在进程里面出现：iexplorer.exe, ieplore.exe,那么也是木马，

1.不是
2.没关系。去网上下载正常的进程名，有些是差不多的你要认仔回细
3.XP下5-6个，这个没答固定的服务下有。系统下也有用户下也有
4.软件去下个冰剑就有 (好像是冰刃)
5.有些双击后就能看到，
6.你自己在装系统时就记住初始系统时的进程。用软件可以看到它是哪个应用程序的。有病毒的进程名，它的名字是怪怪的，有些是模仿SVCHOST的它只差一个字母。特别是EXPLORER这个。看看内存使用跟CPU使用率。
至于你说的在注册表里查看病毒其实在进程里是差不多 那么多键值0 1什么的
病毒嘛多有，只是看它是不是恶意的。清光光的话我还没见过

1.不一定
2.都不是抄病毒进程，但会被病毒感染，比如smss,csrss，只要使用该进程的相关功能就知道该进程是否被感染上病毒
3.新装的系统总共是有5个，随着系统的使用可能会到6个，增加的那一个是正常系统进程。
4.你可以通过相关的进程管理软件来查看进程位置。
5.打开任务管理器-查看-选择列，里面就可以选择进程页上显示的内容。
6.新装的系统有18个进程，排除这18个进程后，根据你当前运行的程序进程来判断，如果进程中没有你当前运行的程序进程，而该进程又不是系统进程，那就可以怀疑该进程是否是病毒进程，结束该进程后，该进程马上会自动运行的，基本上可以判断为病毒进程