科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道Windows进程SVCHOST的作用和原理

Windows进程SVCHOST的作用和原理

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

Windows系统存在多个SVCHOST进程是很正常的,在受感染的机器中到底哪个是病毒进程呢?这里仅举一例来说明。

作者:51CTO.COM 2007年10月18日

关键字:

  • 评论
  • 分享微博
  • 分享邮件

在本页阅读全文(共2页)

  深入分析SVCHOST

  Windows系统进程分为独立进程和共享进程两种,“SVCHOST.EXE”文件存在于“%SystemRoot%\system32\”目录下,它属于共享进程。随着Windows系统服务不断增多,为了节省系统资源,微软把很多服务做成共享方式,交由SVCHOST.EXE进程来启动。但SVCHOST进程只作为服务宿主,并不能实现任何服务功能,即它只能提供条件让其他服务在这里被启动,而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢?

  原来这些系统服务是以动态链接库(DLL)形式实现的,它们把可执行程序指向SVCHOST,由SVCHOST调用相应服务的动态链接库来启动服务。那SVCHOST又怎么知道某个系统服务该调用哪个动态链接库呢?这是通过系统服务在注册表中设置的参数来实现。下面就以RpcSs(Remote Procedure Call)服务为例,进行讲解。实例:笔者以Windows XP为例,点击“开始”/“运行”,输入“services.msc”命令,弹出服务对话框,然后打开“Remote Procedure Call”属性对话框,可以看到RpcSs服务的可执行文件的路径为“C:\WINDOWS\system32\svchost -k rpcss”,这说明RpcSs服务是依靠SVCHOST调用“rpcss”参数来实现的,而参数的内容则是存放在系统注册表中的。

  在运行对话框中输入“regedit.exe”后回车,打开注册表编辑器,找到[HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Services\RpcSs]项,找到类型为“REG_EXPAND_SZ”的键“magePath”,其键值为“%SystemRoot%\system32\svchost -k rpcss”(这就是在服务窗口中看到的服务启动命令),另外在“Parameters”子项中有个名为“ServiceDll”的键,其值为“%SystemRoot%\system32\rpcss.dll”,其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样SVCHOST进程通过读取“RpcSs”服务注册表信息,就能启动该服务了。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章