很多朋友總是抱怨用XP操作系統(tǒng)速度慢，總是死機。排除硬件上面的原因，就要找系統(tǒng)流程的故障。但是流程那么多，英文字符都不詳細(xì)介紹了。誰知道哪個跟著哪個？一不小心刪錯了，系統(tǒng)就不穩(wěn)定。不急，今天就讓你明明白白。
進程是當(dāng)前計算機運行的程序，包括前臺和后臺。在XP中，進程主要分為關(guān)鍵進程、應(yīng)用進程、服務(wù)進程和后臺進程。關(guān)鍵進程，也叫系統(tǒng)進程，是指操作系統(tǒng)本身要執(zhí)行的程序，一般情況下不允許用戶完成。不用說，應(yīng)用程序進程指的是當(dāng)前運行的應(yīng)用程序。服務(wù)是系統(tǒng)進程的擴展，包括網(wǎng)絡(luò)服務(wù)和本地服務(wù)，主要為用戶提供便捷的操作。后臺進程是指隱藏運行的軟件，如監(jiān)控軟件、掃描軟件、木馬、病毒等。簡單了解后，列出基本流程，供你研究參考。
系統(tǒng)空閑進程：
Windows頁面內(nèi)存管理進程，優(yōu)先級為0。它在每個處理器上作為一個單獨的線程運行，并在系統(tǒng)不處理其他線程時調(diào)度處理器的時間。它的cpu利用率越大意味著可以分配更多的CPU資源，數(shù)字越小意味著CPU資源緊張。
ALG。EXE:
這是用于網(wǎng)絡(luò)共享的應(yīng)用層網(wǎng)關(guān)服務(wù)。它是網(wǎng)關(guān)通信插件的管理器，為互聯(lián)網(wǎng)連接共享服務(wù)和互聯(lián)網(wǎng)連接防火墻服務(wù)提供第三方協(xié)議插件的支持。
csrss.exe:
客戶機/服務(wù)器運行時服務(wù)器子系統(tǒng)是一個客戶機服務(wù)子系統(tǒng)，用于控制Windows圖形相關(guān)子系統(tǒng)。正常情況下，WindowsNT4/2000/XP/2003系統(tǒng)中只有一個CSRSS.EXE進程，通常位于System32文件夾中。如果上述系統(tǒng)中有兩個進程(其中一個位于Windows文件夾中)，或者這個進程出現(xiàn)在Windows 9X/Me系統(tǒng)中，就感染了木馬。古塔或W32。Netsky.AB@mm病毒。另外，目前新浪利用系統(tǒng)漏洞傳播的一個類似病毒的插件，會生成名為nmgamex.dll、sinaproc327.exe、csrss.exe的三個駐留文件，自動加載到系統(tǒng)的啟動項中，導(dǎo)致桌面出現(xiàn)一個名為“新浪游戲總園”的快捷方式。不僅如此，新浪還將Nmgamex.dll文件綁定到系統(tǒng)啟動文件rundll32.exe，偽造系統(tǒng)文件csrss.exe，導(dǎo)致同名文件綁定到系統(tǒng)并加載到系統(tǒng)啟動項，直接關(guān)閉系統(tǒng)進程后無法刪除。手動清理方法：先修改注冊表，清除啟動項：NMGameX.dll、csrss.exe，然后刪除System32NMGameX.dll、System32sinaproc327.exe、WindowsNMWizardA14.exe三個文件，再修改Windows文件夾中的任意文件名，重啟電腦后刪除修改后的csrss.exe文件。
ddhelp.exe:
Drawhelper是directx的一個組件，用于圖形服務(wù)，它是一個DirectDraw幫助器。
dllhost.exe:
DCOM DLL宿主進程支持基于COM的對象，以支持DLL來運行Windows程序。如果這個過程經(jīng)常出錯，就有可能感染了韋爾奇亞病毒。
explorer.exe:
Windows資源管理器用于控制Windows圖形外殼，包括開始菜單、任務(wù)欄、桌面和文件管理。這是一個用戶外殼，在我們看來就像任務(wù)欄、桌面等等?；蛘呤琴Y源管理器。我不相信你能在跑步中執(zhí)行它。對于Windows系統(tǒng)的穩(wěn)定性還是很重要的，紅碼就是用它來找麻煩，在C和D根下創(chuàng)建explorer.exe。
inetinfo.exe:
Admin service helper，InetInfo是微軟互聯(lián)網(wǎng)信息服務(wù)(IIS)的一部分，用于調(diào)試和調(diào)試。IIS服務(wù)進程，藍色代碼是inetinfo.exe的緩沖區(qū)溢出漏洞。
internat.exe:
輸入法區(qū)域設(shè)置，主要用于控制輸入法。當(dāng)任務(wù)欄中沒有“EN”圖標(biāo)，而系統(tǒng)中有一個internat.exe進程時，您也可以結(jié)束該進程，并在運行中執(zhí)行internat命令。該輸入控制圖標(biāo)用于更改類似的國家設(shè)置、鍵盤類型和日期格式。Internat.exe在啟動時開始運行。它加載用戶指定的不同輸入點。輸入點從這個位置加載內(nèi)容HKEY _用戶。注冊表中的默認(rèn)鍵盤布局預(yù)加載。將internat.exe的“EN”圖標(biāo)加載到系統(tǒng)的圖標(biāo)區(qū)，讓用戶輕松切換不同的輸入點。過程停止時，圖標(biāo)會消失，但仍可通過控制面板更改輸入點。
lsass.exe:
本地安全權(quán)限服務(wù)控制Windows安全機制。管理IP安全策略，啟動ISAKMP/奧克利(IKE)和IP安全驅(qū)動程序等。它為使用winlogon服務(wù)的授權(quán)用戶生成一個進程。這個過程通過使用授權(quán)的包來執(zhí)行，例如默認(rèn)的msgina.dll。如果授權(quán)成功，lsass會生成用戶的入口令牌，不要使用初始shell啟動令牌。用戶啟動的其他進程將繼承此令牌。而windows Active Directory的遠(yuǎn)程堆棧溢出漏洞是，使用LDAP 3搜索請求函數(shù)為用戶提交的請求檢查正確緩沖區(qū)的邊界，構(gòu)造1000多個'和'請求并發(fā)送到服務(wù)器，觸發(fā)堆棧溢出，使Lsass.exe服務(wù)崩潰，30秒內(nèi)重啟系統(tǒng)。這里請記住，這個過程的正常路徑是C:WINDOWSsystem32，還有一些病毒，比如W32。蠕蟲病毒，會模仿LSASS.EXE在其他地方運行。
mdm.exe:
機器調(diào)試管理器，Debug調(diào)試管理用于調(diào)試應(yīng)用程序和Microsoft office中的Microsoft Script Editor腳本編輯器。Mdm.exe的主要工作是調(diào)試應(yīng)用軟件。說到這里，題外話，如果你在系統(tǒng)中看到fff開頭的0字節(jié)文件，那是mdm.exe在調(diào)試過程中生成的一些臨時文件。這些文件在操作系統(tǒng)關(guān)閉時不會自動清除，所以一些以CHK為后綴的fff開頭的奇怪文件就是無用的垃圾文件，可以任意刪除，不會對系統(tǒng)造成不良影響。對于9X系統(tǒng)，只要系統(tǒng)中有Mdm.exe，就有可能產(chǎn)生以fff開頭的奇怪文件?？梢酝ㄟ^以下方式停止系統(tǒng)運行Mdm.bak，徹底刪除以fff開頭的奇怪文件：首先按Ctrl Alt Del組合鍵，在彈出的關(guān)閉程序窗口中選擇Mdm，按結(jié)束任務(wù)按鈕停止Mdm.bak在后臺運行，然后將Mdm.bak(在系統(tǒng)目錄下)重命名為Mdm.bak運行msconfig程序，在啟動頁面中取消選擇“機器調(diào)試管理器”。這將阻止Mdm.exe啟動自己，然后單擊確定結(jié)束msconfig程序，并重新啟動計算機。另外，如果你用的是IE 5。x或以上瀏覽器，建議禁用腳本調(diào)用(點擊“工具互聯(lián)網(wǎng)選項高級禁用腳本調(diào)用”)，避免再次生成以fff開頭的奇怪文件。
[分頁符]
rpcss.exe:
Windows的RPC端口映射進程處理RPC調(diào)用(遠(yuǎn)程模塊調(diào)用)，然后將它們映射到指定的服務(wù)提供者。加載或引導(dǎo)解釋器時，它不會啟動。如果使用中出現(xiàn)問題，可以直接在注冊表HKEY _ local _ machinesoftwaresoftwindowcurrentversionrun和HKEY _ local _ machinesoftwaresoftwindowcurrentversionrunservices中添加一個‘字符串值’，并將其定向到‘C:windowssysterprcss’。
services.exe:
管理Windows服務(wù)的windows服務(wù)控制器。大多數(shù)系統(tǒng)內(nèi)核模式進程作為系統(tǒng)進程運行。打開管理工具中的服務(wù)，您可以看到許多服務(wù)正在調(diào)用service.exe。
smss.exe:
會話子系統(tǒng)，由會話管理子系統(tǒng)用來初始化系統(tǒng)變量。MS-DOS驅(qū)動的名字類似于LPT1和COM。它調(diào)用Win32外殼子系統(tǒng)并在Windows登錄進程中運行。它是一個會話管理子系統(tǒng)，負(fù)責(zé)啟動用戶會話。該進程由系統(tǒng)進程初始化并反映許多活動，包括已經(jīng)運行的Winlogon、Win32(Csrss.exe)線程和set系統(tǒng)變量。啟動這些進程后，它會等待Winlogon或Csrss完成。如果這些過程正常，系統(tǒng)將被關(guān)閉。如果發(fā)生意外，smss.exe會讓系統(tǒng)停止響應(yīng)(掛斷)。注意：如果系統(tǒng)中有多個smss.exe進程，并且某些smss.exe路徑是“%WINDIR%SMSS”。' EXE '，就是TrojanClicker。Nogard.a病毒，Windows下的PE病毒，用VB6寫的，自動訪問站點的木馬病毒。該病毒會在注冊表的幾個地方添加自己的啟動條目，修改WIN系統(tǒng)文件。并添加“RUN”=“% WINDIR % SMSS”。請在[WINDOWS]條目中添加“EXE”。手動清理時，請結(jié)束smss.exe病毒進程，然后刪除%WINDIR%下的smss.exe文件，再清理注冊表中與其相關(guān)的條目并獲勝。INI文件。
snmp.exe:
Microsoft SNMP代理(Windows簡單網(wǎng)絡(luò)協(xié)議代理(SNMP ))用于監(jiān)控并向適當(dāng)?shù)木W(wǎng)絡(luò)部分發(fā)送請求。負(fù)責(zé)接收SNMP請求消息，根據(jù)需要發(fā)送響應(yīng)消息，處理與WinsockAPI的接口。
spool32.exe:
打印機假脫機程序，Windows打印作業(yè)控制程序，用于準(zhǔn)備打印機。
stisvc.exe:
靜止圖像服務(wù)用于控制Windows中掃描儀和數(shù)碼相機的連接。
svchost.exe
服務(wù)主機進程是一個標(biāo)準(zhǔn)的動態(tài)連接庫主機處理服務(wù)。Svchost.exe是從動態(tài)鏈接庫(dll)運行的服務(wù)的通用主機進程名稱。Svhost.exe文件位于系統(tǒng)的Windowssystem32文件夾中。啟動時，Svchost.exe檢查注冊表中的位置，以構(gòu)建要加載的服務(wù)列表。這將導(dǎo)致多個Svchost.exe同時運行。Windows 2000一般有兩個Svchost進程，一個是RPCSS(遠(yuǎn)程過程調(diào)用)服務(wù)進程，一個是很多服務(wù)共享的Svchost.exe。在windows XP中，通常有四個以上的Svchost.exe服務(wù)進程。在windows 2003 server中甚至更多。Svchost.exe是系統(tǒng)的核心進程，而不是病毒進程。但是，由于Svchost.exe過程的特殊性，病毒會想盡辦法入侵Svchost.exe。通過查看Svchost.exe流程的執(zhí)行路徑，您可以
