论文部分内容阅读
[摘要]svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。很多病毒、木马也会调用它。Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现。
[关键词]svchost.exe 进程 病毒
中图分类号：TP3 文献标识码：A 文章编号：1671－7597(2008)1010070－01
电脑启动后弹出倒计时自动关机的对话框，重启后不再弹出，但时不时会弹出“svchost.exe应用程序错误”的提示框。这是一个很常见的中毒症状，那么svchost.exe到底是一个什么文件？它是如何与病毒扯上关系？
svchost.exe是一个属于微软Windows操作系统的系统程序，用于执行DLL文件。这个程序对你系统的正常运行是非常重要的。
在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程, windows 2003 server中则更多，所以看到系统中有多个这种进程，不能立即判定系统有病毒了。在win2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win2000 support tools提供的。在winxp则使用“tasklist /svc”命令，可以了解每个svchost进程到底提供了多少系统服务。
windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“system32”目录下，它属于共享进程。windows 在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务，随着系统内置服务的增加，在windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。可以看出把更多的系统内置服务以共享进程方式由svchost启动是微软的一个趋势。这样做在一定程度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务都退出。
那么svchost.exe的实现机制是什么样的？Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这些服务时由svchost调用相应服务的动态链接库来启动服务。那么svchost如何知道某一服务是由哪个动态链接库负责呢？这不是由服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参数设置的。
下面就以rpcss（remote procedure call）服务为例，了解svchost的实现机制。
windows xp系统下，“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchos
T-krpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。
在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine /system/currentcontrolset/service/srpcss]
项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost-krpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“%systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。
因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的。如冲击波变种病毒“w32.welchia.worm”。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？假设windows xp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。
Svchost.exe是病毒的两种情况：一种是利用假冒Svchost.exe名称的病毒程序。这种方式运行的病毒并没有直接利用真正的Svchost.exe进程，而是启动了另外一个名称同样是Svchost.exe的病毒进程。另一种是一些高级病毒则采用类似系统服务启动的方式，通过真正的Svchost.exe进程加载病毒程序，而Svchost.exe是通过注册表数据来决定要装载的服务列表的，所以病毒通常会通过一系列方法在注册表中采用以下方法进行加载。
Svchost是一个windows中的一个特殊进程，是nt核心系统的非常重要的进程，对于wondpws2000、xp来说，不可或缺。很多病毒、木马也会调用它。深入了解这个程序，是学习电脑的必修课之一。
参考文献：
[1]石磊主编，计算机组成原理，北京：清华大学出版社，2006.
[2]冯登国，计算机通信网络安全，北京：清华大学出版社, 2001.
[3]谭浩强，计算机网络.北京：中国铁道出版社，2004.
[4]候中俊，局域网组网技术.北京：人民邮电出版社，2005 .
[5]王达，局域网组建与配置技能实训.北京.人民邮电出版社，2006.
[关键词]svchost.exe 进程 病毒
中图分类号：TP3 文献标识码：A 文章编号：1671－7597(2008)1010070－01
电脑启动后弹出倒计时自动关机的对话框，重启后不再弹出，但时不时会弹出“svchost.exe应用程序错误”的提示框。这是一个很常见的中毒症状，那么svchost.exe到底是一个什么文件？它是如何与病毒扯上关系？
svchost.exe是一个属于微软Windows操作系统的系统程序，用于执行DLL文件。这个程序对你系统的正常运行是非常重要的。
在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程, windows 2003 server中则更多，所以看到系统中有多个这种进程，不能立即判定系统有病毒了。在win2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win2000 support tools提供的。在winxp则使用“tasklist /svc”命令，可以了解每个svchost进程到底提供了多少系统服务。
windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“system32”目录下，它属于共享进程。windows 在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务，随着系统内置服务的增加，在windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。可以看出把更多的系统内置服务以共享进程方式由svchost启动是微软的一个趋势。这样做在一定程度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务都退出。
那么svchost.exe的实现机制是什么样的？Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这些服务时由svchost调用相应服务的动态链接库来启动服务。那么svchost如何知道某一服务是由哪个动态链接库负责呢？这不是由服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参数设置的。
下面就以rpcss（remote procedure call）服务为例，了解svchost的实现机制。
windows xp系统下，“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchos
T-krpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。
在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine /system/currentcontrolset/service/srpcss]
项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost-krpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“%systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。
因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的。如冲击波变种病毒“w32.welchia.worm”。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？假设windows xp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。
Svchost.exe是病毒的两种情况：一种是利用假冒Svchost.exe名称的病毒程序。这种方式运行的病毒并没有直接利用真正的Svchost.exe进程，而是启动了另外一个名称同样是Svchost.exe的病毒进程。另一种是一些高级病毒则采用类似系统服务启动的方式，通过真正的Svchost.exe进程加载病毒程序，而Svchost.exe是通过注册表数据来决定要装载的服务列表的，所以病毒通常会通过一系列方法在注册表中采用以下方法进行加载。
Svchost是一个windows中的一个特殊进程，是nt核心系统的非常重要的进程，对于wondpws2000、xp来说，不可或缺。很多病毒、木马也会调用它。深入了解这个程序，是学习电脑的必修课之一。
参考文献：
[1]石磊主编，计算机组成原理，北京：清华大学出版社，2006.
[2]冯登国，计算机通信网络安全，北京：清华大学出版社, 2001.
[3]谭浩强，计算机网络.北京：中国铁道出版社，2004.
[4]候中俊，局域网组网技术.北京：人民邮电出版社，2005 .
[5]王达，局域网组建与配置技能实训.北京.人民邮电出版社，2006.