[导入]先全面的说说系统要正常运行需要哪些进程！
先全面的说说系统要正常运行需要哪些进程！
smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务)
svchost.exe 包含很多系统服务
svchost.exe
SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务)
explorer.exe 资源管理器
internat.exe 托盘区的拼音图标
附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）
mstask.exe 允许程序在指定时间运行。(系统服务)
regsvc.exe 允许远程注册表操作。(系统服务)
winmgmt.exe 提供系统管理信息(系统服务)。
inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务)
tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务)
允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务)
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务)
termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000
Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务)
dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)
以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉：
tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows2000 Professional 的能力。(系统服务)
支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务)
ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务)
ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务)
wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS名称服务。(系统服务)
llssrv.exe License Logging Service(system service)
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务)
RsSub.exe 控制用来远程储存数据的媒体。(系统服务)
locator.exe 管理 RPC 名称服务数据库。(系统服务)
lserver.exe 注册客户端许可证。(系统服务)
dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务)
clipsrv.exe 支持"剪贴簿查看器"，以便可以从远程剪贴簿查阅剪贴页面。(系统服务)
msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务)
faxsvc.exe 帮助您发送和接收传真。(系统服务)
cisvc.exe Indexing Service(system service)
dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务)
mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务)
netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务)
smlogsvc.exe 配置性能日志和警报。(系统服务)
rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务)
RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务)
RsFsa.exe 管理远程储存的文件的操作。(系统服务)
grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务)
SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务)
snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务)
snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务)
UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务)
msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务）
现在一个一个说
[system Idle Process]
进程文件: [system process] or [system process]
进程名称: Windows内存处理系统进程
描 述: Windows页面内存管理进程，拥有0级优先。
介 绍：该进程作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。它的cpu占用率越大表示可供分配的CPU资源越多，数字越小则表示CPU资源紧张。
System Idle Process为何物
问：在使用Windows XP的过程中，按"Ctrl+Alt+Del"键调出任务管理器，在进程中我发现一个名为"System Idle Process"的进程，它往往占用了大部分CPU资源，经常是80%以上，请问为什么它占用了那么多资源？
答：你误解了"System Idle Process"进程的意思了，这里的80%并不是你所想的占用CPU的资源，恰恰相反的是这里的80%以上是CPU资源空闲了出来的。这里的数字越大表示CPU可用资源越多，数字越小则表示CPU资源越紧张。该进程是系统必须的，不能禁止哦。
[csrss.exe]
进程文件: csrss or csrss.exe
进程名称: Client/Server Runtime Server Subsystem
描 述: 客户端服务子系统，用以控制Windows图形相关子系统。
介 绍: 这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss用于维持Windows的控制，创建或者删除线程和一些16位的虚拟MS-DOS环境。
纯手工查杀木马csrss.exe
注意：csrss.exe进程属于系统进程，这里提到的木马csrss.exe是木马伪装成系统进程
前两天突然发现在C:\Program Files\下多了一个rundll32.exe文件。这个程序记得是关于登录和开关机的，不应该在这里，而且它的图标是98下notepad.exe的老记事本图标，在我的2003系统下面很扎眼。但是当时我没有在意。因为平时没有感到系统不稳定，也没有发现内存和CPU大量占用，网络流量也正常。
这两天又发现任务管理器里多了这个rundll32.exe和一个csrss.exe的进程。它和系统进程不一样的地方是用户为Administrator，就是我登录的用户名，而非system，另外它们的名字是小写的，而由SYSTEM启动的进程都是大写的RUNDLL32.EXE和CSRSS.EXE，觉得不对劲。
然后按F3用资源管理器的搜索功能找csrss.exe，果然在C:\Windows下，大小52736字节，生成时间为12月9日12:37。而真正的csrss.exe只有4k，生成时间是2003年3月27日12:00，位于C:\Windows\Syetem32下。
于是用超级无敌的UltraEdit打开它，发现里面有kavscr.exe，mailmonitor一类的字符，这些都是金山毒霸的进程名。在该字符前面几行有SelfProtect的字符。自我保护和反病毒软件有关的程序，不是病毒就是木马了。灭！
试图用任务管理器结束csrss.exe进程失败，称是系统关键进程。先进注册表删除[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]和v[Runservice]下相应值，注销重登录，该进程消失，可见它没有象3721那样加载为驱动程序。
然后要查找和它有关的文件。仍然用系统搜索功能，查找12月9日生成的所有文件，然后看到12:37分生成的有csrss.exe、rundll32.exe和kavsrc.exe，但kavsrc.exe的图标也是98下的记事本图标，它和rundll32.exe的大小都是33792字节。
此后在12:38分生成了一个tmp.dat文件，内容是
@echo off
debug C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
copy C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\WINDOWS\system32\netstart.exe>C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
del C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat >C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
del C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.in >C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
C:\WINDOWS\system32\netstart.exe
好像是用debug汇编了一段什么程序，这年头常用debug的少见，估计不是什么善茬，因为商业程序员都用Delphi、PB等大程序写软件。
汇编大约进行了1分钟，在12:39生成了netstart.exe、WinSocks.dll、netserv.exe和一个0字节的tmp.out文件。netstart.exe大小117786字节，另两个大小也是52736字节。前两个位于C:\Windows\System32下，后两个在当前用户的Temp文件夹里。
这样我就知道为什么我的系统没有感染的表现了。netstart.exe并没有一直在运行，因为我在任务管理器中没有见过它。把这些文件都删除，我的办法是用winrar压缩并选中完成后删除源文件，然后在rar文件注释中做说明，放一个文件夹里，留待以后研究。这个监狱里都是我的战利品，不过还很少。
现在木马已经清除了。使用搜索引擎查找关于csrss.exe的内容，发现结果不少，有QQ病毒，传奇盗号木马，新浪游戏病毒，但是文件大小和我中的这个都不一样。搜索netstart.exe只有一个日文网站结果，也是一个木马。
这个病毒是怎么进入我的电脑的呢？搜索时发现在12月9日12:36分生成了一个快捷方式，名为dos71cd.zip，它是我那天从某网站下载的DOS7.11版启动光盘，但是当时下载失败了。现在看来根本就不是失败，是因为这个网站的链接本来就是一段网页注入程序，点击后直接把病毒下载来了。
[dllhost.exe]
进程文件: dllhost or dllhost.exe
进程名称: DCOM DLL Host进程
描 述: DCOM DLL Host进程支持基于COM对象支持DLL以运行Windows程序。
介 绍：com代理，系统附加的dll组件越多，则dllhost占用的cpu资源和内存资源就越多，而8月的"冲击波杀手"大概让大家对它比较熟悉吧。
解决Web服务器出现的dllhost.exe错误
我的Web服务器出了问题。一个弹出话框显示"dllhost.exe出现错误"。当我查看应用事件日志时发现有很多Active Server Pages Event 5这样的错误。它们在错误信息中显示为"line 0内存溢出"。这种错误以前每隔几天就发生一次，但现在是每隔几小时就发生一次。重启后也只能维持一阵子。你对此有什么看法吗？
我还没碰到过这种问题，但我在微软的参考信息中看到Exchange Outlook Web Access使用过程中描述过这样的错误。（ http://support.microsoft.com/?kbid=224327）
该链接建议你安装最新的Exchange升级版。如果你在使用Exchange，不妨尝试一下。如果没有，我就要给你一些建议，它们同那些存在ASP 3.0方面问题的人的建议一样：
确保你有所有最新升级版和服务包。
在每个Web应用中允许进程隔离。
将应用程序升级到ASP.NET。
将Web 服务器升级到Windows Server 2003。
dllhost.exe是什么？
dllhost.exe是运行COM+的组件，即COM代理，运行Windows中的Web和FTP服务器必须有这个东西。
什么时候会出现dllhost.exe？
运行COM+组件程序的时候就会出现。
冲击波杀手又是怎么一回事？
冲击波杀手借用了dllhost.exe作为进程名，但是由于Windows不允许同一个目录下有同名文件的存在，因此，冲击波杀手把病毒体：dllhost.exe放到了C:\Windows\System32\Wins目录里面（Windows 2000是C:\WINNT\System32\Wins，全部假设系统安装在C盘），但是真正的dllhost.exe应该放 在C:\Windows\System32（Windows 2000是C:\WINNT\System32）
换句话说就是：冲击波（Worm.WelChia）为了迷惑用户，避免病毒的执行体被进程管理器终止，采用了dllhost.e xe这个和Windows组件一样的名字，但是并不是说进程里面出现dllhost.exe就等于感染了worm.welchi a
再看看这里的FAQ吧
第一个误区----进程出现Dllhost.exe就等于中了病毒
Dllhost.exe是系统文件，但是进程里面出现Dllhost.exe进程不等于中了病毒
第二个误区----一见Dllhost.exe进程就杀死
其实这样做是不好的。很多程序都需要Dllhost.exe
之所以大家恐惧Dllhost.exe进程，恐怕是由于冲击波（杀手）的问题。
其实冲击波（杀手）只不过采取了一个偷梁换柱的方法。因为任务管理器里面无法看出进程中exe文件的路径，所以让大家在分析问题 的时候出现一些偏差。
感染冲击波（杀手）的典型特征不是进程中出现Dllhost.exe，而是RPC服务出现问题（冲击波）和System32\w ins目录里面出现svchost.exe和dllhost.exe文件（冲击波杀手）。注意路径！！
那么，Dllhost.exe是什么呢？Dllhost.exe是 COM+ 的主进程。正常下应该位于system32目录里面和system32\dllcache目录里面。而system32\win s目录里面是不会有dllhost.exe文件的。
[inetinfo.exe]
进程文件: inetinfo or inetinfo.exe
进程名称: IIS Admin Service Helper
描 述: InetInfo是Microsoft Internet Infomation Services (IIS)的一部分，用于Debug调试除错。
介 绍：IIS服务进程，蓝码正是利用的inetinfo.exe的缓冲区溢出漏洞。
inetinfo.exe占用了100％的cpu解决方案
当我们在使用iis时，如果这时错误关机（停电等），重启机器后，再次使用iis，经常发现inetinfo.exe占用了100％的cpu，重装iis后，还是没用
这个问题很多人的解决方案就是重装机器，之前我也是那么做的，只是我是从ghost恢复，但老这样做，似乎很麻烦。终无我忍无可忍（这样的情况太多了，而且我的同时也经常碰到这样的问题）
我就想，既然国内资料没法找到解决方案，国外的也可以试试吧。经过两个多小时的努力，找到了解决方法：其实很简单，使用windows update更新一下电脑一下就行
原文在： http://www.eggheadcafe.com/ng/microsoft.public.inetserver.misc/post210106.asp
inetinfo.exe进程占用高达100%
进程文件: inetinfo or inetinfo.exe
进程名称: IIS Admin Service Helper
InetInfo是Microsoft Internet Infomation Services (IIS)的一部分，用于Debug调试除错。
可能原因很多:
1、IIS溢出入侵
默认情况下，IIS 5.0服务器存在一个后缀为"printer"的应用程序映射，这个映射使用位于WINNTSystem32下的名为 msw3prt.dll 的动态库文件。这个功能是用于基于Web控制的网络打印的，是Windows2000为Internet Printing Protocol(IPP)协议而设置的应用程序功能。不幸的是，这个映射存在一个缓冲区溢出错误，可以导致inetinfo.exe出错
解决方法：删除printer的应用程序映射
2、shtml.dll
在Frontpage Extention Server/Windows2000 Server上输入一个不存在的文件将可以得到web目录的本地路径信息：
http://www.victim.com/_vti_bin/shtml.dll/something.html
这样将返回以下信息：
Cannot open "d:inetpubwwwrootpostinfo1.html": no such file or folder.
但是如果我们请求并非HTML、SHTML或者ASP后缀的文件，我们将会得到不同的信息：
http://207.69.190.42/_vti_bin/shtml.dll/something.exe
shtml.dll对较长的带html后缀的文件名都会进行识别和处理，利用这一点，可以对IIS服务器执行DOS攻击，使目标服务器的CPU占用率达到 100%
解决方法：禁用Frontpage扩展。
Inetinfo.exe 进程停止响应
http://support.microsoft.com/default.aspx?scid=kb;zh-cn;311517
[kernel32.dll]
进程文件: kernel32 or kernel32.dll
进程名称: Windows壳进程
描 述: Windows壳进程用于管理多线程、内存和资源。
介 绍：kernel32.dll是Windows 9x/Me中非常重要的32位动态链接库文件，属于内核级文件。它控制着系统的内存管理、数据的输入输出操作和中断处理，当Win_dows启动时，kernel32.dll就驻留在内存中特定的写保护区域，使别的程序无法占用这个内存区域。
[mdm.exe]
进程文件: mdm or mdm.exe
进程名称: Machine Debug Manager
描 述: Debug除错管理用于调试应用程序和Microsoft Office中的Microsoft Script Editor脚本编辑器。
介 绍：Mdm.exe的主要工作是针对应用软件进行排错(Debug)，说到这里，扯点题外话，如果你在系统见到fff开头的0字节文件，它们就是mdm.exe在排错过程中产生一些暂存文件，这些文件在操作系统进行关机时没有自动被清除，所以这些fff开头的怪文件里是一些后缀名为CHK的文件都是没有用的文件，只要系统中有Mdm.exe存在，就有可能产生以fff开头的怪文件。可以按下面的方法让系统停止运行Mdm.exe来彻底删除以fff开头的怪文件：首先按"Ctrl+Alt+Del"组合键，在弹出的"关闭程序"窗口中选中"Mdm"，按"结束任务"按钮来停止Mdm.exe在后台的运行，接着把Mdm.exe(在C:\Windows\System目录下)改名为Mdm.bak。运行msconfig程序，在启动页中取消对"Machine Debug Manager"的选择。这样可以不让Mdm.exe自启动，然后点击"确定"按钮，结束msconfig程序，并重新启动电脑。另外，如果你使用IE 5.X以上版本浏览器，建议禁用脚本调用(点击"工具→Internet选项→高级→禁用脚本调用")，这样就可以避免以fff开头的怪文件再次产生。
OFF：如何关闭计算机调试管理器 Mdm.exe
found.000文件夹的问题
问：我的电脑有的时候在C盘或D盘的根目录下有个名为found.000的文件夹，里面有一些后缀名为CHK的文件。在c:\windows下有很多以fff开头的怪文件，而且大小全部为0字节。请问这些是什么文件？能否将它们删除？
答：found.000文件夹里面的一些后缀名为CHK的文件是你在使用"磁盘碎片整理程序"整理硬盘后所产生的"丢失簇的恢复文件"。在c:\windows下有很多以fff开头的文件是由Mdm.exe(Machine Debug Manager)这个程序产生的。Mdm.exe的主要工作是针对应用软件进行排错(Debug)，在排错过程中会产生一些暂存文件，这些文件在操作系统进行关机时没有自动被清除，所以这些fff开头的怪文件和found.000文件夹里面的一些后缀名为CHK的文件都是没有用的:s33文件，可以任意删除而不会对系统产生不良影响。
但只要系统中有Mdm.exe存在，那么以fff开头的怪文件就又有可能产生。你可以按下面的方法让系统停止运行Mdm.exe来彻底删除以fff开头的怪文件：首先按"Ctrl+Alt+Del"组合键，在弹出的"关闭程序"窗口中选中"Mdm"，按"结束任务"按钮来停止Mdm.exe在后台的运行，接着把Mdm.exe(在C:\Windows\System目录下)改名为Mdm.bak。运行msconfig程序，在启动页中取消对"Machine Debug Manager"的选择。这样可以不让Mdm.exe自启动，然后点击"确定"按钮，结束msconfig程序，并重新启动电脑。另外，如果你使用IE 5.X，建议禁用脚本调用(点击"工具→Internet选项→高级→禁用脚本调用")，这样就可以避免以fff开头的怪文件再次产生。
[regsvc.exe]
进程文件: regsvc or regsvc.exe
进程名称: 远程注册表服务
描 述: 远程注册表服务用于访问在远程计算机的注册表。可在控制面板，管理工具，服务中禁止相关的服务
[services.exe]
进程文件: services or services.exe
进程名称: Windows Service Controller
描 述: 管理Windows服务。
介 绍：大多数的系统核心模式进程是作为系统进程在运行。打开管理工具中的服务，可以看到有很多服务都是在调用%systemroot%\system32\service.exe
"Worm.NetSky"病毒解决方案
1、使用安全工具软件杀掉病毒；
2、不要轻易点击陌生人的邮件以及下载和运行其所带附件，在运行可疑附件前最好先用毒霸扫描；
3、手工解决方案：
对于系统是Windows9x,WindowsMe：
步骤一，删除病毒主程序
请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为C:\windows），分别输入以下命令，以便删除病毒程序：
C:\windows\>del services.exe
完毕后，取出系统软盘，重新引导到Windows系统。
如果手中没有系统软件盘，可以在引导系统时按"F5"键也可进入纯DOS模式。
步骤二，清除病毒在注册表里添加的项
打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
HKEY_LOCAL_MACHINE > Software > Microsoft > Windows >CurrentVersion>Run在右边的面板中, 找到并删除如下项目：
"service" = "%Windir%\services.exe -serv"
关闭注册表编辑器。
对于系统是Windows NT,Windows2000,Windows XP,Windows 2003 sever：
步骤一，使用进程序管里器结束病毒进程
右键单击任务栏，弹出菜单，选择"任务管理器"，调出"Windows任务管理器"窗口。在任务管理器中，单击"进程"标签，在例表栏内找到病毒进程"services.exe"，单击"结束进程按钮"，点击"是"，结束病毒进程，然后关闭"Windows任务管理器"；
步骤二，查找并删除病毒程序
通过"我的电脑"或"资源管理器"进入系统目录（Winnt或windows)，找到文件services.exe"，将它们删除；
步骤三，清除病毒在注册表里添加的项
打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
HKEY_LOCAL_MACHINE > Software > Microsoft > Windows > CurrentVersion > Run在右边的面板中, 找到并删除如下项目：
"service" = "%Windir%\services.exe -serv"
关闭注册表编辑器。
Services.exe 中的 CPU 使用率增至 100%
症状
在基于 Windows 2000 的计算机上，Services.exe 中的 CPU 使用率可能间歇性地达到 100 %，并且计算机可能停止响应（挂起）。出现此问题时，连接到该计算机（如果它是文件服务器或域控制器）的用户会被断开连接。您可能还需要重新启动计算机。如果 Esent.dll 错误地处理将文件刷新到磁盘的方式，则会出现此症状。
解决方案
Service Pack 信息
要解决此问题，请获取最新的 Microsoft Windows 2000 Service Pack。有关其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
修复程序信息
Microsoft 提供了受支持的修补程序，但该程序只是为了解决本文所介绍的问题。只有计算机遇到本文提到的特定问题时才可应用此修补程序。此修补程序可能还会接受其他一些测试。因此，如果这个问题没有对您造成严重的影响，Microsoft 建议您等待包含此修补程序的下一个 Windows 2000 Service Pack。
要立即解决此问题，请与"Microsoft 产品支持服务"联系，以获取此修补程序。有关"Microsoft 产品支持服务"电话号码和支持费用信息的完整列表，请访问下面的 Microsoft Web 站点：
http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS
注意 ：特殊情况下，如果 Microsoft 支持专业人员确定某个特定的更新程序能够解决您的问题，可免收通常情况下收取的电话支持服务费用。对于特定更新程序无法解决的其他支持问题和事项，将正常收取支持费用。
下表列出了此修补程序的全球版本的文件属性（或更新的属性）。这些文件的日期和时间按协调通用时间 (UTC) 列出。查看文件信息时，它将转换为本地时间。要了解 UTC 与本地时间之间的时差，请使用"控制面板"中的"日期和时间"工具中的 时区 选项卡。
状态
Microsoft 已经确认这是在本文开头列出的 Microsoft 产品中存在的问题。 此问题最初是在 Microsoft Windows 2000 Service Pack 4 中更正的。
[snmp.exe]
进程文件: snmp or snmp.exe
进程名称: Microsoft SNMP Agent
描 述: Windows简单的网络协议代理（SNMP）用于监听和发送请求到适当的网络部分。
简 介：负责接收SNMP请求报文，根据要求发送响应报文并处理与WinsockAPI的接口。包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
[spoolsv.exe]
进程文件: spoolsv or spoolsv.exe
进程名称: Printer Spooler Service
描 述: Windows打印任务控制程序，用以打印机就绪。
介 绍：缓冲（spooler）服务是管理缓冲池中的打印和传真作业。
Spoolsv.exe→打印任务控制程序，一般会先加载以供列表机打印前的准备工作
Spoolsv.exe，如果常增高，有可能是病毒感染所致
目前常见的是:
Backdoor/Byshell(又叫隐形大盗、?/td>
文章来源: http://www.cnblogs.com/wangdetian168/archive/2008/10/09/1307406.html
smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务)
svchost.exe 包含很多系统服务
svchost.exe
SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务)
explorer.exe 资源管理器
internat.exe 托盘区的拼音图标
附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）
mstask.exe 允许程序在指定时间运行。(系统服务)
regsvc.exe 允许远程注册表操作。(系统服务)
winmgmt.exe 提供系统管理信息(系统服务)。
inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务)
tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务)
允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务)
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务)
termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000
Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务)
dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)
以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉：
tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows2000 Professional 的能力。(系统服务)
支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务)
ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务)
ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务)
wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS名称服务。(系统服务)
llssrv.exe License Logging Service(system service)
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务)
RsSub.exe 控制用来远程储存数据的媒体。(系统服务)
locator.exe 管理 RPC 名称服务数据库。(系统服务)
lserver.exe 注册客户端许可证。(系统服务)
dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务)
clipsrv.exe 支持"剪贴簿查看器"，以便可以从远程剪贴簿查阅剪贴页面。(系统服务)
msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务)
faxsvc.exe 帮助您发送和接收传真。(系统服务)
cisvc.exe Indexing Service(system service)
dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务)
mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务)
netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务)
smlogsvc.exe 配置性能日志和警报。(系统服务)
rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务)
RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务)
RsFsa.exe 管理远程储存的文件的操作。(系统服务)
grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务)
SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务)
snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务)
snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务)
UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务)
msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务）
现在一个一个说
[system Idle Process]
进程文件: [system process] or [system process]
进程名称: Windows内存处理系统进程
描 述: Windows页面内存管理进程，拥有0级优先。
介 绍：该进程作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。它的cpu占用率越大表示可供分配的CPU资源越多，数字越小则表示CPU资源紧张。
System Idle Process为何物
问：在使用Windows XP的过程中，按"Ctrl+Alt+Del"键调出任务管理器，在进程中我发现一个名为"System Idle Process"的进程，它往往占用了大部分CPU资源，经常是80%以上，请问为什么它占用了那么多资源？
答：你误解了"System Idle Process"进程的意思了，这里的80%并不是你所想的占用CPU的资源，恰恰相反的是这里的80%以上是CPU资源空闲了出来的。这里的数字越大表示CPU可用资源越多，数字越小则表示CPU资源越紧张。该进程是系统必须的，不能禁止哦。
[csrss.exe]
进程文件: csrss or csrss.exe
进程名称: Client/Server Runtime Server Subsystem
描 述: 客户端服务子系统，用以控制Windows图形相关子系统。
介 绍: 这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss用于维持Windows的控制，创建或者删除线程和一些16位的虚拟MS-DOS环境。
纯手工查杀木马csrss.exe
注意：csrss.exe进程属于系统进程，这里提到的木马csrss.exe是木马伪装成系统进程
前两天突然发现在C:\Program Files\下多了一个rundll32.exe文件。这个程序记得是关于登录和开关机的，不应该在这里，而且它的图标是98下notepad.exe的老记事本图标，在我的2003系统下面很扎眼。但是当时我没有在意。因为平时没有感到系统不稳定，也没有发现内存和CPU大量占用，网络流量也正常。
这两天又发现任务管理器里多了这个rundll32.exe和一个csrss.exe的进程。它和系统进程不一样的地方是用户为Administrator，就是我登录的用户名，而非system，另外它们的名字是小写的，而由SYSTEM启动的进程都是大写的RUNDLL32.EXE和CSRSS.EXE，觉得不对劲。
然后按F3用资源管理器的搜索功能找csrss.exe，果然在C:\Windows下，大小52736字节，生成时间为12月9日12:37。而真正的csrss.exe只有4k，生成时间是2003年3月27日12:00，位于C:\Windows\Syetem32下。
于是用超级无敌的UltraEdit打开它，发现里面有kavscr.exe，mailmonitor一类的字符，这些都是金山毒霸的进程名。在该字符前面几行有SelfProtect的字符。自我保护和反病毒软件有关的程序，不是病毒就是木马了。灭！
试图用任务管理器结束csrss.exe进程失败，称是系统关键进程。先进注册表删除[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]和v[Runservice]下相应值，注销重登录，该进程消失，可见它没有象3721那样加载为驱动程序。
然后要查找和它有关的文件。仍然用系统搜索功能，查找12月9日生成的所有文件，然后看到12:37分生成的有csrss.exe、rundll32.exe和kavsrc.exe，但kavsrc.exe的图标也是98下的记事本图标，它和rundll32.exe的大小都是33792字节。
此后在12:38分生成了一个tmp.dat文件，内容是
@echo off
debug C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
copy C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\WINDOWS\system32\netstart.exe>C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
del C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat >C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
del C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.in >C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out
C:\WINDOWS\system32\netstart.exe
好像是用debug汇编了一段什么程序，这年头常用debug的少见，估计不是什么善茬，因为商业程序员都用Delphi、PB等大程序写软件。
汇编大约进行了1分钟，在12:39生成了netstart.exe、WinSocks.dll、netserv.exe和一个0字节的tmp.out文件。netstart.exe大小117786字节，另两个大小也是52736字节。前两个位于C:\Windows\System32下，后两个在当前用户的Temp文件夹里。
这样我就知道为什么我的系统没有感染的表现了。netstart.exe并没有一直在运行，因为我在任务管理器中没有见过它。把这些文件都删除，我的办法是用winrar压缩并选中完成后删除源文件，然后在rar文件注释中做说明，放一个文件夹里，留待以后研究。这个监狱里都是我的战利品，不过还很少。
现在木马已经清除了。使用搜索引擎查找关于csrss.exe的内容，发现结果不少，有QQ病毒，传奇盗号木马，新浪游戏病毒，但是文件大小和我中的这个都不一样。搜索netstart.exe只有一个日文网站结果，也是一个木马。
这个病毒是怎么进入我的电脑的呢？搜索时发现在12月9日12:36分生成了一个快捷方式，名为dos71cd.zip，它是我那天从某网站下载的DOS7.11版启动光盘，但是当时下载失败了。现在看来根本就不是失败，是因为这个网站的链接本来就是一段网页注入程序，点击后直接把病毒下载来了。
[dllhost.exe]
进程文件: dllhost or dllhost.exe
进程名称: DCOM DLL Host进程
描 述: DCOM DLL Host进程支持基于COM对象支持DLL以运行Windows程序。
介 绍：com代理，系统附加的dll组件越多，则dllhost占用的cpu资源和内存资源就越多，而8月的"冲击波杀手"大概让大家对它比较熟悉吧。
解决Web服务器出现的dllhost.exe错误
我的Web服务器出了问题。一个弹出话框显示"dllhost.exe出现错误"。当我查看应用事件日志时发现有很多Active Server Pages Event 5这样的错误。它们在错误信息中显示为"line 0内存溢出"。这种错误以前每隔几天就发生一次，但现在是每隔几小时就发生一次。重启后也只能维持一阵子。你对此有什么看法吗？
我还没碰到过这种问题，但我在微软的参考信息中看到Exchange Outlook Web Access使用过程中描述过这样的错误。（ http://support.microsoft.com/?kbid=224327）
该链接建议你安装最新的Exchange升级版。如果你在使用Exchange，不妨尝试一下。如果没有，我就要给你一些建议，它们同那些存在ASP 3.0方面问题的人的建议一样：
确保你有所有最新升级版和服务包。
在每个Web应用中允许进程隔离。
将应用程序升级到ASP.NET。
将Web 服务器升级到Windows Server 2003。
dllhost.exe是什么？
dllhost.exe是运行COM+的组件，即COM代理，运行Windows中的Web和FTP服务器必须有这个东西。
什么时候会出现dllhost.exe？
运行COM+组件程序的时候就会出现。
冲击波杀手又是怎么一回事？
冲击波杀手借用了dllhost.exe作为进程名，但是由于Windows不允许同一个目录下有同名文件的存在，因此，冲击波杀手把病毒体：dllhost.exe放到了C:\Windows\System32\Wins目录里面（Windows 2000是C:\WINNT\System32\Wins，全部假设系统安装在C盘），但是真正的dllhost.exe应该放 在C:\Windows\System32（Windows 2000是C:\WINNT\System32）
换句话说就是：冲击波（Worm.WelChia）为了迷惑用户，避免病毒的执行体被进程管理器终止，采用了dllhost.e xe这个和Windows组件一样的名字，但是并不是说进程里面出现dllhost.exe就等于感染了worm.welchi a
再看看这里的FAQ吧
第一个误区----进程出现Dllhost.exe就等于中了病毒
Dllhost.exe是系统文件，但是进程里面出现Dllhost.exe进程不等于中了病毒
第二个误区----一见Dllhost.exe进程就杀死
其实这样做是不好的。很多程序都需要Dllhost.exe
之所以大家恐惧Dllhost.exe进程，恐怕是由于冲击波（杀手）的问题。
其实冲击波（杀手）只不过采取了一个偷梁换柱的方法。因为任务管理器里面无法看出进程中exe文件的路径，所以让大家在分析问题 的时候出现一些偏差。
感染冲击波（杀手）的典型特征不是进程中出现Dllhost.exe，而是RPC服务出现问题（冲击波）和System32\w ins目录里面出现svchost.exe和dllhost.exe文件（冲击波杀手）。注意路径！！
那么，Dllhost.exe是什么呢？Dllhost.exe是 COM+ 的主进程。正常下应该位于system32目录里面和system32\dllcache目录里面。而system32\win s目录里面是不会有dllhost.exe文件的。
[inetinfo.exe]
进程文件: inetinfo or inetinfo.exe
进程名称: IIS Admin Service Helper
描 述: InetInfo是Microsoft Internet Infomation Services (IIS)的一部分，用于Debug调试除错。
介 绍：IIS服务进程，蓝码正是利用的inetinfo.exe的缓冲区溢出漏洞。
inetinfo.exe占用了100％的cpu解决方案
当我们在使用iis时，如果这时错误关机（停电等），重启机器后，再次使用iis，经常发现inetinfo.exe占用了100％的cpu，重装iis后，还是没用
这个问题很多人的解决方案就是重装机器，之前我也是那么做的，只是我是从ghost恢复，但老这样做，似乎很麻烦。终无我忍无可忍（这样的情况太多了，而且我的同时也经常碰到这样的问题）
我就想，既然国内资料没法找到解决方案，国外的也可以试试吧。经过两个多小时的努力，找到了解决方法：其实很简单，使用windows update更新一下电脑一下就行
原文在： http://www.eggheadcafe.com/ng/microsoft.public.inetserver.misc/post210106.asp
inetinfo.exe进程占用高达100%
进程文件: inetinfo or inetinfo.exe
进程名称: IIS Admin Service Helper
InetInfo是Microsoft Internet Infomation Services (IIS)的一部分，用于Debug调试除错。
可能原因很多:
1、IIS溢出入侵
默认情况下，IIS 5.0服务器存在一个后缀为"printer"的应用程序映射，这个映射使用位于WINNTSystem32下的名为 msw3prt.dll 的动态库文件。这个功能是用于基于Web控制的网络打印的，是Windows2000为Internet Printing Protocol(IPP)协议而设置的应用程序功能。不幸的是，这个映射存在一个缓冲区溢出错误，可以导致inetinfo.exe出错
解决方法：删除printer的应用程序映射
2、shtml.dll
在Frontpage Extention Server/Windows2000 Server上输入一个不存在的文件将可以得到web目录的本地路径信息：
http://www.victim.com/_vti_bin/shtml.dll/something.html
这样将返回以下信息：
Cannot open "d:inetpubwwwrootpostinfo1.html": no such file or folder.
但是如果我们请求并非HTML、SHTML或者ASP后缀的文件，我们将会得到不同的信息：
http://207.69.190.42/_vti_bin/shtml.dll/something.exe
shtml.dll对较长的带html后缀的文件名都会进行识别和处理，利用这一点，可以对IIS服务器执行DOS攻击，使目标服务器的CPU占用率达到 100%
解决方法：禁用Frontpage扩展。
Inetinfo.exe 进程停止响应
http://support.microsoft.com/default.aspx?scid=kb;zh-cn;311517
[kernel32.dll]
进程文件: kernel32 or kernel32.dll
进程名称: Windows壳进程
描 述: Windows壳进程用于管理多线程、内存和资源。
介 绍：kernel32.dll是Windows 9x/Me中非常重要的32位动态链接库文件，属于内核级文件。它控制着系统的内存管理、数据的输入输出操作和中断处理，当Win_dows启动时，kernel32.dll就驻留在内存中特定的写保护区域，使别的程序无法占用这个内存区域。
[mdm.exe]
进程文件: mdm or mdm.exe
进程名称: Machine Debug Manager
描 述: Debug除错管理用于调试应用程序和Microsoft Office中的Microsoft Script Editor脚本编辑器。
介 绍：Mdm.exe的主要工作是针对应用软件进行排错(Debug)，说到这里，扯点题外话，如果你在系统见到fff开头的0字节文件，它们就是mdm.exe在排错过程中产生一些暂存文件，这些文件在操作系统进行关机时没有自动被清除，所以这些fff开头的怪文件里是一些后缀名为CHK的文件都是没有用的文件，只要系统中有Mdm.exe存在，就有可能产生以fff开头的怪文件。可以按下面的方法让系统停止运行Mdm.exe来彻底删除以fff开头的怪文件：首先按"Ctrl+Alt+Del"组合键，在弹出的"关闭程序"窗口中选中"Mdm"，按"结束任务"按钮来停止Mdm.exe在后台的运行，接着把Mdm.exe(在C:\Windows\System目录下)改名为Mdm.bak。运行msconfig程序，在启动页中取消对"Machine Debug Manager"的选择。这样可以不让Mdm.exe自启动，然后点击"确定"按钮，结束msconfig程序，并重新启动电脑。另外，如果你使用IE 5.X以上版本浏览器，建议禁用脚本调用(点击"工具→Internet选项→高级→禁用脚本调用")，这样就可以避免以fff开头的怪文件再次产生。
OFF：如何关闭计算机调试管理器 Mdm.exe
found.000文件夹的问题
问：我的电脑有的时候在C盘或D盘的根目录下有个名为found.000的文件夹，里面有一些后缀名为CHK的文件。在c:\windows下有很多以fff开头的怪文件，而且大小全部为0字节。请问这些是什么文件？能否将它们删除？
答：found.000文件夹里面的一些后缀名为CHK的文件是你在使用"磁盘碎片整理程序"整理硬盘后所产生的"丢失簇的恢复文件"。在c:\windows下有很多以fff开头的文件是由Mdm.exe(Machine Debug Manager)这个程序产生的。Mdm.exe的主要工作是针对应用软件进行排错(Debug)，在排错过程中会产生一些暂存文件，这些文件在操作系统进行关机时没有自动被清除，所以这些fff开头的怪文件和found.000文件夹里面的一些后缀名为CHK的文件都是没有用的:s33文件，可以任意删除而不会对系统产生不良影响。
但只要系统中有Mdm.exe存在，那么以fff开头的怪文件就又有可能产生。你可以按下面的方法让系统停止运行Mdm.exe来彻底删除以fff开头的怪文件：首先按"Ctrl+Alt+Del"组合键，在弹出的"关闭程序"窗口中选中"Mdm"，按"结束任务"按钮来停止Mdm.exe在后台的运行，接着把Mdm.exe(在C:\Windows\System目录下)改名为Mdm.bak。运行msconfig程序，在启动页中取消对"Machine Debug Manager"的选择。这样可以不让Mdm.exe自启动，然后点击"确定"按钮，结束msconfig程序，并重新启动电脑。另外，如果你使用IE 5.X，建议禁用脚本调用(点击"工具→Internet选项→高级→禁用脚本调用")，这样就可以避免以fff开头的怪文件再次产生。
[regsvc.exe]
进程文件: regsvc or regsvc.exe
进程名称: 远程注册表服务
描 述: 远程注册表服务用于访问在远程计算机的注册表。可在控制面板，管理工具，服务中禁止相关的服务
[services.exe]
进程文件: services or services.exe
进程名称: Windows Service Controller
描 述: 管理Windows服务。
介 绍：大多数的系统核心模式进程是作为系统进程在运行。打开管理工具中的服务，可以看到有很多服务都是在调用%systemroot%\system32\service.exe
"Worm.NetSky"病毒解决方案
1、使用安全工具软件杀掉病毒；
2、不要轻易点击陌生人的邮件以及下载和运行其所带附件，在运行可疑附件前最好先用毒霸扫描；
3、手工解决方案：
对于系统是Windows9x,WindowsMe：
步骤一，删除病毒主程序
请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为C:\windows），分别输入以下命令，以便删除病毒程序：
C:\windows\>del services.exe
完毕后，取出系统软盘，重新引导到Windows系统。
如果手中没有系统软件盘，可以在引导系统时按"F5"键也可进入纯DOS模式。
步骤二，清除病毒在注册表里添加的项
打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
HKEY_LOCAL_MACHINE > Software > Microsoft > Windows >CurrentVersion>Run在右边的面板中, 找到并删除如下项目：
"service" = "%Windir%\services.exe -serv"
关闭注册表编辑器。
对于系统是Windows NT,Windows2000,Windows XP,Windows 2003 sever：
步骤一，使用进程序管里器结束病毒进程
右键单击任务栏，弹出菜单，选择"任务管理器"，调出"Windows任务管理器"窗口。在任务管理器中，单击"进程"标签，在例表栏内找到病毒进程"services.exe"，单击"结束进程按钮"，点击"是"，结束病毒进程，然后关闭"Windows任务管理器"；
步骤二，查找并删除病毒程序
通过"我的电脑"或"资源管理器"进入系统目录（Winnt或windows)，找到文件services.exe"，将它们删除；
步骤三，清除病毒在注册表里添加的项
打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
HKEY_LOCAL_MACHINE > Software > Microsoft > Windows > CurrentVersion > Run在右边的面板中, 找到并删除如下项目：
"service" = "%Windir%\services.exe -serv"
关闭注册表编辑器。
Services.exe 中的 CPU 使用率增至 100%
症状
在基于 Windows 2000 的计算机上，Services.exe 中的 CPU 使用率可能间歇性地达到 100 %，并且计算机可能停止响应（挂起）。出现此问题时，连接到该计算机（如果它是文件服务器或域控制器）的用户会被断开连接。您可能还需要重新启动计算机。如果 Esent.dll 错误地处理将文件刷新到磁盘的方式，则会出现此症状。
解决方案
Service Pack 信息
要解决此问题，请获取最新的 Microsoft Windows 2000 Service Pack。有关其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
修复程序信息
Microsoft 提供了受支持的修补程序，但该程序只是为了解决本文所介绍的问题。只有计算机遇到本文提到的特定问题时才可应用此修补程序。此修补程序可能还会接受其他一些测试。因此，如果这个问题没有对您造成严重的影响，Microsoft 建议您等待包含此修补程序的下一个 Windows 2000 Service Pack。
要立即解决此问题，请与"Microsoft 产品支持服务"联系，以获取此修补程序。有关"Microsoft 产品支持服务"电话号码和支持费用信息的完整列表，请访问下面的 Microsoft Web 站点：
http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS
注意 ：特殊情况下，如果 Microsoft 支持专业人员确定某个特定的更新程序能够解决您的问题，可免收通常情况下收取的电话支持服务费用。对于特定更新程序无法解决的其他支持问题和事项，将正常收取支持费用。
下表列出了此修补程序的全球版本的文件属性（或更新的属性）。这些文件的日期和时间按协调通用时间 (UTC) 列出。查看文件信息时，它将转换为本地时间。要了解 UTC 与本地时间之间的时差，请使用"控制面板"中的"日期和时间"工具中的 时区 选项卡。
状态
Microsoft 已经确认这是在本文开头列出的 Microsoft 产品中存在的问题。 此问题最初是在 Microsoft Windows 2000 Service Pack 4 中更正的。
[snmp.exe]
进程文件: snmp or snmp.exe
进程名称: Microsoft SNMP Agent
描 述: Windows简单的网络协议代理（SNMP）用于监听和发送请求到适当的网络部分。
简 介：负责接收SNMP请求报文，根据要求发送响应报文并处理与WinsockAPI的接口。包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
[spoolsv.exe]
进程文件: spoolsv or spoolsv.exe
进程名称: Printer Spooler Service
描 述: Windows打印任务控制程序，用以打印机就绪。
介 绍：缓冲（spooler）服务是管理缓冲池中的打印和传真作业。
Spoolsv.exe→打印任务控制程序，一般会先加载以供列表机打印前的准备工作
Spoolsv.exe，如果常增高，有可能是病毒感染所致
目前常见的是:
Backdoor/Byshell(又叫隐形大盗、?/td>
文章来源: http://www.cnblogs.com/wangdetian168/archive/2008/10/09/1307406.html