工作管理員列出數十個行程，哪些是系統核心、哪些可能是惡意程式？本文整理 20+ 常見系統行程功能說明、正常路徑、偽裝特徵，助您快速判斷異常行程。
| 行程名稱 | 功能說明 | 正常路徑 | 異常徵兆 |
|---|---|---|---|
| System | 核心記憶體管理、硬體中斷處理 (PID 4) | 無路徑 (核心) | PID 不為 4、有路徑 |
| smss.exe | 工作階段管理員，建立環境變數、分頁檔 | C:\Windows\System32\ | 非 System32、多於 1 個 |
| csrss.exe | 用戶端/伺服器執行階段子系統 (Win32 圖形/主控台) | C:\Windows\System32\ | 非 System32、無簽章 |
| wininit.exe | Windows 初始化，啟動 services.exe、lsass.exe、lsm.exe | C:\Windows\System32\ | 非 System32 |
| services.exe | 服務控制管理員 (SCM)，啟動/停止服務 | C:\Windows\System32\ | 非 System32 |
| lsass.exe | 本地安全性授權子系統，驗證登入、存取權杖 | C:\Windows\System32\ | 非 System32、**極高危偽裝目標** |
| lsm.exe | 本地工作階段管理員，終端機服務支援 | C:\Windows\System32\ | 非 System32 |
| svchost.exe | 服務宿主程式，載入 DLL 服務 (多個實例正常) | C:\Windows\System32\ | 非 System32、無簽章、網路連線異常 |
| winlogon.exe | 登入/登出/鎖定/解鎖、安全性注意序列 (Ctrl+Alt+Del) | C:\Windows\System32\ | 非 System32 |
| explorer.exe | Windows 殼 (桌面、工作列、檔案總管) | C:\Windows\ | 非 Windows 目錄 |
| spoolsv.exe | 列印佇列管理員 | C:\Windows\System32\ | 非 System32 |
| taskhost.exe | 工作宿主 (排程任務、背景工作) | C:\Windows\System32\ | 非 System32 |
| dwm.exe | 桌面視窗管理員 (Aero/合成) | C:\Windows\System32\ | 非 System32 |
| SearchIndexer.exe | Windows Search 索引器 | C:\Windows\System32\ | 非 System32 |
| audiodg.exe | 音訊引擎隔離進程 (DRM/音效處理) | C:\Windows\System32\ | 非 System32 |
| WmiPrvSE.exe | WMI 提供者主機 (查詢硬體/系統資訊) | C:\Windows\System32\wbem\ | 非 wbem 目錄 |
| conhost.exe | 主控台視窗宿主 (cmd/PowerShell 視窗) | C:\Windows\System32\ | 非 System32 |
| RuntimeBroker.exe | 通用應用程式權限仲裁 (Win8+) | C:\Windows\System32\ | 非 System32 |
| SettingSyncHost.exe | 設定同步主機 (OneDrive/帳號同步) | C:\Windows\System32\ | 非 System32 |
chrome.exe、firefox.exe、msedge.exe：瀏覽器notepad.exe、calc.exe、mspaint.exe：附屬應用程式qq.exe、wechat.exe、dingding.exe：即時通訊python.exe、java.exe、node.exe：開發執行環境C:\Windows\System32 或 C:\Windows。
