不是病毒！深度解析 Windows 易混淆進程：Explorer.exe 與 Svchost.exe

在 Windows 系統中，某些進程名稱常讓使用者感到困惑，甚至誤以為是病毒木馬。本文重點解析兩個核心系統進程 Explorer.exe 與 Svchost.exe 的特性、不同版本 Windows 中的表現，以及如何辨識異常狀況。

最易混淆進程之一：Explorer.exe

在所有 Windows 系列作業系統啟動時，都會自動執行一個名為 Explorer.exe 的進程。它主要負責顯示桌面圖示、工作列、開始選單等殼層介面元素。在不同 Windows 版本中，它的角色與可操作性有所不同。

Windows 9x 時代的妙用

在 Windows 9x 中，Explorer.exe 是系統運行所必需的。若透過「結束工作」強制終止它，系統會重新整理桌面並更新登錄檔。這提供了一個不重開機就能套用登錄變更的技巧：

1. 按 Ctrl+Alt+Del 開啟「關閉程式」對話框。
2. 選擇「Explorer」點擊「結束工作」。
3. 出現「關閉 Windows」對話框時點選「否」。
4. 稍後系統提示程式無回應，再次點選「結束工作」。
5. 桌面重新整理，登錄更新完成，回到桌面環境。

這比完整重新開機方便許多。

Windows 2000/XP/NT 核心系統中的應用

在 NT 核心系統（Win2000、XP、Vista、7 等）中，Explorer.exe 並非系統核心進程，可透過工作管理器安全結束而不會導致系統當機。結束後桌面圖示、工作列消失，僅剩桌布，但已開啟的應用程式仍可正常操作。

無工作列時如何啟動其他程式？

• 方法一：按 Ctrl+Alt+Del →「工作管理員」→「應用程式」分頁 →「新增工作」→ 輸入程式路徑與名稱。
• 方法二：在任一已開啟程式的「檔案」→「開啟」對話框中，將檔案類型設為「所有檔案」，瀏覽至目標程式右鍵選擇「開啟」（Office 系列除外）。

結束 Explorer.exe 可釋放約 4.5 MB 記憶體，對資源緊張的舊電腦有一定加速效果。

最易混淆進程之二：Svchost.exe

Svchost.exe 是 NT 核心系統（Win2000、XP、2003、Vista、7 等）極關鍵的進程，不可或缺。許多病毒木馬也會偽裝或利用它，因此深入了解是電腦進階用戶的必修課。

為什麼會有多個 Svchost.exe？

細心觀察工作管理器會發現多個 Svchost.exe 同時運行。這是正常現象：

• Windows 2000：通常 2 個
• Windows XP：通常 4 個或更多
• Windows Server 2003：更多

每個 Svchost 進程載入一組特定的系統服務（如 RPC、邏輯磁碟管理器、DHCP 客戶端等）。為了節省資源，微軟採用共享進程模式：將多個以 DLL 形式實現的服務委託給 Svchost.exe 載入啟動。Svchost 本身不提供任何服務，僅作為「服務宿主」。

查看每個 Svchost 載入的服務

• Windows 2000：命令列執行 tlist -s（需安裝 Support Tools）
• Windows XP/更新版本：執行 tasklist /svc

如何辨識偽裝成 Svchost 的病毒？

正規 Svchost.exe 位於 %SystemRoot%\System32（通常為 C:\Windows\System32）。若發現同名檔案出現在其他目錄（如 C:\Windows\System32\Wins），極大機率是病毒。Windows 內建工作管理器無法顯示進程路徑，建議使用第三方進程管理工具（如 Process Explorer）檢視每個 Svchost 的映像路徑，一旦發現路徑異常，立即進行病毒掃描清除。