前言
工作管理員的進程列表是系統健康的「體檢報告」。熟悉標準進程名稱與功能，能像「在熟人群中辨識陌生人」一樣快速發現可疑進程（病毒、木馬、流氓軟體）。
Windows 2000 核心預設進程
| 進程名稱 | 功能描述 |
|---|
| Csrss.exe | 用戶端/伺服器執行階段子系統，管理主控台視窗、執行緒 |
| Explorer.exe | Windows 檔案總管，提供桌面、工作列、檔案管理介面 |
| Internat.exe | 系統匣輸入法指示器圖示 |
| Lsass.exe | 本地安全性授權服務，處理登入驗證、權杖簽發、安全性原則 |
| Mstask.exe | 工作排程器，執行排程任務 |
| Smss.exe | 工作階段管理員，系統啟動初期建立環境、啟動 Winlogon |
| Spoolsv.exe | 列印佇列服務，管理列印工作緩衝 |
| Svchost.exe | 服務宿主進程，載入 DLL 形式的系統服務（可能有多個實例） |
| Services.exe | 服務控制管理員，管理服務啟動/停止/狀態 |
| System | 核心模式系統執行緒（記憶體管理、硬體抽象等） |
| System Idle Process | CPU 閒置程度指標，佔用率高代表 CPU 空閒 |
| Taskmgr.exe | 工作管理員本身 |
| Winlogon.exe | 登入/登出、安全性對話方塊（Ctrl+Alt+Del）、螢幕保護鎖定 |
| Winmgmt.exe | WMI 服務，提供系統管理資訊查詢 |
擴充常見服務進程對照
| 進程名稱 | 描述 | 相關服務/備註 |
|---|
| regsvc.exe | 遠端登錄表服務 | Remote Registry |
| inetinfo.exe | IIS 核心進程 | WWW/FTP/IIS Admin |
| tlntsvr.exe | Telnet 伺服器 | Telnet Service |
| tftpd.exe | TFTP 伺服器 | 無需帳密，注意風險 |
| termsrv.exe | 終端機服務 | Terminal Services |
| dns.exe | DNS 伺服器 | DNS Server |
| tcpsvcs.exe | TCP/IP 簡易服務 | Echo/Daytime/Quote 等 |
| ismserv.exe | 站點間訊息服務 | Advanced Server 專用 |
| ups.exe | UPS 管理 | 不斷電系統監控 |
| wins.exe | WINS 伺服器 | NetBIOS 名稱解析 |
| llssrv.exe | 憑證記錄服務 | Certificate Services |
| ntfrs.exe | 檔案複寫服務 | FRS，SYSVOL 複寫 |
| RsSub.exe | 遠端儲存管理 | Removable Storage |
| locator.exe | RPC 名稱服務 | RPC Locator |
| lserver.exe | 授權伺服器 | License Logging |
| dfssvc.exe | 分散式檔案系統 | DFS |
| clipsrv.exe | 剪貼簿查看器 | 遠端剪貼簿 |
| msdtc.exe | 分散式交易協調器 | MS DTC |
| faxsvc.exe | 傳真服務 | Fax Service |
| cisvc.exe | 索引服務 | Indexing Service |
| dmadmin.exe | 磁碟管理 | Logical Disk Manager |
| mnmsrvc.exe | NetMeeting 遠端桌面 | Remote Desktop Sharing |
| netdde.exe | 網路 DDE | 動態資料交換 |
| smlogsvc.exe | 效能記錄與警示 | Performance Logs and Alerts |
| rsvp.exe | QoS RSVP | 品質服務訊號 |
| RsEng.exe | 遠端儲存引擎 | Remote Storage |
| RsFsa.exe | 檔案篩選代理程式 | Remote Storage |
| grovel.exe | 單一執行個體存儲掃描 | SIS，僅 NTFS |
| SCardSvr.exe | 智慧卡服務 | Smart Card |
| snmp.exe | SNMP 代理程式 | 網管代理 |
| snmptrap.exe | SNMP Trap 接收 | 陷阱訊息轉發 |
| UtilMan.exe | 輔助工具管理員 | 無障礙工具啟動 |
| msiexec.exe | Windows Installer | MSI 套件安裝/修復/移除 |
異常進程判讀三原則
- 名稱偽裝：木馬常模仿系統進程名（如
svch0st.exe、explore.exe、winlogon.exe 拼寫細微差異）
- 路徑異常：系統進程應位於
%SystemRoot%\System32，若在 Temp、用戶目錄、非標準路徑執行 → 高度可疑
- 無簽章/簽章無效：右鍵屬性→「數位簽章」頁籤，微軟簽章缺失或無效 → 惡意程式可能性大
實務建議
- 定期開啟工作管理員「檢視」→「選取欄位」勾選「PID」、「映像路徑」、「命令列」
- 搭配
tasklist /v、wmic process get name,executablepath,commandline 指令匯出基準線
- 發現可疑進程 → 記錄 PID/路徑/命令列 → 斷網 → 上傳 VirusTotal/混合分析平台 → 依報告清除
- 養成「多看進程列表」習慣，建立心理基準線，異常一眼可見
