按下 Ctrl+Alt+Del 開啟工作管理器的「進程」頁籤，列出的數十個進程讓人眼花撩亂。哪些是系統核心？哪些是使用者程式？哪些可能是木馬偽裝？本文帶您認識常見進程，並掌握內建指令與專業工具進行深度管理。
一、認識常見進程分類
1. 系統核心進程（不可終止）
- Svchost.exe：DLL 服務宿主，每個實例載入一組服務（網路、磁碟管理、排程任務等）。XP/2000 會有多個同時運行。木馬常偽裝或注入此進程。
- Explorer.exe：資源管理器，管理桌面、工作列、檔案總管。
- WinLogon.exe：管理使用者登入登出。
- System / System Idle Process：核心系統執行緒；Idle 佔用高 CPU 代表處理器閒置，非異常。
- 其他：Alg.exe、Lsass.exe、Services.exe、Csrss.exe、Smss.exe 等皆為核心服務，終止會導致系統不穩。
2. 使用者層進程（可依需求管理）
- 防毒軟體：Navapsvc.exe、Navapw32.exe (Norton)
- 輸入法：Ctfmon.exe (Office) / Internat.exe
- 即時通訊：QQ.exe、Timplatform.exe
- 應用程式：Winamp.exe、Winword.exe、Iexplore.exe、Excel.exe 等，進程名通常與程式名一致。
二、進階管理工具與指令
1. 內建指令列工具
- Tasklist：列出所有進程與 PID，支援遠端查詢。
tasklist /m 可顯示各進程載入的 DLL 模組（如圖）。
- Taskkill：依 PID 或映像名稱終止進程。
taskkill /im qq.exe /f 強制結束 QQ。
2. 專業工具：Process Explorer (PE)
Sysinternals 出品，已漢化。PE 能顯示進程完整路徑、父子關係、載入的 DLL、開啟的控制代碼、所屬服務等詳細資訊，是識別惡意進程的利器。
以 Svchost.exe 為例：
- 「映像」頁籤：顯示路徑 (C:\Windows\System32)、註冊服務、父進程 (Services.exe)。
- 「服務」頁籤：列出該實例承載的服務詳細說明。
- 「執行緒/模組」頁籤：檢視每條執行緒呼叫的 DLL，若發現非微軟簽名或路徑異常的 DLL，極可能為木馬植入。
三、實務建議
- 熟悉自己電腦的基準進程清單，定期比對。
- 發現可疑進程（無簽名、路徑異常、高資源佔用），先用 PE 確認模組與路徑，再決定終止或掃毒。
- 善用「驗證簽章」功能（PE 右鍵 → Properties → Verify Signatures），快速篩選非微軟簽名進程。
掌握進程管理，不僅能優化效能，更是系統安全的第一道防線。
