工作管理員中數十個進程名稱神秘，實則各司其職。本文分類整理核心系統進程與常見服務進程，標註功能、正常路徑、可否結束、偽裝病毒特徵。
| 進程名稱 | 完整名稱/功能 | 正常路徑 | 關鍵說明 |
|---|---|---|---|
| System Idle Process | 系統閒置進程 | 無 (核心) | CPU 閒置百分比載體，PID 0，每核心一個執行緒，佔用率高代表 CPU 閒置多 |
| System | 系統核心進程 | 無 (核心) | PID 4，掛載核心模式驅動程式執行緒 (如檔案系統、網路協定) |
| smss.exe | Session Manager | C:\Windows\System32\ | 最早啟動的用戶模式進程，建立會話、載入子系統、啟動 csrss/winlogon |
| csrss.exe | Client/Server Runtime Subsystem | C:\Windows\System32\ | 管理主控台視窗、執行緒、進程結束、硬體抽象層圖形介面，Win7+ 移至用戶模式 |
| wininit.exe | Windows Initialization | C:\Windows\System32\ | Vista+ 啟動服務控制管理器 (services.exe)、LSM、字型快取等 |
| winlogon.exe | Windows Logon | C:\Windows\System32\ | 處理互動式登入/登出、安全性注意序列 (Ctrl+Alt+Del)、載入用戶設定檔 |
| services.exe | Service Control Manager | C:\Windows\System32\ | 管理所有 Windows 服務啟動/停止/狀態，PID 通常較小 |
| lsass.exe | Local Security Authority Subsystem Service | C:\Windows\System32\ | 核心認證授權：登入驗證、權杖發放、安全性原則、EFS/IPSec 金鑰管理，極高價值攻擊目標 |
| lsm.exe | Local Session Manager | C:\Windows\System32\ | Vista+ 管理終端機服務會話 |
| svchost.exe | Service Host (共用服務主機) | C:\Windows\System32\ | 載入 DLL 形式服務 (如 Windows Update、防火牆、DNS Client)，通常多個實例，各依群組運行 |
| spoolsv.exe | Print Spooler | C:\Windows\System32\ | 列印佇列管理，非列印環境可停用服務 |
| explorer.exe | Windows Explorer (Shell) | C:\Windows\ | 桌面、工作列、開始選單、檔案總管，結束後桌面消失，Winlogon 會自動重啟 (若啟用 AutoRestartShell) |
| taskhostw.exe | Task Host Window | C:\Windows\System32\ | Win8+ 承載以 DLL 形式實現的背景工作 (如維護、同步)，每使用者一個實例 |
| dwm.exe | Desktop Window Manager | C:\Windows\System32\ | 桌面合成、Aero 效果、視窗縮圖、翻轉 3D，停用視覺效果可結束 |
| 進程 | 服務名稱 | 功能 | 建議 |
|---|---|---|---|
| mstask.exe / taskeng.exe | Task Scheduler | 排程工作 | 保留 |
| regsvc.exe | Remote Registry | 遠端登錄存取 | 停用 (安全風險) |
| winmgmt.exe | WMI | 管理資訊查詢 | 保留 |
| inetinfo.exe | IIS Admin | FTP/WWW 管理 | 非伺服器停用 |
| tlntsvr.exe | Telnet | 遠端命令列登入 | 停用 (明文傳輸) |
| tftpd.exe | TFTP | 簡易檔案傳輸 | 停用 |
| termsrv.exe | Remote Desktop Services | 遠端桌面 | 需遠端時啟用 |
| dns.exe | DNS Server | 網域名稱解析 | 僅 DC 需要 |
| wins.exe | WINS | NetBIOS 名稱解析 | 舊環境才需 |
| llssrv.exe | License Logging | 授權記錄 | 可停用 |
| ntfrs.exe / dfsrs.exe | File Replication / DFSR | 檔案複寫 | 網域環境需求 |
| rsvp.exe | QoS RSVP | 資源預留協定 | 可停用 |
| msdtc.exe | Distributed Transaction Coordinator | 分散式交易 | SQL/COM+ 應用需求 |
| faxsvc.exe | Fax Service | 傳真 | 可停用 |
| cisvc.exe | Indexing Service | 內容索引 | Win7+ 改為 Windows Search |
| dmadmin.exe | Logical Disk Manager Admin | 磁碟管理遠端 | 手動啟動 |
| mnmsrvc.exe | NetMeeting Remote Desktop Sharing | 桌面共享 | 停用 |
| netdde.exe | NetDDE | 網路動態資料交換 | 停用 |
ctfmon.exe：輸入法/語言列 (可在文字服務關閉)internat.exe：舊版輸入法指示器 (XP)rundll32.exe：代碼 DLL 入口點，合法但常被惡意利用，需核對命令列參數wuauclt.exe / MusNotificationUx.exe：Windows Update 客戶端C:\Windows\System32\ (或 SysWOW64)，其他路徑極大機率為惡意。svchost.exe -k netsvcs 正常，但 svchost.exe C:\temp\evil.dll 異常)。熟記核心 10-15 個進程名稱與功能，配合路徑/簽章驗證，即可快速判斷進程正邪。定期用 Process Explorer 全掃描並提交可疑檔案 VirusTotal，是維護系統乾淨的最佳實務。
