打開工作管理員面對幾十個進程不知所措？以下列出 Windows XP 正常運行時的核心系統進程與常見服務進程，作為判斷異常進程（病毒、木馬、流氓軟體）的基準參考。
| 進程名稱 | 功能描述 |
|---|---|
| System Idle Process | 單執行緒跑在每個處理器上，分配閒置 CPU 時間，CPU 使用率高代表系統閒置（正常）。 |
| winlogon.exe | 管理使用者登入/登出、安全性注意序列 (Ctrl+Alt+Del)。 |
| csrss.exe | 用戶端/伺服器執行階段子系統，管理主控台視窗、執行緒、進程。 |
| services.exe | 服務控制管理器，啟動/停止/管理系統服務。 |
| svchost.exe | 通用服務宿主進程，載入 DLL 形式的服務（如 Windows Update、音訊、網路等）。多個同時運行屬正常，每組服務一個實例。 |
| explorer.exe | Windows 檔案總管，提供桌面、工作列、開始功能表、檔案管理介面。 |
| smss.exe | 會話管理子系統，啟動用戶會話、建立環境變數、載入核心裝置驅動。 |
| lsass.exe | 本地安全性授權服務，管理安全性原則、驗證封裝、存取權杖、EFS 金鑰。 |
| spoolsv.exe | 列印緩衝管理器，管理列印佇列。 |
| internat.exe | 系統匣輸入法指示器圖示（中文版）。 |
| 進程名稱 | 對應服務 | 功能 |
|---|---|---|
| mstask.exe | Task Scheduler | 排程工作執行。 |
| regsvc.exe | Remote Registry | 允許遠端存取登錄檔。 |
| winmgmt.exe | WMI | 提供系統管理資訊 (WMI)。 |
| inetinfo.exe | IIS Admin Service | FTP/Web 服務管理。 |
| tlntsvr.exe | Telnet | 遠端命令列登入。 |
| tftpd.exe | TFTP | 簡易檔案傳輸協定（遠端安裝服務用）。 |
| termsrv.exe | Terminal Services | 遠端桌面/終端機服務。 |
| tcpsvcs.exe | Simple TCP/IP Services | Character Generator, Daytime, Discard, Echo, Quote of the Day。 |
| ismserv.exe | Intersite Messaging | 站點間訊息傳遞（進階伺服器）。 |
| ups.exe | UPS | 不斷電系統管理。 |
| wins.exe | WINS | NetBIOS 名稱解析服務。 |
| llssrv.exe | License Logging | 授權記錄服務。 |
| ntfrs.exe | File Replication | 多伺服器檔案/目錄同步。 |
| rsvp.exe | QoS RSVP | 網路品質服務信號。 |
| faxsvc.exe | Fax Service | 傳真收發。 |
| cisvc.exe | Indexing Service | 內容索引服務。 |
| dmadmin.exe | DM Admin | 邏輯磁碟管理員。 |
| mnmsrvc.exe | NetMeeting Remote Desktop Sharing | NetMeeting 桌面共享。 |
| smlogsvc.exe | Performance Logs and Alerts | 效能日誌與警示。 |
C:\Windows\System32\。若同名進程位於臨時目錄、使用者資料夾、非標準路徑 → 高度可疑。netstat -ano 對應 PID 觀察連線。系統進程通常不主動對外連線（除服務需求），不明連線 → 可疑。建議搭配 Process Explorer (Sysinternals) 等進階工具進行詳細分析。定期掃描啟動項目 (msconfig、Autoruns) 清理殘留惡意程式。
