Windows XP 15 個核心系統程序詳細解析

Windows XP 運行時會載入數十個系統程序，以下整理 15 個最常見且關鍵的程序，說明其功能、正常路徑與潛在偽裝病毒特徵，協助使用者判斷系統狀態。

1. svchost.exe - 服務宿主程序

• 功能：載入並執行 DLL 形式的系統服務，屬核心元件。
• 正常路徑：C:\Windows\System32、C:\Windows\ServicePackFiles\i386
• 偽裝病毒：svch0st.exe（字母 o 換成數字 0）、W32.Welchia.Worm 利用 LSASS 漏洞導致關機。

2. iexplore.exe - Internet Explorer 主程式

• 功能：IE 瀏覽器核心，亦為 Avant 等殼瀏覽器基礎。
• 正常路徑：C:\Program Files\Internet Explorer、C:\Windows\System32\dllcache
• 偽裝病毒：Trojan.KillAV.B，會終止防毒軟體與系統工具。

3. rundll32.exe - DLL 執行器

• 功能：在記憶體中載入並執行 DLL 函式，供應用程式呼叫。
• 正常路徑：C:\Windows\System32、C:\Windows\System32\dllcache
• 偽裝病毒：W32.Miroot.Worm，開啟後門竊取密碼。

4. ctfmon.exe - 替代使用者輸入服務

• 功能：Office 套件元件，管理語言列、輸入法切換、語音/手寫辨識。
• 備註：非核心系統程式，但終止可能導致輸入法異常。

5. winlogon.exe - 登入管理程序

• 功能：處理使用者登入/登出、安全性注意序列 (Ctrl+Alt+Del)、載入使用者設定檔。
• 正常路徑：C:\Windows\System32
• 偽裝病毒：W32.Netsky.D@mm 蠕蟲，建立 SMTP 引擎傳播郵件。

6. wdfmgr.exe - Windows Driver Foundation 管理器

• 功能：Windows Media Player 10 相關，處理驅動相容性。

7. alg.exe - 應用層閘道服務

• 功能：支援網路連線共享 (ICS) 與 Windows 防火牆的應用層協定穿透（如 FTP、SIP）。

8. smss.exe - 工作階段管理子系統

• 功能：系統啟動早期建立工作階段、載入子系統、執行開機流程。
• 正常路徑：C:\Windows\System32、C:\Windows\ServicePackFiles\i386
• 偽裝病毒：Win32.Ladex.A 木馬。

9. explorer.exe - Windows 檔案總管/殼

• 功能：管理圖形介面：開始功能表、工作列、桌面、檔案瀏覽。
• 正常路徑：C:\Windows、C:\Windows\ServicePackFiles\i386
• 偽裝病毒：W32.CodeRed、W32.Mydoom.B@mm，透過郵件傳播。

10. csrss.exe - 用戶端/伺服器執行階段子系統

• 功能：管理主控台視窗、執行緒、進程建立/刪除等核心圖形任務。
• 正常路徑：C:\Windows\System32、C:\Windows\ServicePackFiles\i386
• 偽裝病毒：W32.Netsky.ab@mm、Win32.Ladex.A 等。

11. lsass.exe - 本地安全性授權服務

• 功能：處理安全性政策、驗證登入、存取權杖產生、密碼變更等核心安全機制。

12. conime.exe - 輸入法編輯器 (IME) 程序

• 功能：亞洲語言版本的輸入法支援程序。
• 正常路徑：C:\Windows\System32、C:\Windows\System32\dllcache
• 注意：非亞洲語言版本若出現此程序，可能為 BfgHost 1.0 後門程式。

判斷原則

1. 確認檔案路徑是否符合上述正常路徑。
2. 檢查檔名拼寫（如 svch0st vs svchost）。
3. 觀察行為：異常網路連線、CPU 佔用過高、啟動不明視窗。
4. 使用防毒軟體掃描可疑程序。