深度解讀 Svchost.exe：系統核心進程與病毒偽裝辨識

svchost.exe 是 NT 核心系統不可或缺的共享進程，負責載入以 DLL 形式實現的系統服務（如 RPCSS、DMSERVER、DHCP）。Win2K 通常 2 個，XP 4 個以上，2003 更多。本文詳細解析其運作機制、如何查看各進程掛載服務、註冊表參數如何指定服務 DLL，並教導如何用第三方工具檢視進程路徑辨識病毒偽裝（如 Welchia 蠕蟲藏身 C:\Windows\System32\wins）。

核心概念

• 共享進程：為節省資源，多項服務共用 svchost.exe 進程空間。
• 服務以 DLL 實現：svchost.exe 本身不提供服務，僅作為宿主調用服務對應的 DLL。
• 註冊表指定參數：以 RPCSS 為例，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSs 下 ImagePath = %SystemRoot%\System32\svchost.exe -k rpcss，Parameters\ServiceDll = %SystemRoot%\System32\rpcss.dll。

查看進程掛載服務

• Win2K：tlist -s（需 Support Tools）。
• XP/2003：tasklist /svc。

病毒偽裝辨識

• 正規 svchost.exe 僅存在於 %SystemRoot%\System32。
• 若發現同名檔案在其他目錄（如 System32\wins），極大機率為病毒/木馬。
• Windows 工作管理器無法顯示進程路徑，需用第三方工具（如 Windows 優化大師進程管理器）檢視完整路徑。

理解 svchost.exe 機制，不再因多進程恐慌，能精準識別惡意偽裝。