Windows 系統核心進程詳解
在 Windows 作業系統中，許多進程在背景默默運作，維持系統穩定。了解這些進程的功能，有助於排查故障、識別惡意軟體，並優化系統效能。以下整理常見的系統核心進程與常駐應用程序，並標註其屬性與用途。
關鍵系統進程（不可終止）
- System Idle Process / System Process：CPU 閒置指示器與記憶體管理核心，優先級為 0，屬正常系統行為。
- smss.exe (Session Manager Subsystem)：會話管理子系統，負責初始化系統變數、啟動 Win32 子系統與登入流程。
- csrss.exe (Client/Server Runtime Server Subsystem)：控制 Windows 圖形子系統、執行緒管理，為關鍵系統進程。
- winlogon.exe：處理用戶登入/登出、安全性對話框（Ctrl+Alt+Del）與桌面載入。
- services.exe (Service Control Manager)：管理所有 Windows 服務的啟動、停止與互動。
- lsass.exe (Local Security Authority Subsystem Service)：執行本地安全性政策、驗證用戶憑證、生成存取權杖。
- svchost.exe：通用服務宿主進程，載入多個 DLL 形式的系統服務（如 Windows Update、防火牆等），通常同時運行多個實例。
- spoolsv.exe / spool32.exe：列印佇列服務，管理列印任務佇列與列印機通訊。
- rpcss.exe (RPC Endpoint Mapper)：遠程程序調用 (RPC) 端點映射器，支援進程間通訊與分散式服務。
- winmgmt.exe (WMI)：Windows 管理儀表服務，提供系統資訊查詢與管理介面。
- alg.exe (Application Layer Gateway)：應用層閘道服務，支援網路共享與 NAT 穿透（如 FTP、ICS）。
- ddhelp.exe (DirectDraw Helper)：DirectX 圖形輔助組件，協助繪圖加速。
- dllhost.exe (DCOM DLL Host)：COM 物件的 DLL 宿主，支援元件物件模型執行。
- inetinfo.exe：IIS 管理服務協助程序，用於 Web/FTP 服務偵錯。
- internat.exe：輸入法指示器，控制語言欄、鍵盤版面與日期格式切換。
- kernel32.dll：核心系統庫（非獨立進程），提供記憶體、執行緒、檔案 I/O 等核心 API。
- mdm.exe (Machine Debug Manager)：腳本偵錯管理器，支援 Office/VS 偵錯。
- mmtask.tsk：多媒體排程器，管理 MIDI 等多媒體背景服務。
- mprexe.exe：網路路由器，處理多重網路協議的請求轉發。
- msgsrv32.exe：Windows 9x 訊息伺服器，負責驅動程式載入與 16 位應用支援（僅舊版系統）。
- mstask.exe：任務排程器服務，執行排程備份、腳本等自動化任務。
- regsvc.exe：遠端登錄服務，允許網路存取登錄檔。
- snmp.exe：簡單網路管理協定 (SNMP) 代理，監聽網路管理請求。
- stisvc.exe：靜態影像服務，支援掃描儀/數位相機的 TWAIN/WIA 介面。
- system：核心系統進程容器，載入驅動程式與系統執行緒。
- taskmon.exe：任務監視器，追蹤程式使用頻率以優化磁碟預讀（Windows 9x/Me）。
- tcpsvcs.exe：TCP/IP 基礎服務（Echo、Daytime、Quote 等）。
- userinit.exe：用戶初始化進程，執行登入腳本、映射網路磁碟、啟動 Explorer。
常見應用程序與第三方服務進程
以下進程屬於使用者安裝的應用程式、驅動程式或安全軟體，非系統核心，可根據需要啟用或停用：
- absr.exe：Backdoor.Autoupder 後門木馬特徵，屬惡意程式，需立即移除。
- acrobat.exe / acrord32.exe：Adobe Acrobat 編輯器與 Reader 閱讀器。
- agentsvr.exe：Microsoft Agent OLE 自動化伺服器。
- aim.exe：AOL Instant Messenger 即時通訊客戶端。
- airsvcu.exe：Microsoft Media Manager 索引服務，可透過控制台停用。
- alogserv.exe / avconsol.exe / avsynmgr.exe / mcshield.exe / vshwin32.exe / vsstat.exe / webscanx.exe：McAfee VirusScan 相關模組（掃描、控制台、同步、即時防護）。
- backWeb.exe：Backweb 廣告軟體元件，常隨免費軟體捆綁安裝。
- bcb.exe：Borland C++ Builder 開發環境。
- calc.exe / charmap.exe / cdplayer.exe / cmd.exe / mspaint.exe / notepad.exe / sndrec32.exe / sndvol32.exe / wordpad.exe：Windows 內建小工具（計算機、字元對照表、CD 播放器、命令提示字元、繪圖、記事本、錄音機、音量控制、寫字板）。
- cidaemon.exe / cisvc.exe：索引服務與其記憶體監控助手（cidaemon 佔用大量記憶體時 cisvc 會重啟它）。
- cmesys.exe / gmt.exe：Gator GAIN 廣告/間諜軟體元件，建議移除。
- ctfmon.exe：替代輸入法編輯器 (TIP) 與語言欄支援（語音、手寫、鍵盤切換）。
- ctsvccda.exe：CD-ROM 存取服務（Windows 9x）。
- cutftp.exe：CuteFTP 客戶端。
- defwatch.exe / navapsvc.exe / navapw32.exe / rtvscan.exe / vptray.exe：Norton AntiVirus 核心掃描、自動防護、代理程式與系統匣圖示。
- devldr32.exe：Creative Sound Blaster 驅動載入器。
- directcd.exe：Adaptec DirectCD 光碟燒錄軟體。
- dreamweaver.exe：Macromedia Dreamweaver 網頁編輯器。
- em_exec.exe：Logitech MouseWare 狀態列圖示，提供滑鼠設定快捷入口。
- excel.exe / mspmspsv.exe / msoobe.exe / msaccess.exe / msimn.exe / msmsgs.exe / mspaint.exe / mspmspsv.exe / mstask.exe / outlook.exe / powerpnt.exe / winword.exe / winproj.exe / frontpage.exe / visio.exe：Microsoft Office 套件組件（Excel、Access、Outlook Express、MSN Messenger、產品啟用、Outlook、PowerPoint、Word、Project、FrontPage、Visio）。
- findfast.exe / osa.exe：Office 索引服務與啟動助手（加快 Office 啟動、字體載入、提醒）。
- hh.exe / winhlp32.exe：HTML 說明檔查看器與 WinHelp 查看器。
- hidserv.exe：人體介面裝置 (HID) 音訊服務，支援 USB 多媒體鍵盤/音效裝置。
- kodakimage.exe：Kodak Imaging 圖片檢視器（Windows 內建）。
- loadqm.exe / loadwc.exe：MSN Queue Manager 載入器與 WebCheck 載入器（IE 設定同步）。
- mad.exe：Microsoft Exchange System Attendant 服務（伺服器端）。
- mgabg.exe：Matrox BIOS Guard 顯示卡保護程式。
- mmc.exe：Microsoft 管理主控台 (MMC)，整合系統管理嵌入式管理單元。
- mobsync.exe：離線網頁同步管理器 (IE 元件)。
- mplayer.exe / mplayer2.exe / wmplayer.exe：Windows Media Player 不同版本播放器。
- msbb.exe：MSBB Web3000 間諜軟體，屬惡意程式。
- msdtc.exe：分散式交易協調器 (MSDTC)，支援跨資料庫交易（SQL Server、COM+ 使用）。
- msiexec.exe：Windows Installer 服務，處理 .msi 安裝包。
- mysqld-nt.exe：MySQL 資料庫伺服器守護進程。
- ndetect.exe：ICQ 網路偵測代理。
- netscape.exe：Netscape 瀏覽器（舊版）。
- ntbackup.exe：Windows 備份精靈。
- ntvdm.exe / wowexec.exe：16 位虛擬機與 WoW 執行環境，支援舊版 16 位應用相容性。
- nvsvc32.exe / nwiz.exe：NVIDIA 驅動程式助手服務與 nView 控制面板。
- point32.exe：Microsoft IntelliMouse 監控程式，提供滑鼠工具列圖示。
- pstores.exe：受保護儲存服務，管理加密密碼與憑證。
- qttask.exe：QuickTime 系統匣圖示。
- realplay.exe：RealPlayer 多媒體播放器。
- rnaapp.exe：撥號網路連線管理器。
- rundll32.exe：DLL 載入器，以命令列方式執行 DLL 內的函數（常被惡意軟體濫用）。
- spoolss.exe：列印子系統，處理列印作業從磁碟到列印機的傳輸。
- starter.exe：Creative Sound Blaster 混音器系統匣圖示。
- systray.exe：電源管理系統匣圖示（筆電休眠/喚醒控制）。
- tapisrv.exe：Telephony API (TAPI) 服務，支援語音/數據通訊應用。
- vsmon.exe：ZoneAlarm TrueVector 網路監視器（防火牆核心）。
- wab.exe：Windows 通訊錄 (Outlook Express 使用)。
- winamp.exe：Winamp 媒體播放器。
- winoa386.mod：MS-DOS 控制台虛擬裝置驅動程式。
- winroute.exe：WinRoute 防火牆/路由/連線共享軟體。
- winzip32.exe / wkqkpick.exe：WinZip 壓縮工具與系統匣圖示。
- wkcalrem.exe：Microsoft Works 行事曆提醒。
- ypager.exe：Yahoo! Messenger 系統匣助手。
識別可疑進程的實用技巧
- 檢查檔案位置：系統進程通常位於
C:\Windows\System32 或 C:\Windows；若同名檔案出現在 Temp、AppData 或使用者目錄，極可能為惡意程式。
- 驗證數位簽章：右鍵點擊檔案→內容→數位簽章，確認發行者為 Microsoft 或可信廠商。
- 觀察資源佔用：持續高 CPU/記憶體/網路佔用且無對應使用者操作，需進一步掃描。
- 使用工具輔助：Process Explorer、Autoruns、Windows Defender 離線掃描可深度分析啟動項與執行中進程。
定期審視進程清單、保持防毒軟體更新、啟用 Windows 防火牆與 SmartScreen，是維護系統安全的基礎防線。
