svchost.exe nedir: tek süreç, çok sayıda Windows hizmeti

Bir konak, bir program değil

Windows hizmetleri DLL'dir ve bir DLL kendisini başlatamaz — içinde yaşayacağı bir konak sürece ihtiyaç duyar. svchost.exe işte o konaktır: tek örnek bir veya daha fazla hizmet DLL'ini yükler ve çalıştırır; svchost'u gelişigüzel sonlandırmak da o an içinde yaşayan hizmetleri öldürür. Tarihsel olarak hizmetler, RAM'in kıt olduğu bir dönemde bellek tasarrufu sağlamak için ayrıcalık düzeyine göre ortak konaklarda gruplandırıldı; bedeli, çöken bir hizmetin oda arkadaşlarını da yanında götürebilmesiydi.

Windows 10 Creators Update'ten itibaren 3,5 GB'dan fazla RAM'e sahip makineler hizmetleri ayırır: her hizmet kendi svchost örneğini alır. Modern bir PC'nin onlarca svchost göstermesinin ve sayının tek başına hiçbir şey ifade etmemesinin sebebi budur — çok örnek şişkinlik değil, izolasyondur. Çöken bir hizmet artık yalnızca kendini götürür ve hangisinin suçu hak ettiğini gerçekten görebilirsiniz.

Hangi hizmetin hangisi olduğunu görme

En hızlı bakış yine Görev Yöneticisi'ndedir: İşlemler görünümünde bir svchost girdisini genişletin, hizmet adları hemen altında belirir. Komut satırı ufku daha da genişletir — tasklist /svc, her svchost'u PID'si ve içindeki hizmetlerle birlikte listeler; hatırlamaya değer versiyon budur. Process Explorer ise konağın komut satırını ekler; -k grup adı (örneğin svchost.exe -k netsvcs), konağın hangi başlangıç grubu için oluşturulduğunu söyler.

• Görev Yöneticisi → İşlemler: bir svchost girdisini genişletin ve hemen altındaki hizmet adlarını okuyun
• Görev Yöneticisi → Ayrıntılar ve Hizmetler sekmeleri: konağı ve hizmeti yan yana bağlamak için PID sütununu eşleştirin
• Terminalde tasklist /svc: her svchost PID'si hizmetleriyle birlikte, konak başına bir blok
• Process Explorer: Komut satırı sütunu -k grubunu gösterir, örn. svchost.exe -k netsvcs
• Process Explorer'ın Services bölmesi: her konağın ne çalıştırdığı, canlı olarak

svchost yükü ne zaman gerçek iştir — ne zaman sahte

svchost içindeki yüksek CPU veya disk kullanımı neredeyse her zaman işini yüksek sesle yapan bir hizmettir: orkestratörüyle (UsoSvc) birlikte Windows Update (wuauserv), Teslim İyileştirmesi (DoSvc), oturum açtıktan sonra beklemede belleği yeniden dolduran SysMain veya ağ değişikliğinden sonra Tanı İlkesi Hizmeti (DPS). Hizmeti tanımlarsanız beklemek mi, güncelleştirmeleri duraklatmak mı yoksa asıl sorunun peşine düşmek mi gerektiğini bilirsiniz — takılan güncelleştirme tesisatı için dürüst ilk adım yeniden başlatmadır. Özellikle Windows Update yükü kendi kendini sınırlar: yamalar indikten sonra bir iki saat zirve yapar, sonra bir sonraki tura kadar kaybolur.

Gerçek svchost.exe, C:\Windows\System32 içinde yaşar ve Microsoft tarafından imzalanmıştır; kullanıcı profilinden, Temp'ten veya AppData'dan çalışan svchost.exe adındaki her şey, tanıdık bir isim giymiş kötü amaçlı yazılımdır. Windows'un kendisinden şüphelenmeden önce kontrol edin: sürece sağ tıklayın → Dosya konumunu aç, ya da Görev Yöneticisi'nin Ayrıntılar sekmesine Görüntü yolu adı sütununu ekleyin. Yol ve imza, sorunu on saniyede çözer.

Sorular ve yanıtlar

Bunları da okuyun