10个Windows进程详解：安全、可疑还是废物

裁文件，不裁名字

恶意软件酷爱披着系统名字，却披不上系统位置：真正的svchost.exe住在C:\Windows\System32，而躲在C:\Users\...\AppData\Roaming里的冒牌货等于自报家门。所以老实的方法永远是同样三项检查——文件住在哪、谁签的名、此刻在干什么。任务管理器不装任何额外软件就能全部做到：右键点击进程选择“打开文件位置”，然后切到“详细信息”标签，启用“发布者”和“命令行”两列。跟这两列打两分钟交道，十个“这是不是病毒”的问题里能了结九个。

登录时短暂冲高然后归于平静的进程是正常的；抱着整整一个内核几个小时、却拿不出任何成果的进程，值得查一下位置。同一个右键菜单里的“在线搜索”也真心好用：真正的系统进程会在结果里带回微软文档和厂商页面，而兜售电脑加速器的恐吓论坛，本身就是给自己的判决书。

打开文件位置：正版系统进程都住在C:\Windows\System32
发布者列：系统对应微软，其余对应你认得的厂商
命令行：真正的svchost.exe总是带着-k参数启动
在线搜索：微软文档和厂商页面是好兆头，加速器论坛不是
行为：登录时冲一下是正常，几小时说不清的CPU占用不正常

老实巴交的核心：这十个进程在做什么

System不是一个程序，而是内核线程的容器；System Idle Process更是连程序都不算——一个显示CPU闲得多厉害的计数器，所以在健康的机器上读数是99%。csrss.exe、winlogon.exe和lsass.exe构成会话的脊梁：登录、安全和本地安全机构，其中lsass尤其受冒牌货青睐，正因为杀掉它会强制重启——动手前先核实它的路径。services.exe是服务控制管理器，所有后台服务都向它汇报。

外壳看得见的那一半是explorer.exe，它拥有任务栏、开始菜单、桌面和每一个文件窗口——就一个进程，所以一个恶劣的shell扩展能把这四样同时冻结。svchost.exe的副本按隔离的分组承载Windows服务，所以几十个实例是设计在正常工作，而不是感染。RuntimeBroker.exe在UWP应用和系统之间谈权限，dllhost.exe在Explorer之外运行COM对象（比如缩略图生成），免得一个坏编解码器把外壳也拖下水。

真正的废物住在哪

上面这十个进程没有一个是废物，对它们做“优化”从徒劳到灾难不等。真正的白吃白住者顶着厂商的名字：更新代理、遥测帮手、托盘图标和云同步启动器，每个制造商都往你的自启动里塞一份，好让它们赶在你需要之前加载完毕。典型的OEM机器出厂就带着半打这样的客人，每一位都要在登录时间、内存和你的一小片注意力里收自己的租。

解决办法是任务管理器里的“启动应用”列表，而不是机器一慢就慌慌张张杀任务：被禁用的助手保持禁用，而被结束的任务下次登录就会复活。禁用任何东西之前，先给它做一次诚实的工作考核——天天在用的软件的助手可以留下，去年就卸载的试用版的更新器不行。而如果一个名字长得像系统进程、命令行却指向temp文件夹，那正是疑心才是正确反应的唯一情形。