svchost.exe是nt核心系统的十分重要的历程，关于2000、xp来说，不成或缺。良多病毒、木马也会挪用它。所以，深进领会那个法式，是玩电脑的必修课之一。
各人对windows操做系同一定不目生，但你能否重视到系统中“svchost.exe”那个文件呢？细心的伴侣会发现windows中存在多个“svchost”历程（通过“ctrl+alt+del”键翻开使命治理器，那里的“历程”标签中就可看到了），为什么会如许呢？下面就来揭开它神异的面纱。
发现
在基于nt内核的windows操做系统家族中，差别版本的windows系统，存在差别数量的“svchost”历程，用户利用“使命治理器”可查看其历程数目。一般来说，win2000有两个svchost历程，winxp中则有四个或四个以上的svchost历程（以后看到系统中有多个那种历程，万万别立即断定系统有病毒了哟），而win2003server中则更多。那些svchost历程供给良多系统办事，如：rpcss办事（remoteprocedurecall）、dmserver办事（logicaldiskmanager）、dhcp办事（dhcpclient）等。
假设要领会每个svchost历程到底供给了几系统办事，能够在win2000的号令提醒符窗口中输进“tlist-s”号令来查看，该号令是win2000supporttools供给的。在winxp则利用“tasklist/svc”号令。
svchost中能够包罗多个办事
深进
windows系统历程分为独立历程和共享历程两种，“svchost.exe”文件存在于“%systemroot%system32”目次下，它属于共享历程。跟着windows系统办事不竭增加，为了节约系统资本，微软把良多办事做成共享体例，交由svchost.exe历程来启动。但svchost历程只做为办事宿主，其实不能实现任何办事功用，即它只能供给前提让其他办事在那里被启动，而它本身却不克不及给用户供给任何办事。那那些办事是若何实现的呢？
本来那些系统办事是以动态链接库（dll）形式实现的，它们把可施行法式指向svchost，由svchost挪用响应办事的动态链接库来启动办事。那svchost又怎么晓得某个系统办事该挪用哪个动态链接库呢？那是通过系统办事在注册表中设置的参数来实现。下面就以rpcss（remoteprocedurecall）办事为例，停止讲解。
从启动参数中可见办事是靠svchost来启动的。
实例
以windowsxp为例，点击“起头”/“运行”，输进“services.msc”号令，弹出办事对话框，然后翻开“remoteprocedurecall”属性对话框，能够看到rpcss办事的可施行文件的途径为“c:\windows\system32\svchost-krpcss”，那阐明rpcss办事是依靠svchost挪用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。
在运行对话框中输进“regedit.exe”后回车，翻开注册表编纂器，找到[hkey_local_machinesystemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost-krpcss”（那就是在办事窗口中看到的办事启动号令），别的在“parameters”子项中有个名为“servicedll”的键，其值为“%systemroot%system32rpcss.dll”，此中“rpcss.dll”就是rpcss办事要利用的动态链接库文件。如许svchost历程通过读取“rpcss”办事注册表信息，就能启动该办事了。
解惑
因为svchost历程启动各类办事，所以病毒、木马也想尽办法来操纵它，诡计操纵它的特征来迷惘用户，到达传染、进侵、毁坏的目标（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost历程是很一般的，在受传染的机器中到底哪个是病毒历程呢？那里仅举一例来阐明。
假设windowsxp系统被“w32.welchia.worm”传染了。一般的svchost文件存在于“c:\windows\system32”目次下，假设发现该文件呈现在其他目次下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目次中，因而利用历程治理器查看svchost历程的施行文件途径就很随便发现系统能否传染了病毒。windows系统自带的使命治理器不克不及够查看历程的途径，能够利用第三方历程治理软件，如“windows优化巨匠”历程治理器，通过那些东西就可很随便地查看到所有的svchost历程的施行文件途径，一旦发现其施行途径为不通俗的位置就应该立即停止检测和处置。
因为篇幅的关系，不克不及对svchost全数功用停止详尽介绍，那是一个windows中的一个特殊历程，有兴致的可参考有关手艺材料进一步往领会它。
转载自兴致中国论坛 数码电子版块 关键词：svchost 历程