在基于nt内核的windows操作系统家族中，svchost.exe是一个非常重要的进程。很多病毒、木马驻留系统与这个进程密切相关，因此深入了解该进程是非常有必要的。本文主要介绍svchost进程的功能，以及与该进程相关的知识。
svchost进程概述
微软对“svchost进程”的定义是：svchost.exe是从动态链接库（dll）中运行的服务的通用主机进程名称。svchost.exe文件位于“%systemroot%\system32”文件夹中。当系统启动时，svchost将检查注册表中的服务部分，以构建需要加载的服务列表。svchost的多个实例可以同时运行。每个svchost会话可以包含一组服务，以便根据svchost的启动方式和位置的不同运行不同的服务，这样可以更好地进行控制且更加便于调试。
svchost组是由注册表[hkey_local_machine\ software\microsoft\windows nt\currentversion\svchost]项来识别的。在这个注册表项下的每个值都代表单独的svchost组，并在我们查看活动进程时作为单独的实例显示。这里的键值均为reg_multi_sz类型的值，并且包含该svchost组里运行的服务名称。
注册表中的svchost
实际上，svchost只是作为服务的宿主，本身并不实现什么功能。如果需要使用svchost来启动某个dll形式实现的服务，该dll的载体loader指向svchost，在启动服务的时候由svchost调用该服务的dll来实现启动的目的。使用svchost启动某个服务的dll文件是由注册表中的参数来决定的，在需要启动服务的注册表项下都有一个“parameters”子项，其中的“servicedll”键值表明该服务由哪个dll文件负责，并且这个dll文件必须导出一个servicemain（）函数，为处理服务任务提供支持。
提示：不同版本的windows系统，存在不同数量的svchost进程。一般来说，windows 2000有两个svchost进程，而windows xp则有四个或四个以上的svchost进程。
svchost进程实例讲解
要想查看在svchost中运行服务的列表，可以在windows xp命令提示符窗口中输入“tasklist /svc”命令后，回车执行（如果使用的是windows 2000，可用support tools提供的tlist工具查看，命令为“tlist -s”）。tasklist命令显示活动进程的列表，/svc命令开关指定显示每个进程中活动服务的列表。从图中可以看到，svchost进程启动很多系统服务，如：rpcss（remote procedure call）、dhcp（dhcp client）、netman（network connections）服务等等。
上一篇文章：