2.利用专门进程软件
Process Explorer(以下简称为PE)这个软件已经有国内的爱好者对它进行了汉化,下面就以汉化版来介绍。虽然系统命令可以列出进程比较详细的信息,但是无法知道进程包含每个服务的具体路径,以及调用的DLL文件。来管理进程。PE可以让使用者能了解到在后台执行的处理程序,能显示目前已经载入哪些模块,分别正在被哪些程序使用着,还可显示这些程序所调用的DLL进程,以及它们所打开的句柄。
下面就以用PE来查看Svchost.exe这个进程为例。如上所述,每个Svchost.exe包含着一组服务,而木马们也非常喜欢它,常常通过注册为系统服务并借助它来启动。Svchost.exe进程只作为服务宿主,也就是说它只能提供条件,让其他服务在这里被启动,自己并不代表任何程序。这些系统服务是以动态链接库(DLL)的形式实现,木马们把可执行程序指向Svchost,由它调用木马文件的动态链接库来启动服务。如果仅依靠系统自带那两个命令是无法解析这个进程的。
运行PE后选中Svhoost.exe,右击选择“属性”,在弹出的窗口中就可以看到关于该进程的详细信息(如图3用工具查看进程就方便了)。