qqprotect exe是什么进程

实验四:认清系统进程及用户进程

SessionManager

这个进程是不可以从任务管理器中关掉的。

这是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始

化的并且对许多活动的，包括已经正在运行的Winlogon，Win32（）

线程和设定的系统变量作出反映。在它启动这些进程后，它等待Winlogon或者

Csrss结束。如果这些过程时正常的，系统就关掉了。如果发生了什么不可预料

的事情，就会让系统停止响应（就是挂起）。

这个进程是不可以从任务管理器中关掉的。

缓冲（spooler）服务是管理缓冲池中的打印和传真作业。

这个进程是不可以从任务管理器中关掉的。

大多数的系统核心模式进程是作为系统进程在运行。包含很多系统服务

子系统服务器进程

管理用户登录和推出的。而且winlogon在用户按下

CTRL+ALT+DEL时就激活了，显示安全对话框。

2000客户端管理的核心组件。当客户端应用程序连接或当管理

程序需要他本身的服务时这个进程初始化

这个进程是不可以从任务管理器中关掉的。

这是一个本地的安全授权服务，并且它会为使用winlogon服务的授权用户生成

一个进程。这个进程是过使用授权的包，例如默认的来执行的。如果

授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的shell。

其他的由用户初始化的进程会继承这个令牌的。

包含很多系统服务，但经常会有病毒或木马的可执行程序改成此进

程名，如何判断此进程为系统正常的进程还是病毒，你可试着删除，如果能被

删除，则可能是病毒！->eventsystem,(将文件加载到内存中以

便迟后打印等。)(附：文件对那些从动态连接库中运行的服务来说是

一个普通的主机进程名。文件定位在系统的%systemroot%system32文

件夹下。在启动的时候，检查注册表中的位置来构建需要加载的服

务列表。这就会使多个在同一时间运行。每个的回话期

间都包含一组服务，以至于单独的服务必须依靠怎样和在那里启动。

这样就更加容易控制和查找错误.

组是用下面的注册表值来识别。

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsNTCurrentVersionSvchost

每个在这个键下的值代表一个独立的Svchost组，并且当你正在看活动的进程时，

它显示作为一个单独的

例子。每个键值都是REG_MULTI_SZ类型的值而且包括运行在Svchost组内的

服务。每个Svchost组都包含一个

或多个从注册表值中选取的服务名，这个服务的参数值包含了一个ServiceDLL

值。

HKEY_LOCAL_MACHINESystemCurrentControlSetServicesService

结合任务管理器中的“查看”—“选择列”—勾选“线程计数”，查看该进程

是否占用CPU很高，且线程数也很高，如上100个线程，则此进程非常危险！

资源管理器(托盘区的拼音图标)就像任务条，桌面

等等。这个进程并不是像你想象的那样是作为一个重要的进程运行在windows

中，你可以从任务管理器中停掉它，或者重新启动。通常不会对系统产生什么

负面影响。

这个进程就是任务管理器。

SystemIdleProcess这个进程是不可以从任务管理器中关掉的。

这个进程是作为单线程运行在每个处理器上，并在系统不处理其他线程的时候

分派处理器。

这个进程是不可以从任务管理器中关掉的。

这是一个任务调度服务，负责用户事先决定在某一时间运行的任务的运行。

这个进程是可以从任务管理器中关掉的。

在启动的时候开始运行。它加载由用户指定的不同的输入点。输入

点是从注册表的这个位置HKEY_TKeyboardLayoutPreload加载

内容的。

加载“EN”图标进入系统的图标区，允许使用者可以很容易的转换

不同的输入点。当进程停掉的时候，图标就会消失，但是输入点仍然可以通过

控制面板来改变。

附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增

加或减少）

允许远程注册表操作。(系统服务)->remoteregister

提供系统管理信息(系统服务)：->msftpsvc,w3svc,iisadmn

->tlnrsvr

实现TFTPInternet标准。该标准不要求用户名和密码。远程安装服务

的一部分。(系统服务)->termservice

应答对域名系统(DNS)名称的查询和更新请求。(系统服务)

以下全是系统服务,并且很少会用到，如果你暂时用不着,应该关掉(对安全有害)

提供在PXE可远程启动客户计算机上远程安装Windows2000

Professional的能力。(系统服务)->simptcp支持以下TCP/IP服务：Character

Generator,Daytime,Discard,Echo,以及QuoteoftheDay。(系统服务)

允许在WindowsAdvancedServer站点间发送和接收消息。(系统服

务)

管理连接到计算机的不间断电源(UPS)。(系统服务)

为注册和解析NetBIOS型名称的TCP/IP客户提供NetBIOS名称

服务。(系统服务)

LicenseLoggingService(systemservice)

在多个服务器间维护文件目录内容的文件同步。(系统服务)

控制用来远程储存数据的媒体。(系统服务)

管理RPC名称服务数据库.->rpclocator(区RpcSs)

注册客户端许可证。(系统服务)

管理分布于局域网或广域网的逻辑卷。(系统服务)

支持"剪贴簿查看器"，以便可以从远程剪贴簿查阅剪贴页面。(系

统服务)

并列事务，是分布于两个以上的数据库，消息队列，文件系统，

或其它事务保护资源管理器。(系统服务)

帮助您发送和接收传真。(系统服务)

IndexingService(systemservice)

磁盘管理请求的系统管理服务。(系统服务)

允许有权限的用户使用NetMeeting远程访问Windows桌面。

(系统服务)

提供动态数据交换(DDE)的网络传输和安全特性。(系统服务)

配置性能日志和警报。(系统服务)

为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地

通信控制安装功能。(系统服务)

协调用来储存不常用数据的服务和管理工具。(系统服务)

管理远程储存的文件的操作。(系统服务)

扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个

数据存储点，以节省磁盘空间。(系统服务)

对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。

(系统服务)

包含代理程序可以监视网络设备的活动并且向网络控制台工作站

汇报。(系统服务)

接收由本地或远程SNMP代理程序产生的陷阱消息，然后将

消息传递到运行在这台计算机上SNMP管理程序。(系统服务)

从一个窗口中启动和配置辅助工具。(系统服务)

依据.MSI文件中包含的命令来安装、修复以及删除软件。(系

统服务)

win2000的话，一般是组件com调用的需要dllhost装入内存。所

以负责asp3.0组件装入内存。iis启动后。有一个大约20mb左右的

dllhost。如果你的web应用程序不能释放内存。如关掉数据库连接，释放对象。

这个dllhost会越来越大。还有一个dllhost是。web客户端的。大约5mb左右。

用多层构架的概念来理解，就是一个是dllhost存根，一个是dllhost骨干。com

远程访问缺一不可。

目的:认识系统进程和用户进程

实验步骤:先系统学习附件中的进程类型,特别是关键的系统进程

已用红色标识,不可中断，其他用户进程则跟自己的机器安装的软件

不同而不同。

在任务管理器中，找出以下进程：

1）当前CPU可用资源进程2）任务管理器进程

3）资源管理器进程4）SQL用户进程

5）控制台登录进程6）管理缓冲池程

将以上进程找出后，用红色的圈标识并注明进程名称，以图片

的形式保存在文件aaa中，并放在桌面上。