작업 관리자 전문가 질문

작업 관리자의 사용자 인터페이스에서는 파일, 옵션, 보기, 창, 종료, 도움말 등 6 개의 메뉴 항목을 제공합니다. 예를 들어 종료 메뉴에서는 대기, 최대 절전 모드, 종료, 재시작, 로그오프, 전환 등의 작업을 수행할 수 있으며 적용, 프로세스, 성능, 네트워킹, 사용자 등 다섯 개의 탭이 있습니다. 창 아래쪽에는 현재 시스템의 프로세스 수와 CPU 수를 볼 수 있는 상태 표시줄이 있습니다. 용량 등의 데이터는 기본적으로 2 초마다 1 번 데이터가 자동으로 업데이트됩니다. 물론 "보기 → 업데이트 속도" 메뉴를 클릭하여 재설정할 수도 있습니다.

1. 응용 프로그램

현재 실행 중인 모든 응용 프로그램이 여기에 표시되지만 현재 창이 열려 있는 응용 프로그램만 표시됩니다. 시스템 트레이 영역으로 최소화된 QQ, MSN Messenger 등의 응용 프로그램은 표시되지 않습니다.

"작업 종료" 버튼을 클릭하여 응용 프로그램을 직접 닫을 수 있습니다. 여러 세션을 동시에 종료해야 하는 경우 Ctrl 키를 누른 채 볼 수 있습니다. "새 작업" 버튼을 클릭하여 해당 프로그램, 폴더, 문서 또는 인터넷 리소스를 직접 엽니다. 프로그램 이름을 모르는 경우 "찾아보기" 버튼을 클릭하여 검색할 수 있습니다. 실제로 이' 새 작업' 의 기능은 시작 메뉴의 실행 명령과 약간 비슷해 보입니다.

2. 프로세스

응용 프로그램, 백그라운드 서비스 등을 포함하여 현재 실행 중인 모든 프로세스를 표시합니다. 시스템 밑바닥에 숨어 있는 바이러스 프로그램이나 트로이 목마는 모두 여기에서 찾을 수 있다. 단, 네가 그 이름을 알고 있다면. 종료할 프로세스 이름을 찾은 다음 마우스 오른쪽 버튼 클릭 메뉴에서 프로세스 종료 명령을 실행합니다. 그러나 이 방법을 사용하면 저장되지 않은 데이터가 손실되고 시스템 서비스가 종료되면 시스템의 일부 기능이 제대로 작동하지 않을 수 있습니다.

Windows 작업 관리자는 시스템에서 현재 진행 중인 프로세스만 표시할 수 있으며, 프로세스 탐색기는 프로세스 간의 관계, 즉 한 프로세스가 시작한 다른 프로세스, 한 프로세스가 호출한 파일 또는 폴더를 트리로 표시할 수 있습니다. 프로세스가 Windows 서비스인 경우 프로세스가 등록한 모든 서비스를 볼 수 있으며 필요한 친구는 에서 다운로드할 수 있습니다. Com/softcom/soft/17580.html

3. 공연

작업 관리자에서 CPU 및 다양한 메모리 사용과 같은 컴퓨터 성능의 동적 개념을 볼 수 있습니다.

CPU 사용량: 프로세서 근무 시간의 백분율을 보여주는 차트. 이 카운터는 프로세서 활동의 주요 지표입니다. 이 차트를 보면 현재 사용 중인 처리 시간을 알 수 있습니다.

CPU 사용량 기록: 시간에 따른 프로세서 사용량 프로그램 변화를 보여주는 차트. 차트에 표시되는 샘플링은 보기 메뉴에서 선택한 업데이트 속도 설정 값에 따라 달라집니다. 높음은 초당 두 번, 보통은 2 초 1 회, 낮음은 4 초 1 회, 일시 중지는 자동 업데이트가 없음을 의미합니다.

PF 사용: PF 는 페이지 파일 page file 의 약어입니다. 하지만 이 숫자는 시스템이 당시 사용하던 페이지 파일 크기라고 오해하는 경우가 많다. 정확한 의미는 물리적 메모리와 가상 메모리를 포함한 메모리의 합계를 사용하고 있다는 것이다. 그렇다면 실제 페이지 파일 크기를 어떻게 알 수 있습니까? 일반적으로 페이지 파일 모니터와 같은 타사 소프트웨어도 windows 콘솔을 통해 볼 수 있습니다. 내 페이지 파일이 기본값입니다.

페이지 파일 사용 레코드: 시간에 따른 페이지 파일 수의 차트를 표시합니다. 차트에 표시되는 샘플링은 보기 메뉴에서 선택한 업데이트 속도 설정 값에 따라 달라집니다.

합계: 컴퓨터에서 실행 중인 핸들, 스레드 및 프로세스의 총 수를 표시합니다.

실행 메모리: 프로그램 및 운영 체제에 할당된 메모리입니다. [최대] 값은 [페이지 파일 사용 레코드] 차트에 표시된 값과 동일한 가상 메모리의 존재 때문에 최대 물리적 메모리를 초과할 수 있습니다.

손잡이 수: 이 물건은 매우 전문적입니다. 프로그래밍을 할 줄 아는 사람은 다 알고, 나는 이해하지 못하고, 포인터만 바늘이라고 한다. "스레드 수" 는 프로그램에서 독립적으로 실행할 수 있는 부분을 나타내며, "프로세스 수" 는 단순히 실행 중인 프로그램 수입니다.

물리적 메모리: 컴퓨터에 설치된 총 물리적 메모리 (RAM 이라고도 함) 로, "사용 가능한 수" 는 프로그램에 사용할 수 있는 물리적 메모리의 여유 용량을 나타냅니다. 그러나 실제 스페어 용량은 가상 메모리로 전환할 때까지 물리적 메모리가 완전히 소진되지 않기 때문에 이 값보다 약간 큽니다. 즉, 이 예비량은 가상 메모리 (페이지 파일) 를 사용하기 전에 남은 물리적 메모리를 나타냅니다. 시스템 캐시에 할당된 물리적 메모리의 양입니다. 주로 프로그램과 데이터를 저장합니다. 시스템이나 프로그램에 필요할 때마다 메모리의 일부가 해제됩니다. 즉, 이 값은 가변적입니다.

총 라이센스 사용: 실제로 운영 체제와 실행자가 사용하는 메모리의 합으로 물리적 메모리와 가상 메모리 (페이지 파일) 를 포함합니다. 위의 PF 사용률과 같습니다. "한계" 는 물리적 메모리 (RAM) 와 페이지 파일 메모리를 포함하여 시스템이 제공할 수 있는 최대 메모리 용량입니다. 피크' 는 일정 기간 동안 시스템이 달성한 최대 메모리 사용률입니다. 이 값이 위의 "한계" 에 가까우면 물리적 메모리를 늘리거나 페이지 파일을 늘릴 수 있습니다. 그렇지 않으면 시스템에서 색상을 보여 줍니다!

커널 메모리: 운영 체제 커널 및 장치 드라이버에서 사용하는 메모리입니다. 페이지 수는 페이지 파일에 복사할 수 있는 메모리입니다. 시스템에 이 물리적 메모리의 일부가 필요하면 하드 드라이브에 매핑되어 물리적 메모리가 확보됩니다. 페이징되지 않음 (non-paged) 은 실제 메모리에 예약된 메모리이며 하드 드라이브에 매핑되지 않으며 페이징 파일에 복사되지 않습니다.

4. 업무 관계 네트워크 구축

로컬 컴퓨터에 연결된 네트워크 트래픽 표시를 보여 줍니다. 여러 네트워크 연결을 사용할 때 여기서 각 연결의 트래픽을 비교할 수 있습니다. 물론 이 옵션은 네트워크 카드가 설치된 경우에만 나타납니다.

5. 사용자

현재 이 컴퓨터에 로그인 및 연결된 사용자 수, ID (이 컴퓨터의 세션을 식별하는 디지털 ID), 활성 상태 (실행 및 연결 해제) 및 클라이언트 이름이 여기에 표시됩니다. 로그아웃 버튼을 클릭하여 다시 로그인하거나 연결 끊기 버튼을 통해 이 컴퓨터에 연결할 수 있습니다. LAN 사용자라면 다른 사용자에게 메시지를 보낼 수도 있습니다.

[이 단락 편집] 작업 관리자의 특수 작업

실제로 작업 관리자는 작업을 종료하고, 프로세스를 종료하고, 성능을 확인하는 것 외에도 많은 고급 특수 작업을 수행할 수 있습니다. 몇 가지 예를 통해 작업 관리자의 확장 응용 프로그램에 대해 살펴보겠습니다.

예 1: 여러 창을 동시에 최소화합니다

적용 탭으로 전환하고 Ctrl 키를 누른 채 최소화해야 할 응용 프로그램을 선택한 다음 아무 항목이나 클릭하고 마우스 오른쪽 버튼 메뉴에서 최소화 명령을 선택합니다. 계단식 배열, 수평 배열, 수직 배열 등의 작업도 수행할 수 있습니다.

예 2: BT 소프트웨어의 리소스 활용도 감소

BT 소프트웨어를 실행할 때 많은 시스템 자원을 사용하는 경우가 많습니다. 빠른 회전 소음과 함께 하드 드라이브 표시등이 깜박이는 것을 볼 수 있습니다. 이때 웹 브라우징을 하든 다른 앱을 실행하든, 시스템이 정체되는 느낌이 들 것이다.

작업 관리자 → 프로세스 창을 열고 BT 소프트웨어의 프로세스 이름을 선택한 다음 마우스 오른쪽 버튼 클릭 메뉴에서 우선 순위 설정 명령을 선택합니다. 여기서 실시간, 높음, 표준보다 높음, 표준보다 낮음 및 낮음과 같은 다양한 수준을 선택할 수 있습니다. 실제 상황에 따라 설정해 주세요. 예를 들어, [표준 이하] 로 설정하면 Windows 에서 다른 프로세스에 더 많은 리소스를 할당할 수 있도록 프로세스의 우선 순위가 낮아집니다.

예 3: 작업 관리자의 향상된 버전 생성

열심 있는 네티즌이 Longhorn 에서 작업 관리자를 떼어내고 다운로드를 제공하여 작업 관리자의 향상된 버전을 만들 수 있게 되었다. 다운로드한 파일의 압축을 풀면 Taskkill.exe, Tasklist.exe, Taskmgr.exe 등 세 개의 파일을 얻을 수 있습니다. 먼저 \ Windows \ System32 \ Dllcahe \ 에 있는 같은 이름의 파일을 덮어씁니다. 덮어쓰기 전에 소스 파일을 백업한 다음 \Windows\System32\ 에 있는 같은 이름의 파일을 계속 덮어쓰십시오. Windows 파일 보호 대화 상자가 나타나면 취소 버튼을 선택합니다.

교체 후 작업 관리자는 프로그램 아이콘뿐만 아니라 프로세스를 마우스 오른쪽 버튼으로 클릭하고 마우스 오른쪽 버튼 클릭 메뉴에 디렉토리를 열고 덤프 파일을 만드는 두 가지 명령이 추가된 것을 발견했습니다. 보기 → 선택 열에 명령줄과 이미지 경로 항목이 추가되었습니다. 전자는 표시된 프로세스가 위장되었는지 확인하고, 후자는 프로세스의 파일 경로를 확인합니다.

예 4: 프로세서의 하이퍼 스레딩 켜기.

P4 프로세서의 하이퍼-스레딩 기술은 실제로 한 프로세서를 두 개의 가상 프로세서로 나누는 것과 같습니다. 간단히 말해 하이퍼-스레딩 구현에는 프로세서, 마더보드 및 운영 체제 지원이 필요합니다. Windows XP/Server 2003 을 사용 중이고 마더보드 및 프로세서가 하이퍼-스레딩을 지원한다고 확신하면 성능 탭으로 전환할 수 있습니다. 여기에 두 개의 CPU 사용량 차트가 표시되면 해당 프로세서에 실제로 하이퍼-스레딩이 활성화되어 있는 것입니다.

물론 부팅 정보에서 하이퍼-스레딩 지원을 확인할 수도 있습니다. 일반적으로 두 프로세서의 이름, CPU 1 및 CPU2 가 표시되거나 전원을 켠 후 장치 관리자로 들어가면 두 프로세서에 대한 정보도 표시됩니다.

예 5: 작업 관리자 비활성화

작업 관리자는 이러한 강력한 작업을 수행할 수 있습니다. 공용 컴퓨터를 사용하는 경우 다른 사람이 작업 관리자를 비공개로 조작하지 않도록 하려면 시작 → 실행 상자에 Gpedit.msc 를 입력하여 그룹 정책 창을 열고 "로컬 컴퓨터 정책 → 사용자 구성 → 템플릿 관리 → 시스템 →Ctrl+Alt+Del 옵션" 항목을 찾아 오른쪽 창에 표시할 수 있습니다

물론 이 문서에서 언급한 다른 두 가지 방법을 통해 작업 관리자는 여전히 정상적으로 작동합니다. 한 번의 노력으로 Taskmgr.exe 파일에 대한 사용자 인증을 설정하는 것입니다. 물론 NTFS 파일 시스템을 사용해야 합니다. ᄏ

레지스트리를 수정하여 비활성화할 수도 있습니다. HKEY _ 현재 _ 사용자 \ 소프트웨어 \ Microsoft \ Windows \ 현재 버전 \ 정책 \ 시스템.

새 Dword 값: disabledtaskmgr = 1 (비활성화) disabledtaskmgr = 0 (승격)

소지식

핸들: 프로그램에서 액세스할 수 있도록 파일의 레지스트리 항목과 같이 리소스를 고유하게 식별하는 값입니다.

스레드: 프로세스의 동시 작업을 허용하고 프로세스가 다른 프로세서에서 프로그램의 다른 부분을 동시에 실행할 수 있도록 프로그램 명령을 실행하는 프로세스의 객체입니다.

프로세스: 실행 프로그램 (예: 리소스 관리자) 또는 서비스 (예: MSTask)

6. 작업 관리자의 인터페이스에 예외가 있을 경우 (예: 성능 및 프로세스의 전환 막대가 누락되어 최대화하거나 최소화할 수 없을 경우) 다음과 같은 조치를 취하여 관리자 없는 인터페이스를 복원할 수 있습니다. 다음과 같이 하십시오: 테두리의 빈 공간을 두 번 클릭하십시오! !

Windows 시스템의 임무 관리자는 사람들이 자주 사용하는 프로그램이다. 일반적으로 컴퓨터 프로세스를 관리하거나 컴퓨터의 실시간 작동 상태를 확인하는 데 주로 사용됩니다. 사실, 그것은 많은 기묘한 용도를 가지고 있다.

트릭 1: 인터넷 카페에서 "실행" 할 수도 있습니다.

PC 방에서' 혼합' 하는 친구들은 PC 방의 컴퓨터가 일반적으로 실행 대화 상자를 차단한다는 것을 알고 있다. 어떤 경우에는 실행 대화 상자를 사용해야 한다면 속수무책이다. 사실 이번에는 대화상자를 실행하는 대신 작업 관리자를 일시적으로 사용할 수 있습니다.

먼저 "CTRL+ALT+DEL" 키를 누른 채 작업 관리자를 불러봅니다. 만약 부를 수 있다면, 그것은 처리하기 쉽다. 작업 관리자 메뉴에서 파일 → 새 작업을 차례로 클릭하여 새 작업 창을 열겠습니다 (그림 1). 콘텐츠를 입력하고 사용해 보십시오. 대화상자를 실행하는 것과 같은 효과를 냅니다!

트릭 2: 레지스트리를 빠르게 새로 고칩니다.

많은 소프트웨어가 설치된 후 소프트웨어가 제대로 작동하려면 재부팅해야 한다는 메시지가 나타납니다. 사실, 이러한 소프트웨어는 대부분 "사소한 문제" 에 불과합니다. 재부팅은 레지스트리 업데이트만을 위한 것이기 때문입니다. 작업 관리자를 사용하여 소프트웨어를 더 빨리 적용할 수 있습니다.

이렇게 하려면 마우스로 프로세스 탭에서 explorer.exe 프로세스를 선택한 다음 오른쪽 아래 모서리에 있는 프로세스 종료 버튼을 클릭하여 종료합니다. 바탕 화면 디스플레이가 사라집니다. 당황하지 말고 새 임무 창에 "explorer.exe" 를 입력하겠습니다. 을 (를) 실행하면 데스크톱 디스플레이가 복원되고 컴퓨터의 레지스트리가 업데이트되며 이제 소프트웨어를 정상적으로 사용할 수 있습니다.

트릭 3: 게임 작업 최적화

많은 친구들이 필자처럼 여전히 1GB 이하의 메모리를 사용하고 있기 때문에 우리는 3D 게임을 할 때 어떤 카드가 달리고 있는 것을 느낄 수 있다. 이때 게임을 제외한 모든 프로그램을 닫는 것 외에는 메모리를 절약할 수 있는 다른 방법이 없는 것 같습니다. 사실 우리는 게임을 실행하기 전에 작업 관리자에서' explorer.exe' 프로세스를 종료할 수 있다. 많은 경우 메모리 소비가 많기 때문이다. 끝내면 우리 게임의 사용 가능한 메모리와 게임 효과를 높일 수 있다.

그러나 지금은 데스크톱 디스플레이가 없고 게임 시작 방식도 달라졌다. 파일 → 새 작업을 열고 찾아보기를 클릭하여 게임 디렉토리로 들어가 마스터 프로그램을 로드하고 확인을 클릭하여 게임을 실행해야 합니다.

W2K/XP 에서 Ctrl+Alt+Del 을 동시에 눌러 Windows 작업 관리자를 열고 "프로세스" 를 클릭하면 실행 중인 많은 EXE 프로세스를 볼 수 있습니다.

시스템 유휴 프로세스: 핵심 프로세스이며 16kB 만 있고 CPU 의 유휴 정도를 순환합니다. 이 값이 클수록 좋습니다. 프로세스를 끝낼 수 없습니다. 프로세스가 25% 이하인 적이 없는 것 같고, 대부분의 경우 50% 이상 유지되는 것 같다.

System:system 은 우선 순위가 0 인 windows 페이지 메모리 관리 프로세스입니다. 언제. Exe 는 시스템 뒤에 나타나며 netcontroller 트로이 바이러스가 생성한 파일이며 c:\\windows 디렉토리에 나타납니다. 삭제를 권장합니다. ) 을 참조하십시오

탐색기: explorer.exe 는 표준 사용자 인터페이스, 프로세스, 명령 및 데스크톱을 제어합니다. Explorer.exe 는 항상 백그라운드에서 실행되며 시스템의 글꼴, 배경 그림 및 활성 데스크톱에 따라 일반적으로 5.8MB ~ 36MB 의 메모리를 사용합니다. Explorer.exe 와 Internet Explorer 는 다를 수 있습니다

Iexplore:iexplore.exe 는 Microsoft 인터넷의 주요 프로그래머입니다. 이 Microsoft Windows 응용 프로그램은 인터넷을 찾아볼 수 있는 장소를 제공합니다. Iexplore.exe 는 매우 필요한 프로세스이며, 문제가 발생할 수 있다고 의심하지 않는 한 종료해서는 안 됩니다. 그 역할은 IE 의 개방 속도를 다시 한 번 높이는 것입니다. 모든 IE 창이 닫히더라도 백그라운드에서 계속 실행됩니다. 인터넷을 사용할 때 7.3MB 이상의 메모리를 사용하며 브라우저 창을 열면 메모리가 늘어납니다.

Ctfmon: WinXP 설치 후 바탕 화면 오른쪽 아래 모서리에 표시되는 언어 표시줄입니다. 나타나지 않으려면 제어판-국가 및 언어 옵션-언어-상세 정보-텍스트 서비스 및 입력 언어-(기본 설정) 언어 표시줄-언어 표시줄 설정-데스크톱에 표시되는 언어 표시줄 선택을 취소할 수 있습니다. 이렇게 하면 4MB 이상의 메모리를 절약할 수 있습니다.

Wowexec: 16 비트 운영 체제를 지원하는 핵심 프로세스이며 종료할 수 없습니다.

Csrss: 이것은 Windows 의 핵심 부분 중 하나인 클라이언트 서버 프로세스입니다. 이 4K 프로세스는 종종 약 3MB ~ 6MB 의 메모리를 소비하며 종료될 수 없습니다. 이 프로세스는 수정하지 않는 것이 좋습니다.

Dovldr32: 메모리를 절약하기 위해 비활성화할 수 있습니다. 약 2.3MB ~ 2.6MB 의 메모리를 사용합니다.

Winlogon: 로그인 및 로그오프 작업을 처리하는 프로세스입니다. 사실 이 과정은 필수적이다. 그것의 크기는 네가 로그인한 시간과 관련이 있다.

서비스: services.exe 는 Microsoft windows 운영 체제의 일부입니다. 관리 서비스의 시작 및 정지에 사용됩니다. 이 프로세스는 또한 컴퓨터가 시작되고 종료될 때 실행되는 서비스를 처리합니다. 이 프로그램은 너의 시스템이 정상적으로 작동하는 데 매우 중요하며, 프로세스 시스템은 종료를 금지한다.

Svchost:Svchost.exe 는 dll 파일을 실행하는 Microsoft windows 운영 체제에 속하는 시스템 프로그램입니다. 이 프로그램은 시스템의 정상적인 작동에 매우 중요합니다. "Win32 서비스의 범용 호스트 프로세스에 문제가 있어 종료해야 합니다." 는 일반적으로 프로세스가 dll 파일을 찾을 수 없음을 의미합니다.

Msmsgs: 마이크로소프트 Windows Messengr (인스턴트 메신저) 의 유명한 MSN 프로세스로, WinXP Home edition 과 Professional edition 에 묶여 있습니다. Outlook, MSN Explorer 와 같은 프로그램을 아직 실행하고 있다면, 이 프로세스는 백그라운드에서 실행되어 Microsoft 가 주장하는 모든 새로운 기술과 NET 기능을 지원합니다.

Msn6: msmsgs.exe 가 실행될 때까지 WinXP 에서 Microsoft 의 Msn 브라우저 프로세스입니다.

Point32: 특수 마우스 소프트웨어 (Intellimouse 등) 설치 후 시작되는 프로그램입니다. ). 이는 시스템의 필수 절차가 아니며 사용자 라이센스 계약을 통해 설치됩니다. WinXP 에는 많은 새로운 마우스 기능이 내장되어 있어 시스템 배경에서 실행할 필요가 없고 1. 1.6 MB 의 메모리를 낭비하며 작업 표시줄에도 자리잡고 있습니다!

Spoolsv: windows 프린터 작업을 로컬 프린터로 보낸 다음 전원을 껐다가 다시 켤 수 있습니다.

Promon: 이것은 인텔 시리즈 네트워크 카드의 구성 및 설치 프로그램입니다. 작업 표시줄에 약 656KB ~ 1. 1MB 의 메모리를 사용하는 아이콘 컨트롤러가 표시됩니다.

Smss: 크기는 45KB 에 불과하지만 300KB ~ 2MB 의 메모리 공간을 차지합니다. 이는 Windows 의 핵심 프로세스 중 하나이며 windowsNT 커널의 세션 관리자이기도 합니다.

Taskmgr: 이 프로세스가 실행 중인 것을 보면, 실제로 프로세스 자체의 "작업 관리자" 를 보고 있습니다. 메모리 3.2MB 정도를 차지하므로 시스템을 최적화할 때 포함시키는 것을 잊지 마세요.

Tastch: 이 절차는 XP 시스템에 powerToys 를 설치한 후에 발생합니다. Alt+Tab 을 눌러 1.4MB ~ 2MB 의 메모리 공간을 차지하는 전환 아이콘을 표시합니다.

Lsass: 로컬 보안 권한 서비스입니다. Microsoft 보안 메커니즘의 시스템 프로세스로서, 주로 몇 가지 특수한 보안 메커니즘과 로그인 정책을 다루고 있습니다.

Atievxx: 이것은 ATI 비디오 카드의 하드웨어 제품 드라이버와 함께 설치됩니다. 그것은 순수한 시스템 프로그램은 아니지만, 그것을 끝내면 알 수 없는 문제가 발생할 수 있다.

알그: 이것은 마이크로소프트 윈도 운영 체제에 포함된 프로그램입니다. Microsoft windows 네트워크 연결 및 네트워크 연결 방화벽을 처리하는 데 사용됩니다. 이 프로그램은 시스템의 정상적인 작동에 매우 중요합니다.

비 Windows 작업 관리자: 대부분의 사람들은 Windows 작업 관리자를 생각하지만, windows 의 작업 관리자는 너무 거칠어서 많은 사람들이 타사 소프트웨어에 도움을 청합니다. 현재 인터넷에는 WinProc, Windows Processes, Windows Process Manager 등 널리 사용되는 타사 작업 관리자가 많이 있습니다.

임무 관리자에서 바이러스와 트로이 목마를 잡읍시다.

어떤 바이러스나 목마도 시스템에 존재하므로 프로세스를 완전히 이탈할 수는 없다. 숨겨진 기술을 채택한다 해도, 우리는 여전히 그 과정에서 단서를 찾을 수 있다. 따라서 시스템의 활동 과정을 점검하는 것이 우리가 바이러스 목마를 감지하는 가장 직접적인 방법이 되었다. 하지만 시스템에서 이렇게 많은 프로세스가 동시에 실행되고 있는데, 어떤 것이 정상적인 시스템 프로세스이고, 어떤 것이 트로이 프로세스이며, 바이러스 목마에 의해 자주 가장되는 시스템 프로세스가 시스템에서 어떤 역할을 하는가? (윌리엄 셰익스피어, 트로이, 트로이, 트로이, 트로이, 트로이, 트로이, 트로이) 이 문장 읽어 주세요.

시스템에 바이러스가 있음을 확인했지만 작업 관리자를 통해 시스템의 프로세스를 확인했지만 비정상적인 프로세스를 찾을 수 없었습니다. 바이러스가 몇 가지 숨겨진 조치를 취했으며 세 가지 방법을 요약했습니다.

1. 거짓으로 진실을 왜곡하다

시스템의 일반적인 프로세스는 svchost.exe, explorer.exe, iexplore.exe, winlogon.exe 등입니다. Svch0st.exe, explore.exe, iexplorer.exe, winlogin.exe 와 같은 프로세스를 시스템에서 이미 발견했을지도 모릅니다. 비교를 통해 차이점을 발견했습니까? 이것은 바이러스가 종종 사용자의 눈을 현혹시키는 수법이다. 보통 그들은 시스템의 정상 프로세스 이름의 O 를 0 으로, L 을 I 로, I 를 J 로, 그리고 자신의 프로세스 이름으로 바꾸지만, 의미는 완전히 다르다. 또는 explorer.exe 및 iexplore.exe 와 같은 하나 이상의 문자 또는 적은 문자가 혼동되기 쉬우며, 다른 iexplorer.exe 가 나타나면 더욱 혼란스러울 수 있습니다. 사용자가 조심하지 않으면, 일반적으로 소홀히 하고, 바이러스의 과정은 탈출한다.

대들보를 훔쳐 기둥을 바꾸다

만약 사용자가 매우 신중하다면, 위의 수법은 쓸모가 없고, 바이러스는 즉석에서 집행될 것이다. 그 결과 바이러스도 영리함을 배웠고, 기둥을 훔치는 수법을 배웠다. 프로세스 이름이 svchost.exe 이면 일반 시스템 프로세스의 이름과 정확히 같습니다. 그럼 이 과정은 안전한가요? 아니요, 실제로는 작업 관리자를 사용하여 프로세스에 해당하는 실행 파일의 결함을 볼 수 없습니다. Svchost.exe 프로세스에 해당하는 실행 파일이' c: \ windows \ system32' 디렉토리 (windows 2000 은 C:\WINNT\system32 의 디렉토리) 에 있다는 것을 알고 있습니다. 바이러스가 자신을' C:\WINDOWS' 에 복사하고 이름을 svchost.exe 로 바꾸면 실행 후 작업 관리자에서도 svchost.exe 와 정상을 볼 수 있습니다. 당신은 어느 것이 바이러스의 과정인지 말할 수 있습니까?

3. 재생성

이 두 가지 방법 외에도, 바이러스는 시체를 빌려 환혼하는 궁극적인 해결책을 가지고 있다. 시체 환혼이란 바이러스가 프로세스 삽입 기술을 이용하여 바이러스 실행에 필요한 dll 파일을 정상적인 시스템 프로세스에 삽입하는 것이다. 표면적으로 보면 의심할 만한 상황이 없다. 본질적으로, 시스템 프로세스는 바이러스에 의해 통제되었다. 전문적인 프로세스 감지 도구를 사용하지 않는 한 숨겨진 바이러스를 찾기가 어렵습니다.

위에서 언급한 시스템 프로세스는 매우 많다. 이러한 시스템 프로세스의 역할은 무엇이며 작동 원리는 무엇입니까? 다음으로 이러한 시스템 프로세스를 하나씩 설명하겠습니다. 이러한 시스템 프로세스에 익숙해지면 바이러스의' 위조' 와' 도난 기둥' 을 성공적으로 해독할 수 있을 것으로 믿는다.

바이러스가 자주 모방하는 프로세스 이름은 svch0st.exe, schvost.exe 및 scvhost.exe 입니다. Windows 시스템 서비스가 늘어남에 따라 Microsoft 는 시스템 자원을 절약하기 위해 svchost.exe 프로세스에 의해 많은 서비스 * * * 를 시작하도록 했습니다. 시스템 서비스는 동적 링크 라이브러리 (dll) 로 구현됩니다. 이들은 실행 파일을 scvhost 로 가리키고 cvhost 는 해당 서비스의 DLL 을 호출하여 서비스를 시작합니다. 제어판 → 관리 도구 → 서비스를 열고 클립보드 서비스를 두 번 클릭할 수 있습니다. 등록 정보 패널에서 해당 실행 파일 경로가 "C: \ Windows \ System32 \ ClipSRV" 임을 알 수 있습니다. Exe' 를 클릭합니다. Alerter 서비스를 두 번 클릭하면 실행 파일 경로가 c: ₩ windows ₩ system32 ₩ svchost.exe-klocalservice 이고 Server 임을 알 수 있습니다 바로 이 호출을 통해 대량의 시스템 자원을 절약할 수 있기 때문에, 시스템에 여러 개의 svchost.exe 가 나타나는 것은 실제로는 시스템의 한 서비스일 뿐이다. (알버트 아인슈타인, Northern Exposure (미국 TV 드라마), 시스템명언)

Windows2000 시스템에는 일반적으로 두 개의 svchost.exe 프로세스가 있는데, 하나는 RPCSS(remoteprocurecallrecall) 서비스 프로세스이고 다른 하나는 많은 서비스가 즐기는 svchost.exe 입니다. WindowsXP 에서는 일반적으로 svchost.exe 서비스 프로세스가 4 개 이상 있습니다. Svchost.exe 프로세스 수가 5 개를 초과하면 조심해야 합니다. 아마도 가짜 바이러스일 것이고, 검출 방법은 간단하다. Windows Optimizer 의 프로세스 관리 기능과 같은 일부 프로세스 관리 도구를 사용하여 svchost.exe 에서 실행 파일 경로를 확인합니다. C: ₩ windows ₩ system32 디렉토리 외부에 있다면 바이러스인지 확인할 수 있습니다.

바이러스가 자주 모방하는 프로세스 이름은 iexplorer.exe, expiorer.exe, explore.exe 입니다. Explorer.exe 는 우리가 자주 사용하는 "리소스 관리자" 입니다. 작업 관리자에서 explorer.exe 프로세스를 종료하면 작업 표시줄, 데스크톱 및 열린 파일이 사라집니다. 작업 관리자 → 파일 → 새 작업을 클릭하여 explorer.exe 에 들어가면 사라진 것이 다시 돌아옵니다. Explorer.exe 프로세스의 기능은 컴퓨터의 리소스를 관리할 수 있도록 하는 것입니다.

기본적으로 explorer.exe 프로세스는 시스템과 함께 시작되며 해당 실행 파일의 경로는' C:\Windows' 디렉토리이고 다른 파일은 바이러스입니다.

Iexplore.exe

바이러스에 자주 가장되는 프로세스 이름은 iexplorer.exe 및 iexploer.exeiexplorer.exe 프로세스가 위에서 언급한 explorer.exe 프로세스 이름과 매우 유사하기 때문에 혼동하기 쉽습니다. 실제로 iexplore.exe 는 MicrosoftInternetExplorer, 즉 우리가 일반적으로 사용하는 IE 브라우저에서 생성된 프로세스입니다. 기능을 쉽게 식별할 수 있어야 합니다. IExplore.exe 프로세스의 이름은 ie 브라우저를 의미하는 "ie" 로 시작합니다.

Iexplore.exe 프로세스에 해당하는 실행 프로그램은 c: \ program files \ internet explorer 디렉토리에 있으며 폴더를 전송하지 않는 한 다른 디렉토리에 있는 경우 바이러스입니다. 또한 IE 브라우저를 열지 않고 iexplore.exe 프로세스가 시스템에 여전히 존재하는 경우가 있는데, 이는 1 으로 나눌 수 있습니다. 이 바이러스는 iexplore.exe 프로세스 이름으로 가장합니다. 2. 바이러스가 iexplore.exe 를 통해 백그라운드에서 몰래 나쁜 짓을 한다. 따라서 이런 상황에서는 바이러스 백신 소프트웨어로 빨리 조사하는 것이 낫다.

Rundll32.exe

바이러스가 자주 모방하는 프로세스 이름은 rundl 132.exe, rundl32.exe 입니다. 시스템에서 Rundll32.exe 의 역할은 dll 파일에서 내부 함수를 실행하는 것입니다. 시스템에 있는 RunDLL32.exe 프로세스의 수는 Rundll32.exe 에 의해 시작된 dll 파일의 수를 의미합니다. 사실 우리는 rundll32.exe 를 자주 사용합니다. 그는 시스템의 일부 dll 파일을 제어할 수 있습니다. 예를 들어 명령 프롬프트에 "rundll32.exeuser32.dll, 워크스테이션 잠금" 을 입력하면 입력 후 시스템이 로그인 인터페이스로 빠르게 전환됩니다. Rundll32.exe 의 경로는 "c: ₩ windows ₩ system32" 이고 다른 디렉토리에서는 바이러스로 판단될 수 있습니다.

바이러스에 자주 사칭되는 프로세스 이름은 spoo 1sv.exe 와 spolsv.exe 입니다. 시스템 서비스' 인쇄 스풀러' 에 해당하는 실행 프로그램인 Spoolsv.exe 는 모든 로컬 및 네트워크 인쇄 대기열을 관리하고 모든 인쇄 작업을 제어하는 기능을 제공합니다. 이 서비스가 중지되면 컴퓨터의 인쇄를 사용할 수 없게 되고 spoolsv.exe 프로세스가 컴퓨터에서 사라집니다. 프린터 장비가 없는 경우 이 서비스를 끄면 시스템 자원을 절약할 수 있습니다. 서비스를 중지하고 종료한 후에도 spoolsv.exe 프로세스가 시스템에 남아 있다면 바이러스 위장이어야 합니다.

편폭의 제한으로, 일반적인 절차가 여기에 소개된다. 평소 검사 과정에서 수상한 점이 발견되면, 두 가지로 판단할 수밖에 없다.

1. 프로세스의 파일 이름을 자세히 검사합니다.

2. 경로를 확인합니다.

이 두 가지를 통해 일반적인 바이러스 과정은 분명히 마각을 드러낼 것이다.

좋은 도우미를 찾아 프로세스를 관리하다

시스템에 내장된 작업 관리자 기능이 너무 약해서 바이러스 탐지에 적합하지 않습니다. 그래서 우리는 Procexp 와 같은 전문적인 프로세스 관리 도구를 사용할 수 있습니다. Procexp 는 시스템 프로세스와 일반 프로세스를 구분할 수 있으며, 서로 다른 색상으로 구분되어 시스템 프로세스로 가장한 바이러스 프로세스를 숨길 곳이 없습니다.

Procexp 를 실행하면 프로세스가 두 개의 블록으로 분할되고 "SystemIdleProcess" 아래의 프로세스는 시스템 프로세스에 속합니다.

Explorer.exe "종속 프로시저는 일반 프로시저입니다. Svchost.exe 및 winlogon.exe 와 같은 시스템 프로세스는 모두 "시스템 프로세스" 에 속합니다. 만약 당신이' explorer.exe' 에서 svchost.exe 를 찾는다면, 말할 필요도 없이, 그것은 바이러스가 가장한 것이 틀림없다. (알버트 아인슈타인, Northern Exposure (미국 TV 드라마), 바이러스명언)