Co to jest svchost.exe ?

[manitu]

Kłaniam się. Mam krótkie pytanie. Otóż spotykam się często z terminem svchost.exe. Ale czym jest w istocie ten plik czy raczej chyba proces w systemie ? Z czym jest związany, za co odpowiada ?
Czy jest też związany w jakimś sensie z Autostartem systemu, pytam w kontekście wykrywania i namierzenia tam Narzędzia konfiguracji systemu czyli msconfig ?

[Fix00ser]

start>uruchom>cmd i wklep polecenie

Kod: Zaznacz cały

tasklist -svc


wyświetli listing z aktywnymi procesami oraz jakie usługi zwiazane są z svchost.exe
prawidłowa lokalizacja pliku znajduje się w

Kod: Zaznacz cały

C:\WINDOWS\system32


inna lokalizacja jest zazwyczaj złośliwym kodem w systemie i należy zdecydowanie usunąć
Ogólnie ten proces związany jest z wieloma usługami systemowymi i jego aktywna mnogość zwiazana jest nawet z konfiguracją sprzętową danego kompa
Dostępne tylko dla zarejestrowanych użytkowników

[manitu]

Ok. W wierszu polecenia mam wszystkie aktywne procesy. Również w Menedżerze zadań mogę podejrzeć jakie to są procesy, ale z komendy tasklist -svc o wiele dokładniej.
Lokalizacja pliku svchost.exe jest u mnie na C:\WINDOWS\system32, a zatem prawidłowa.

Natomiast w tasklist -svc nie widzę na liście procesów msconfig.exe. Czy może dlatego, że kiedyś wychodząc z msconfig po dokonaniu tam pewnych zmian zaznaczyłem w Dostępne tylko dla zarejestrowanych użytkowników komunikacie tę opcję w kwadraciku i tym samym wyłączyłem go z Autostartu ? Ale normalnie to msconfig działa, jak wchodzę tam, wyświetla się.
Chodzi o to czy msconfig.exe jest oddzielnym procesem na liście aktywnych procesów, czy też jest częścią składową innego procesu - właśnie svchost.exe ?
Oraz czy msconfig.exe jest procesem uruchamianym z zasady wraz ze startem systemu ? I jak go włączyć, jeśli jest on z tego Autostartu wyłączony ?

[djarta]

Natomiast w tasklist -svc nie widzę na liście procesów msconfig.exe.

A czemu ma być, jeżeli nie jest uruchomiony ?

W Windows 8 zrezygnowali z zakładki ,,Uruchamianie" i jest w menedżerze zadań:

[manitu]

Natomiast w tasklist -svc nie widzę na liście procesów msconfig.exe.

A czemu ma być, jeżeli nie jest uruchomiony ?

No nie wiem, to właśnie chcę ustalić, może jest składnikiem jakiegoś innego procesu np. svchost.exe ?
Czyli jeśli go tam nie ma tzn., że jest wyłączony z Autostartu i tylko z niego, tak ?
Zapewne ja go wtedy wyłączyłem, tak ? A powinien być w tym Autostarcie ?
Czy nie ma go tam dlatego, że dokonano ręcznych zmian w msconfig i zaznaczenie tej opcji haczykiem spowodowało wyłączenie msconfig z Autostartu ?

W Windows 8 zrezygnowali z zakładki ,,Uruchamianie" i jest w menedżerze zadań:

Nie wiem czemu piszesz o Win 8, ja mam XP. I jest tam zarówno Uruchamianie, jak i w Menedżerze zadań.
Ale tam nie widzę też tego procesu, a powinien tam być ?
Jeśli tak, to jak w takim razie go włączyć z powrotem w Autostarcie ?

[Fix00ser]

sprawdź jeszcze bieżące <aktywne> procesy z konsoli poleceniem

Kod: Zaznacz cały

qprocess


dla systemu XP szybki dostęp do większości ustawień oferuje mały ale pożyteczny programik
Security & Privacy Complete
Dostępne tylko dla zarejestrowanych użytkowników
jest to rozszerzenie do Antispy Complete
Dostępne tylko dla zarejestrowanych użytkowników
do analizowania powiązań między procesami polecam także
Comodo Cleaning Essential (CCE)
użyj modułu Autorun Analyzer i na buttonie <Everything> przeanalizuj wszystkie procesy
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników

[djarta]

Czyli jeśli go tam nie ma tzn., że jest wyłączony z Autostartu i tylko z niego, tak ?
Zapewne ja go wtedy wyłączyłem, tak ? A powinien być w tym Autostarcie ?

Mózg. Zaznaczyłeś opcję i dobrze, że to zrobiłeś. MSCONFIG to jedynie zestaw narzędzi którą każdą funkcję kieruję do konkretnego wpisu rejestrowego. Nie może się uruchamiać podczas systemu.
Jest dobrze, nic nie kombinuj z msconfig

[manitu]

Czyli jeśli go tam nie ma tzn., że jest wyłączony z Autostartu i tylko z niego, tak ?
Zapewne ja go wtedy wyłączyłem, tak ? A powinien być w tym Autostarcie ?

Mózg. Zaznaczyłeś opcję i dobrze, że to zrobiłeś. MSCONFIG to jedynie zestaw narzędzi którą każdą funkcję kieruję do konkretnego wpisu rejestrowego. Nie może się uruchamiać podczas systemu.
Jest dobrze, nic nie kombinuj z msconfig

Najpewniej masz rację, msconfigu nie widać w żadnych procesach, bo go tam nigdy nie było. Dowiedziałem się tego również z innego źródła. Msconfig to aplikacja zarządzająca m.in. tym co ma się wraz z systemem uruchamiać, ale sam się tam nie uruchamia. O to mi chodziło.

@Fix00ser
Sprawdziłem w Uruchom > cmd > qprocess, widzę tam różne procesy, wśród nich nie ma msconfig.exe. To tylko chyba potwierdza powyższe.

Co do programów, tak przetestuję je orientacyjnie,choć sam posiadam kilka programów tego typu np. podany CCE,

[Fix00ser]

to wiedziałem że nie jest uruchomiony, CCE zaproponowałem do analizy procesów powiązanych z svchost.exe

[manitu]

Tak, i jestem ci za to wdzięczny, bo to nie wyczerpuje tematu. To był tylko jeden z jego wątków pt. msconfig.

A propos jeszcze msconfig. No przecież faktem jest, że jest jednak coś takiego jak msconfig.exe. W podanym przez ciebie wykazie chyba wszystkich procesów jest także i on. A więc nasuwa się pytanie - skoro taki proces w systemie działa, to musi być on gdzieś uwidoczniony, pytanie gdzie ? No chyba, że jest on jak już wcześniej wspomniałem częścią innego procesu.
Tu bym prosił o rozwinięcie tego.

Co się tyczy tematu głównego: dopiero właśnie jak zobaczę i przeanalizuję procesy i usługi obsługiwane przez proces svchost.exe to się dowiem już zapewne wszystkiego o tym procesie, tak ?
Bo w tych dotychczasowych przykładach i analizach już coś się tam zarysowuje, aczkolwiek może jeszcze mało precyzyjnie.
Dobra, sprawdzę to jeszcze w CCE.

Ale chciałbym, żebyś jeszcze ogólnie napisał o svchost.exe. Czy prawdą jest, że obsługuje on większość usług i innych procesów w systemie ? Oraz o czym powinienem z pewnością pamiętać w związku z tym np., że tych procesów się nie wyłącza lub odwrotnie włącza czy jak zarządzać tym procesem ?

[Fix00ser]

progsy specjalne do podglądu i veryfikacji to
Svchost Process Analyzer
Dostępne tylko dla zarejestrowanych użytkowników
Svchost Viewer
Dostępne tylko dla zarejestrowanych użytkowników
część usług z wiązana z tym procesem opisana jest
Dostępne tylko dla zarejestrowanych użytkowników
często używam także Whats Running
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
może się przyda

[manitu]

No więc przyjrzałem się w CCE > Autorun Analyzer zakładce Everything, jak również w zakładce Image Hijacks i chyba znalazłem tam proces, którego szukałem czyli msconfig.exe: Dostępne tylko dla zarejestrowanych użytkowników Chcę, żebyś potwierdził lub zaprzeczył - czy to jest właśnie ten proces, o który mi chodzi ?
Przy okazji chcę też zapytać co oznaczają w Comodo takie różnych kolorów podświetlone paski na elementach ?

Ponadto, program Comodo Cleaning sam proponuje mi najnowszą dostępną aktualizację, ale co sprawdzałem wielokrotnie jak klikam na stronę aktualizacji to jest jakiś problem z nią, instalator się nie uruchamia, dlaczego ?, możesz to sprawdzić ?

Co do pozostałej oferty programowej, to jest ona tak bogata, że z pewnością przetestuję je, ale z braku czasu nieco później, ale na pewno.
Zwłaszcza nieźle widzi mi się aplikacja What's Running, ale i inne też.
Bo svchost.exe to tyle co po prostu włączone i dostępne Usługi systemowe, prawda ?

Również przy okazji chcę zapytać: jaki jest najlepszy sposób przywrócenia usuniętych wpisów w Autostarcie ? Ja uczyniłem to w programie Autoruns, te elementy tak naprawdę nie są tam potrzebne ja to wiem bo spowalniają Autostart, ale ja trochę się pospieszyłem z tym usuwaniem. Teraz gdyż niektóre są mi potrzebne, chcę je przywrócić i co najwyżej wyłączyć tylko te, które są zbędne. Jeśli trzeba to mogę wrzucić tu te wpisy.

[Fix00ser]

Przed opisanymi zmianami w systemie które już kolega niestety przeprowadził należało wykonać lustro <mirror> partycji systemowej
i przed kolejnymi fazami zmian tworzyć kolejne backupy rejestrów oraz migawki systemu tzw <kronikowanie>
wg mnie wystarczyło na samym początku za pomocą narzędzia msconfig odfajkować na zakładkach <usługi> oraz <uruchamianie> niepotrzebne programy oraz usługi.
Następnie przejść do Usług Serwisowych start>uruchom

Kod: Zaznacz cały

services.msc


i także przełączyć zbędne usługi na tryb ręczny lub całkowicie dezaktywować.
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Na samym końcu dopiero przeprowadzić dodatkową inspekcję i dokonać ewentualnych zmian na odpowiednich kluczach rejestru, dobrym przewodnikiem będzie np lektura uzupełniająca pt :
Windows XP Rejestr systemu wyd. Helion z serii Nu Pogodi autorki Olga Kokorewa
Dostępne tylko dla zarejestrowanych użytkowników
dobrym programikiem wspomagającym do wyszukiwania różnych elementów systemu XP
jest także mniej znany System Look
Dostępne tylko dla zarejestrowanych użytkowników
powodzenia

[manitu]

To chyba odniosłeś się do tego wątku usuniętych wpisów, który poruszyłem. Tak wiem można było też chociażby z Przywracania systemu, ale to akurat odpada bo nie mam takiego punktu przywracania.
Dobrze wrócimy do tego, ale zanim chcę żebyś jeśli można odniósł się do wcześniejszego wątku, ponieważ trochę zależy mi na tym.
Więc jak to jest z tymi zaznaczonymi paskami w Comodo ? Co oznaczają ?
Oraz dlaczego ten instalator Comodo Cleaning nie chce się uruchomić ? Chcę zaktualizować program, lecz nie mogę.

No i jeśli chodzi o ten element msconfig.exe, który pokazałem na screenie, czy to obrazuje już jego obecność i położenie w systemie - tak, żeby już sfinalizować tę część tego wątku ?
Czy też sprawa jest bardziej złożona i skomplikowana ? No, ale fakt jest zawsze faktem.

[Fix00ser]

w Comodo przejmowałbym się raczej tylko kolorem czerwonym który jest zazwyczaj złośliwym kodem
lub ukrytym procesem <hidden>
kolor szary przeważnie oznacza niezidentyfikowany komponent lub nieznanego wydawcę, rzadziej jako <false positive>
jeśli chodzi o aktualizację CCE to czytaj post nr 9
Dostępne tylko dla zarejestrowanych użytkowników
wracając do problematycznych aspektów procesu msconfig.exe oraz svchost
proszę pobrać SystemLook i po uruchomieniu procesu <msconfig>
w SystemLook w oknie dialogowym wpisać

Kod: Zaznacz cały

:process
msconfig.exe


po chwili będzie kolega miał wygenerowany listing z wejściami <handle> tego procesu wszystkie moduły, które są ładowane w ramach tego procesu oraz ścieżką dostępu, tak samo proszę przetestować svchost.exe,
te same uchwyty z pewnością listuje także zaproponowany Whats Running oraz CCE
na przyszłość proszę tylko kolegę o trochę więcej własnej inwencji oraz samodzielności ponieważ wszelkie potrzebne zasoby są w zasadzie podane jak na tacy