关于对svchost.exe（services Host）服务宿主程序分析
（菜鸟腾飞杀毒教程第四课“第4课.详解Windows随机启动项目——系统服务”里的辅助教程“关于对svchost.exe的分析”）

1.svchost.exe程序一般位于%Systemroot%\system32下和DLLcache（win7下好象没该目录）下及servicePack（安装的服务补丁包，如XP sp1，sp2,sp3），如位于这三个位置外的其它位置则很可能是病毒伪装的，比如windows下。
通过命令行查找相应目录下有无svchost.exe文件， cd c:\windows\system32&dir svchost.exe cd dllcache&dir svchost.exe
注：%Systemroot%是系统变量，可在CMD下通过“SET”命令查看。
注2：DLLCache目录主要保存的是system32目录下所有关键EXE和DLL程序的备份，此目录可以删掉，启用缓存在有该目录。

2.服务一般依赖EXE和DLL两种文件的启动，EXE文件的服务可以直接运行，而DLL文件格式服务必需依赖svchost.exe的宿主程序才能运行。

3.系统的某个功能是否正常主要看这个服务相关的EXE和DLL文件是否启动正常

4.查看不同svchost.exe服务宿主进程加载那些了那些服务方法：
注册表下查看HKLM\software\microsoft\windowsNT\currentversion\SvcHost下不同Reg MULTI_SZ键的值
命令行下：tasklist /svc

5.在不同系统中svchost数目不同，影响svchost.exe进程的数量跟系统开启服务的多少有关。微软将不同的服务归结到不同的svchost.exe实例，有的重要的服务对应一个svchost.exe，如RpcSs

6.停止服务应到服务管理器里的停止，如果某个svchost.exe进程中止，该进程加载的所有服务都会被中止

7.并不是所有的服务都要用svchost.exe才能能加载，有的服务本身就是EXE文件，其进程也可能有多个服务

分辨病毒加载服务的方法：
没有厂商信息，版本，服务描述信息的程序99%为被修改过破坏了数字签名的或病毒本身，应停掉该服务