Question

【Windows 7】我的本本系统是正版的win7旗舰版的，最近有个系统程序svchost.exe老是无限量的上传、下载

―――――――――――――――――――――――
程序名称：svchost.exe
程序说明：
路径：C:\Windows\System32\svchost.exe
------------------------------------------------------------------------------

就是上面那个程序。老是无限量的上传下载流量，我是用联通沃上网的，我可吃不消啊？？

该怎么解决啊？我有去看过百度百科里面讲的，说是windows update更新失败后重新更新又失败如此重复后造成的，之后我就把windows update的设置改了 把能更新的全更新了。但是还是会有上述情况发生。。。。。。。该怎么解决呢？？

Answer 1

1.svchost.exe涉及到多的系统服务，比如，DNS Client、DHCP Client、Windows Defender、Superfetch、Server、Background Intelligent Transfer Service、Windows Update等，它们的进程名都是svchost.exe,会联网的也有好几个，所以要想在电脑上上网，又要省流量，需要进行一番设置。
2.自动更新：设置为检查更新，但是让我选择是否下载和安装更新。如果不用自动更新，可以禁用其相关服务；如果想用又想不让它乱下载，可以这样设置。将下面》《里面的内容分别复制到记事本（不复制》《），另存为.bat文件（所有文件），需要以管理员身份打开。更新之前用第二个批处理，重启更新配置好之后用第一个禁用，也可以加入计划任务设置……这里的BITS服务是用来“使用空闲网络带宽在后台传送文件”说难听些就是偷偷后台下载。很有可能是它在搞鬼。
　　停用自动更新的批处理——》
@echo off
title 正在停用自动更新相关服务
sc config wuauserv start= disabled
net stop wuauserv
sc config BITS start= disabled
net stop BITS
ping -n 3 127.0.0.1>nul
《——
　　启用自动更新的批处理——》
@echo off
title 正在启用自动更新相关服务
sc config wuauserv start= delayed-auto
net start wuauserv
sc config BITS start= delayed-auto
net start BITS
ping -n 3 127.0.0.1>nul
《——
3.Windows Defender如果不是用可以禁用Windows Defender服务，运行service.msc可以打开服务来设置。用的话在软件的界面、工具、选项，把“扫描前检查更新的定义”去掉。
4.把系统里面其它会联网的软件、会自动更新的都取消，包括什么输入法、浏览器、Java运行库、播放器等等。
5.运行Perfmon /res打开资源监视器，查看是那些进程在后台联网，利用其写入磁盘的文件及进程名等来确认是哪个软件或服务，该停用的停用，该关闭的关闭。可以在上网时打开资源监视器，实时监视联网的进程，不对劲就强行断网。
6.开始菜单输入高级，打开高级安全Windows防火墙，设置出站规则，来禁止相关软件自动联网。
7.许多杀毒软件也会在后台联网，即使关闭其自动更新也不行，比如Avast!，可以禁用相关功能，没办法，不是宽带吗？
8.现在许多浏览器都可以上Wap网站，比如Opera、IE9，再把它们的页面动画、声音关闭，会省许多流量。
9.听说你用的360，将其加入高级防火墙的出站规则中，禁止请联网，从其网站下载离线更新包来更新，或在更新时在更改那个规则。
10.经过上述设置，相信会很大程度上减少或避免svchost. exe无限上传与下载的问题，要善于利用资源监视器，祝你好运！

Answer 2

一、紧急状况:系统发现严重病毒

小菜刚刚学习了进程的概念和知识，于是就打开“任务管理器”观察系统中的进程，这一看不要紧，还真发现了一个“病毒”Svchost.exe，这家伙在系统进程列表中竟然有5个之多(见图1)，于是小菜就逐个结束这些进程，没想到第二个进程结束后还会再生，而结束第四个进程时更离谱，系统提示“系统即将关机，离关机还有60秒”，进程再生、错误提示，这些典型的病毒“症状”更让小菜相信“Svchost.exe”是病毒无疑，但无法结束进程，又该怎么清除病毒呢？小菜只好请来了大嘴。

图1 数量众多的SVCHOST进程

大嘴过来后还没看电脑，就先告诉小菜，系统中的Svchost.exe进程是正常系统进程，不是病毒，不仅仅是你，其他朋友一看到系统中这么多的 Svchost.exe进程，第一反应也感觉它是病毒，虽然系统中有多个Svchost.exe进程是正常的，但也不保证都是正常的。听起来似乎有些矛盾？这让小菜更有些迷糊，大嘴坐下后给小菜详细讲了起来。

二、松了口气:Svchost.exe是台“CD机”

1.服务装在“CD机”里

Svchost.exe是NT内核*作系统(Windows 2000/XP/2003都属于NT内核*作系统)独有的进程，“Svchost”其实就是“Service Host”(服务宿主)的缩写。微软官方对它的定义是:Svchost.exe是从动态链接库(DLL)中运行的服务的通用主机进程名称，通俗讲，它就是一个服务装载器。大家可以把每个服务想象成一张音乐CD，而Svchost.exe就是用来播放这种CD的CD机。

2.为什么用“CD机”装服务

由于Windows 2000/XP系统服务越来越多，以EXE单独进程的形式启动所有服务会大大增加系统负担，为节省系统资源，微软将一些系统服务以动态链接库(DLL)形式实现，而Svchost.exe就是用来装载这些DLL文件以启动系统服务的程序。没有人会为了发行一张CD而制作一台专用播放此CD的CD机，微软也一样。

3.系统里有几台这样的“CD机”

那为什么系统进程列表中的Svchost.exe会有多个呢？微软为了让系统能更好地进行服务控制，就允许多个Svchost.exe进程同时运行，每个 Svchost.exe进程可以包含一组服务，想像一下可以同时容纳3张甚至更多CD的多碟CD机。打开注册表[HKEY_LOCAL_MACHINE\ Software\Microsoft\Windows NT\CurrentVersion\Svchost]主键，在窗口右侧可以看到许多键值，这里的每个键值都代表一组服务，键值数据则包含了该组服务下面运行的服务名称列表，每组服务启动时都会通过单独的Svchost.exe进程来装载。Windows XP中默认共有六组服务(见图2)，其中imgsvc、NetworkService、rpcss、termsvcs四个组，它们都只有一个服务运行，这些服务启动后的Svchost.exe进程用户名为“SYSTEM”。而LocalService和netsvcs组都启动了多个服务，它们的 Svchost.exe进程用户名分别为“LOCAL SERVICE”和“NETWORD SERVICE”，从图1中可以看到这种区别。

图2 众多svchost进程的区别

当然了，这六组服务通常并不都是启动状态的，根据系统启动的服务不同，反映在系统进程列表中的Svchost.exe进程数量也是不同的，Windows XP会有四个到六个Svchost.exe进程，而Windows 2000通常则会有两个Svchost.exe进程。

小提示：点击“开始→运行”，在运行框中输入“CMD”回车，然后在打开的命令行窗口中输入“Tasklist /svc”(不含引号)命令，可以更直观地看到每个Svchost.exe进程装载的服务名称列表(见图3)。

图3 查看svchost进程装载的服务名称

4.获取每张“CD”的详细信息

如果想更进一步了解Svchost.exe装载的这些服务都是什么功能，可以记下键值数据中的服务名称，例如“RpcSs”，接着打开注册表的 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services]，再打开下面的“RpcSs”子键，在右边的“Description”键值中就可以看到该服务的描述，而在“ImagePath”键值数据中则可以看到这个服务的运行命令正是“% SystemRoot%\system32\svchost -k rpcss”(见图4)。而在“RpcSs”子键下还有一个“Parameters”(参数)子键，其右边的“ServiceDll”键值数据“% SystemRoot%\system32\rpcss.dll”则表明了RpcSs服务启动时调用的是系统目录下的“Rpcss.dll”文件，这就好像你原来只知道CD中歌曲的歌名，现在又让你能够查到这首歌的演唱者。

图4 查看svchost的具体功能

如果觉得通过注册表查询服务名称了解其属性不太方便，也可以使用“全能助手用Windows服务管理专家”(以下简称“服务管理专家”)来查询，运行软件后单击“All Win32 Services”分支，在右侧服务列表中根据服务名称索引即可快速找到要查询的服务，单击服务名称，即可看到该服务的启动命令以及调用的DLL文件等相关信息(见图5)。同时软件还专门设计了Svchost Group分支，可以快速查询LocalService和netsvcs组中的服务详细信息。

图5 用工具查看svchost的情况

全能助手Windows服务管理专家 小档案

软件名称： 全能助手Windows服务管理专家
软件版本： 1.02
软件大小： 67KB
软件授权： 免费
适用平台： Windows 2000/XP
下载地址： 点击这里下载

三、危机仍在:小心病毒的骗局

由于Svchost.exe进程的特殊性，它隐藏了真正运行的程序的名称，在表面看到的只是Svchost.exe进程，这个特性同时也让许多病毒、木马有空可钻，企图以此迷惑用户。那么如何判断系统中的多个Svchost.exe进程是否正常呢？下面针对这类病毒常用的几种欺骗手法来进行分析。

骗局1:利用假冒Svchost.exe名称的病毒程序

火眼金睛:这种方式运行的病毒并没有直接利用真正的Svchost.exe进程，而是启动了另外一个名称同样是Svchost.exe的病毒进程，由于这个假冒的病毒进程并没有加载系统服务，它和真正的Svchost.exe进程是不同的，只需在命令行窗口中运行一下“Tasklist /svc”，如果看到哪个Svchost.exe进程后面提示的服务信息是“暂缺”(见图6)，而不是一个具体的服务名，那么它就是病毒进程了，记下这个病毒进程对应的PID数值(进程标识符)，即可在任务管理器的进程列表中找到它，结束进程后，在C盘搜索Svchost.exe文件，也可以用第三方进程工具直接查看该进程的路径，正常的Svchost.exe文件是位于%systemroot%\System32目录中的，而假冒的 Svchost.exe病毒或木马文件则会在其他目录，例如“w32.welchina.worm”病毒假冒的Svchost.exe就隐藏在 Windows\System32\Wins目录中，将其删除，并彻底清除病毒的其他数据即可。

图6 查看可疑svchost进程

骗局2:一些高级病毒则采用类似系统服务启动的方式，通过真正的Svchost.exe进程加载病毒程序，而Svchost.exe是通过注册表数据来决定要装载的服务列表的，所以病毒通常会在注册表中采用以下方法进行加载：

添加一个新的服务组，在组里添加病毒服务名
在现有的服务组里直接添加病毒服务名
修改现有服务组里的现有服务属性，修改其“ServiceDll”键值指向病毒程序
判断方法:病毒程序要通过真正的Svchost.exe进程加载，就必须要修改相关的注册表数据，可以打开[HKEY_LOCAL_MACHINE\ Software\Microsoft\WindowsNT\CurrentVersion\Svchost]，观察有没有增加新的服务组，同时要留意服务组中的服务列表，观察有没有可疑的服务名称，通常来说，病毒不会在只有一个服务名称的组中添加，往往会选择LocalService和netsvcs这两个加载服务较多的组，以干扰分析，还有通过修改服务属性指向病毒程序的，通过注册表判断起来都比较困难，这时可以利用前面介绍的服务管理专家，分别打开 LocalService和netsvcs分支，逐个检查右边服务列表中的服务属性，尤其要注意服务描述信息全部为英文的，很可能是第三方安装的服务，同时要结合它的文件描述、版本、公司等相关信息，进行综合判断。例如这个名为PortLess BackDoor的木马程序，在服务列表中可以看到它的服务描述为“Intranet Services”，而它的文件版本、公司、描述信息更全部为空(见图7)，如果是微软的系统服务程序是绝对不可能出现这种现象的。从启动信息“C:\ WINDOWS\System32\svchost.exe -k netsvcs”中可以看出这是一款典型的利用Svchost.exe进程加载运行的木马，知道了其原理，清除方法也很简单了：先用服务管理专家停止该服务的运行，然后运行regedit.exe打开“注册表编辑器”，删除[HKEY_LOCAL_MACHINE\System\ CurrentControlSet\Services\IPRIP]主键，重新启动计算机，再删除%systemroot%\System32目录中的木马源程序“svchostdll.dll”，通过按时间排序，又发现了时间完全相同的木马安装程序“PortlessInst.exe”，一并删除即可。

Answer 3

首先， 你要查看svchost进程的用户是谁， 如果该进程的用户不是system或者network service，那你肯定是中毒了， 杀杀毒吧
其二， 把远程协助，远程桌面什么的都x了。
其三， 如果不想重装系统，那把不需要的软件卸载，把多余的插件用360叉了。这一步绝对不多余，不信，你自己看看你上面给的那个自己截的图片，然后上网查查什么是Netman。
后台就是这样来的。
其四，如果你怀疑你的这个文件是被替换了，你可以在运行那里输入sfc /scannow 修复你的系统文件， 之后你的什么个性化主题啊都会没有（不想重装主题的话慎用，无主题随便）

最后一步，万金油！重装！
神马正版不正版的都是浮云，在我的概念中只有2460和5/0的金钱区别，5块钱的或网上的，软激活、硬激活，同样都能通过微软的正版验证,而且同样都是微软的原版文件。
木要执着在这点上~

以上不能解决，万金油不肯用
嚒要担心， 你的什么网银啊，淘宝啊，要钱的游戏账号啊等等最好别在这台本本上用，然后再把硬盘上的那种pp什么的都剪出来，那个艳啊照啊门啊什么的，你懂~~
最后，花点钱就好了~

Answer 4

svchost.exe只是网络应用程序调用和分配流量的一个加载器，这个进程本身不占用流量，只是其它流量挂载在该进程上，所以用360流量查看，就看到它下载和上传了好多流量，除了你手动安装的网络应用程序外，还有系统相关功能和服务所占用的流量也挂载在这个进程上了，所以即使你开机不运行任何软件，也会看到这个进程有下载和上传流量，这就是系统相关功能和服务所占用的流量

所以，要想节省这一部分流量，不能用结束该进程的办法，也不能用相关限制进程流量的工具来达到目的，必须关闭windows相关功能和服务，才能从根源上节省出来这一部分流量

建议大虾将win7中的这个服务项"Background Intelligent Transfer Service"禁用看看是否这个进程的流量会减少

这个进程说明如下

使用空闲网络带宽在后台传送文件。如果该服务被禁用，则依赖于BITS 的任何应用程序(如Windows Update 或 MSN Explorer)将无法自动下载程序和其他信息。这个服务的主要用途还是用于进行Windows Update或者自动更新，如果是采用更新包来更新的话，完全可以禁用。手动和360禁了重启后会失效,用优化大师就不会了。

Answer 5

svchost.exe病毒清除办法：
　　1、用unlocker删除类似于C:SysDayN6这样的文件夹：例如C:Syswm1i、C:SysAd5D等等，这些文件夹有个共同特点，就是名称为 Sys*** （***是三到五位的随机字母），这样的文件夹有几个就删几个。 　　
　2、开始——运行——输入“regedit”——打开注册表，展开注册表到以下位置： 　　HKEY_CURRENT_USER\Software\Microsoft\Windows\Current\Version\Policies\Explorer\Run
删除右边所有用纯数字为名的键，
如：<66><C:SysDayN6svchost.exe> 　　
　　　<333><C:Syswm1isvchost.exe> 　　
　　　<50><C:SysAd5Dsvchost.exe> 　　
　　　<4><C:SysWsj7svchost.exe> 　　
　　3、重新启动计算机，病毒清除完毕。