第一：进程是什么
进程为应用程序的运行实例，是应用程序的一次动态执行。看似高深，我们可以简单地理解为：它是
*作系统当前运行的执行程序。在系统当前运行的执行程序里包括：系统管理计算机个体和完成各种*作所
必需的程序；用户开启、执行的额外程序，当然也包括用户不知道，而自动运行的非法程序（它们就有可
能是病毒程序）。
危害较大的可执行病毒同样以“进程”形式出现在系统内部（一些病毒可能并不被进程列表显示，如
“宏病毒”），那么及时查看并准确杀掉非法进程对于手工杀毒有起着关键性的作用。
第二：什么是木马
木马病毒源自古希腊特洛伊战争中著名的“木马计”而得名，顾名思义就是一种伪装潜伏的网络病毒
，等待时机成熟就出来害人。
传染方式:通过电子邮件附件发出，捆绑在其他的程序中。
病毒特性:会修改注册表、驻留内存、在系统中安装后门程序、开机加载附带的木马。
木马病毒的破坏性:木马病毒的发作要在用户的机器里运行客户端程序，一旦发作，就可设置后门，
定时地发送该用户的隐私到木马程序指定的地址，一般同时内置可进入该用户电脑的端口，并可任意控制
此计算机，进行文件删除、拷贝、改密码等非法*作。
防范措施:用户提高警惕，不下载和运行来历不明的程序，对于不明来历的邮件附件也不要随意打开
。
第三：什么是计算机病毒
计算机病毒是一个程序，一段可执行码。就像生物病毒一样，计算机病毒有独特的复制能力。计算机
病毒可以很快地蔓
延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个
用户时，它们就随
同文件一起蔓延开来。
除复制能力外，某些计算机病毒还有其它一些共同特性：一个被污染的程序能够传送病毒载体。当你
看到病毒载体似乎
仅仅表现在文字和图象上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了其它类型的灾
害。若是病毒并不
寄生于一个污染程序，它仍然能通过占据存贮空间给你带来麻烦，并降低你的计算机的全部性能。
可以从不同角度给出计算机病毒的定义。一种定义是通过磁盘、磁带和网络等作为媒介传播扩散,能
“传染” 其他程序
的程序。另一种是能够实现自身复制且借助一定的载体存在的具有潜伏性、传染性和破坏性的程序。还有
的定义是一种人为
制造的程序,它通过不同的途径潜伏或寄生在存储媒体（如磁盘、内存）或程序里。当某种条件或时机成
熟时,它会自生复制
并传播,使计算机的资源受到不同程序的破坏等等。这些说法在某种意义上借用了生物学病毒的概念,计算
机病毒同生物病毒
所相似之处是能够侵入计算机系统和网络,危害正常工作的“病原体”。它能够对计算机系统进行各种破
坏,同时能够自我复
制, 具有传染性。
所以, 计算机病毒就是能够通过某种途径潜伏在计算机存储介质（或程序）里, 当达到某种条件时即
被激活的具有对计
算机资源进行破坏作用的一组程序或指令集合。
第四：什么是蠕虫病毒
蠕虫病毒是计算机病毒的一种。它的传染机理是利用网络进行复制和传播，传染途径是通过网络和电
子邮件。
比如近几年危害很大的“尼姆达”病毒就是蠕虫病毒的一种。这一病毒利用了微软视窗*作系统的漏
洞，计算机感染这一病毒后，会不断自动拨号上网，并利用文件中的地址信息或者网络共享进行传播，最
终破坏用户的大部分重要数据。
蠕虫病毒的一般防治方法是：使用具有实时监控功能的杀毒软件，并且注意不要轻易打开不熟悉的邮
件附件。
第五：什么是广告软件Adware
广告软件（Adware）是指 未经用户允许，下载并安装或与其他软件捆绑通过弹出式广告或以其他形
式进行商业广告宣传的程序。安装广告软件之后，往往造成系统运行缓慢或系统异常。
防治广告软件，应注意以下方面 ：
第一，不要轻易安装共享软件或＂免费软件＂，这些软件里往往含有广告程序、间谍软件等不良软件，可能
带来安全风险。
第二，有些广告软件通过恶意网站安装，所以，不要浏览不良网站。
第三，采用安全性比较好的网络浏览器，并注意弥补系统漏洞．
第六：什么是间谍软件Spyware
间谍软件（Spyware）是能够在使用者不知情的情况下，在用户电脑上安装后门程序的软件。 用户的隐私
数据和重要信息会被那些后门程序捕获， 甚至这些 “后门程序” 还能使黑客远程*纵用户的电脑。
防治间谍软件，应注意以下方面 ：
第一，不要轻易安装共享软件或“免费软件”，这些软件里往往含有广告程序、间谍软件等不良软件，可
能带来安全风险。
第二，有些间谍软件通过恶意网站安装，所以，不要浏览不良网站。
第三，采用安全性比较好的网络浏览器，并注意弥补系统漏洞。
第七：Dll文件是什么
DLL是Dynamic Link Library的缩写，意为动态链接库。在Windows中，许多应用程序并不是一个完整
的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一
个程序时，相应的DLL文件就会被调用。一个应用程序可有多个DLL文件，一个DLL文件也可能被几个应用
程序所共用，这样的DLL文件被称为共享DLL文件。DLL文件一般被存放在C:WindowsSystem目录下。
1、如何了解某应用程序使用哪些DLL文件
右键单击该应用程序并选择快捷菜单中的“快速查看”命令，在随后出现的“快速查看”窗口的“引
入表”一栏中你将看到其使用DLL文件的情况。
2、如何知道DLL文件被几个程序使用
运行Regedit，进入HKEY_LOCAL_MACHINESoftwareMicrosrftWindowsCurrent-
ersionSharedDlls子键查看，其右边窗口中就显示了所有DLL文件及其相关数据，其中数据右边小括号内
的数字就说明了被几个程序使用，（2）表示被两个程序使用，（0）则表示无程序使用，可以将其删除。
3、如何解决DLL文件丢失的情况
有时在卸载文件时会提醒你删除某个DLL文件可能会影响其他应用程序的运行。所以当你卸载软件时
，就有可能误删共享的DLL文件。一旦出现了丢失DLL文件的情况，如果你能确定其名称，可以在Sysbckup
（系统备份文件夹）中找到该DLL文件，将其复制到System文件夹中。如果这样不行，在电脑启动时又总
是出现“***dll文件丢失……”的提示框，你可以在“开始/运行”中运行Msconfig，进入系统配置实用
程序对话框以后，单击选择“System.ini”标签，找出提示丢失的DLL文件，使其不被选中，这样开机时
就不会出现错误提示了。
rundll的功能是以命令列的方式呼叫Windows的动态链结库。
Rundll32.exe与Rundll.exe的区别就在于前者是呼叫32位的链结库，后者是用于16位的链结库。
rundll32.exe是专门用来调用dll文件的程序。
如果用的是Win98，rundll32.exe一般存在于Windows目录下；
如果用的WinXP，rundll32.exe一般存在于WindowsSystem32目录下。
若是在其它目录，就可能是一个木马程序，它会伪装成rundll32.exe。
第八：什么是系统进程
进程是指在系统中正在运行的一个应用程序；线程是系统分配处理器时间资源的基本单元，或者说进
程之内独立执行的一个单元。对于* 作系统而言，其调度单元是线程。一个进程至少包括一个线程，通常
将该线程称为主线程。一个进程从主线程的执行开始进而创建一个或多个附加线程，就是所谓基于多线程
的多任务。
那进程与线程的区别到底是什么？进程是执行程序的实例。例如，当你运行记事本程序（Nodepad）
时，你就创建了一个用来容纳组成Notepad.exe的代码及其所需调用动态链接库的进程。每个进程均运行
在其专用且受保护的地址空间内。因此，如果你同时运行记事本的两个拷贝，该程序正在使用的数据在各
自实例中是彼此独立的。在记事本的一个拷贝中将无法看到该程序的第二个实例打开的数据。
以沙箱为例进行阐述。一个进程就好比一个沙箱。线程就如同沙箱中的孩子们。孩子们在沙箱子中跑
来跑去，并且可能将沙子攘到别的孩子眼中，他们会互相踢打或撕咬。但是，这些沙箱略有不同之处就在
于每个沙箱完全由墙壁和顶棚封闭起来，无论箱中的孩子如何狠命地攘沙，他们也不会影响到其它沙箱中
的其他孩子。因此，每个进程就象一个被保护起来的沙箱。未经许可，无人可以进出。
实际上线程运行而进程不运行。两个进程彼此获得专用数据或内存的唯一途径就是通过协议来共享内存块
。这是一种协作策略。下面让我们分析一下任务管理器里的进程选项卡。
这里的进程是指一系列进程，这些进程是由它们所运行的可执行程序实例来识别的，这就是进程选项
卡中的第一列给出了映射名称的原因。请注意，这里并没有进程名称列。进程并不拥有独立于其所归属实
例的映射名称。换言之，如果你运行5个记事本拷贝，你将会看到5个称为Notepad.exe的进程。它们是如
何彼此区别的呢？其中一种方式是通过它们的进程ID，因为每个进程都拥有其独一无二的编码。该进程ID
由Windows NT或Windows 2000生成，并可以循环使用。因此，进程ID将不会越编越大，它们能够得到循环
利用。 第三列是被进程中的线程所占用的CPU时间百分比。它不是CPU的编号，而是被进程占用的CPU
时间百分比。此时我的系统基本上是空闲的。尽管系统看上去每一秒左右都只使用一小部分CPU时间，但
该系统空闲进程仍旧耗用了大约99%的CPU时间。
第四列，CPU时间，是CPU被进程中的线程累计占用的小时、分钟及秒数。请注意，我对进程中的线程
使用占用一词。这并不一定意味着那就是进程已耗用的CPU时间总和，因为，如我们一会儿将看到的，NT
计时的方式是，当特定的时钟间隔激发时，无论谁恰巧处于当前的线程中，它都将计算到CPU周期之内。
通常情况下，在大多数NT系统中，时钟以10毫秒的间隔运行。每10毫秒NT的心脏就跳动一下。有一些驱动
程序代码片段运行并显示谁是当前的线程。让我们将CPU时间的最后10毫秒记在它的帐上。因此，如果一
个线程开始运行，并在持续运行8毫秒后完成，接着，第二个线程开始运行并持续了2毫秒，这时，时钟激
发，请猜一猜这整整10毫秒的时钟周期到底记在了哪个线程的帐上？答案是第二个线程。因此，NT中存在
一些固有的不准确性，而NT恰是以这种方式进行计时，实际情况也如是，大多数32位*作系统中都存在一
个基于间隔的计时机制。请记住这一点，因为，有时当你观察线程所耗用的CPU总和时，会出现尽管该线
程或许看上去已运行过数十万次，但其CPU时间占用量却可能是零或非常短暂的现象，那么，上述解释便
是原因所在。上述也就是我们在任务管理器的进程选项卡中所能看到的基本信息列。
第九：什么是应用程序
应用程序指的是程序开发人员要开发的一个数据库应用管理系统，它可以是一个单位的财务管理系统
、人事管理系统等。（各种有关功能的窗口的集合构成一个完整的应用系统，分发给各个终端用户的就是
一个应用程序。
第十：如何察看正在运行的进程
察看正在运行的进程的方法有很多，最简单就是使用Windows自带的进程管理器察看正在运行的进程
：同时按下“Ctl Alt Del”打开Windows进程管理器。点击进程的标签，即可察看系统中进行的进程列表
。或者用鼠标右键点系统状态栏“系统管理器”进入系统进程管理器
第十一：如何强制结束一个运行中的进程
1. 打开“终端服务管理器（任务管理器）”。
2. 在“进程”选项卡上的“用户”列下，右键单击要结束的进程，然后单击“结束进程”。
注意
1. 必须具有完全控制权限才能结束进程。
2. 要打开“终端服务管理器”，请依次单击“开始”和“控制面板”，双击“管理工具”，然后双
击“终端服务管理器”。
3. 请注意：在没有警告的情况下结束进程会导致用户会话中的数据丢失。
4. 可能需要结束进程，因为应用程序没有响应。
5. 也可以使用 tskill 命令结束进程。
强制结束进程的命令行
Windows*作系统中只有System、SMSS.EXE和CSRSS.EXE不能杀。前两个是纯内核态的，最后那个是
Win32子系统，ntsd本身需要它。ntsd从2000开始就是系统自带的用户态调试工具。被调试器附着
(attach)的进程会随调试器一起退出，所以可以用来在命令行？罩菇