分类：胡扯IT

无论何时，当我们打开Windows任务管理器时都会在里面看到smss.exe进程，这是一个会随着基于Windows NT操作系统的启动而一直存在的进程。如果尝试结束此进程会导致操作系统立即被关闭。

那么这个smss.exe是什么进程？它在操作系统中起到什么作用？本文的相关描述或许对你有所帮助：

进程综述

smss.exe进程是微软®公司为其发布的基于Windows NT系统（200/XP/Vista以及Win7等）定义的一个重要系统核心程序，官方描述为：Windows会话管理器。

会话管理器负责Windows操作系统启动及操作中的许多的重要步骤，比如打开额外的页面文件、执行延迟的文件改名和删除操作，创建系统环境变量。他也将Csrss.exe和Winlogon.exe进程启动起来，Winlogon.exe进程会依次创建其他系统进程。

smss.exe这是一个Windows后台进程，会随着系统一起启动，由于其是系统运行的重要进程，如果强行将其终止系统也会被关闭，如下图所示：

smss.exe作为系统进程在通常情况下都是安全的，我们可以在以下位置看到其程序文件：

所在位置：C:\Windows\System32\smss.exe（C代表系统安装所在分区盘符）

功能详解

smss.exe（会话管理器）是Windows系统中第一个创建的用户模式进程。负责完成执行体和内核初始化工作的内核模式系统线程在最后阶段创建了实际的Smss进程。在启动Windows的过程中，smss.exe作用过程分为7个步骤，分别如下：

1. 创建LPC port对象，为MSDOS定义符号连接，例如COM1、LPT1，假如安装有Terminal Services，则创建\Sessions目录
2. 运行注册表里HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute定义的程序，一般默认的是运行Autochk
3. 执行HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations表键中的延迟，删除，改名操作
4. 加载HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs 初始化paging files和注册表
5. 创建系统环境变量，这些定义在HKLM\System\CurrentControlSet\Session Manager\Environment
6. 加载和初始化Win32子系统的内核模块Win32k.sys
7. 创建Win32子系统服务器进程，包括Csrss.exe并创建Winlogon.exe进程。

在注册表的HKLM\SYSTEM\CurrentControlSet\Control\Session Manager下面，你可以找到许多配置信息，它们驱动了Smss.exe的初始化步骤。Smss.exe中的主线程在执行了这些初始化步骤以后， 一直在Csrss.exe和Winlogon.exe的进程句柄上等待。如果这两个进程中的任何一个非正常终止了，则Smss让系统崩溃掉（崩溃的代码是 STATUS_SYSTEM_PROCESS_TERMINATED或0xC000021A），因为Windows要依赖于这两个进程的存在才能运行得下去。（拓展阅读：svchost.exe是什么进程？）

同时Smss.exe等待加载子系统的请求、调试事件，以及创建新的终端服务器会话（terminal server sessions）的请求。终端服务会话（Terminal Services session）的创建是由Smss.exe来完成的。当Smss.exe接到一个创建会话的请求时，它首先调用NtSetSystemInformation，请求建立内核模式的会话数据结构。又依次调用内部的内存管理器函数MmSessionCreate， 该函数建立起会话虚拟地址空间，该地址空间中包含会话中的换页内存池，以及由Win32子系统的内核模式部分（Win32k.sys）和其他的会话空间设备驱动程序所分配的、属于每个会话的数据结构。然后，Smss.exe为该会话创建Winlogon.exe和Csrss.exe的实例。

由于smss.exe进程（Windows会话管理器，负责Windows操作系统启动及操作中的许多的重要步骤）是每一个基于Windows NT（2000/XP/Vista以及Win7）操作系统的电脑上都必须运行的一个关键系统进程，所以smss.exe也是很多木马病毒的感染目标，这些病毒有些会使用相同的名称等方式把自己伪装成Smss.exe进程以便迷惑用户。

以下是一些被杀毒软件截获的相关典型伪装病毒实例：

• 病毒名称：Backdoor.IRC.Flood.F（％SYSTEMROOT％\ SYSTEM32 \ CATROOT）
  • 这是一个后门木马，它包括一个IRC bot，允许远程攻击者发出的命令。 它连接到远程IRC服务器的6667端口。
• 病毒名称：Win32.Racos.A（％SYSTEMROOT％）
  • 这是一个会记录用户键盘记录的蠕虫病毒，且会尝试将其自身复制到U盘等移动设备上进行传播。
• 病毒名称：W32.Dalbug.Worm（％SYSTEMROOT％）
  • 这是一个蠕虫病毒，将自身注册为系统服务，名为NtLmHosts。 此外，为了避免被发现，它消除了有关自己在注册表编辑器的运行和注册表项，然后再恢复。

我们首先可以利用以下条件对你系统中运行的此进程进行初步安全判断：

1. 同时运行着两个smss.exe是有很大嫌疑的；
2. 此进程必须在C:\Windows\System32\smss.exe位置；
3. 任何的有关此进程的报错或CPU使用率过高都是危险信号；

对于以上情况或者其他你认为的任何可疑情况都应该立即更新杀毒软件最新病毒库后对电脑进行全盘查杀，这样才能有效的删除smss.exe病毒带来的威胁。