WinXP服务详解

XP系统服务详解

预备篇：如何管理配置系统服务

要想正确管理和配置系统服务，一定先确保你有合适的权限，否则一些设置你无法改动。因此最方便的方法就是使用Administrator组的用户登录。而在改动服务的设置之前，备份当前的状态很有必要，一旦出错可马上恢复到正常状态。这里介绍直接备份注册表中与服务有关内容的方法，选择“开始→运行”，输入“regedit”并回车打开注册表编辑器，展开注册表选定“HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Service”（图1），点击菜单“文件”→“导出”将此分支下的注册表内容导出并保存成一个REG文件，如果要恢复系统服务到原始状态，只要双击这个文件导入注册表即可。

如已备份了服务的缺省设置，现在就可尝试着更改服务了。熟练运用Win98的朋友都知道，“msconfig”是配置Win98启动时系统资源占用的重要工具。在WinXP中，考虑到用户对以前系列操作系统的习惯性，这个在Win2000中消失的工具又被保留了下来，所以不少从Win98升级到WinXP的朋友依然习惯性地使用它来配置系统。然而对于系统服务的管理配置来说这是不可取的。利用“msconfig”确实可以方便地关闭和启动系统的后台服务（图2），但在其中只能机械地决定启动还是关闭服务，并不能设定系统服务完整的3种启动类型。更重要的是，由于在“msconfig”中看不到系统服务的基本注释，在这种情况下容易造成配置管理服务的失误。尤其有一些系统引导启动所必须的基本服务，如Remote Procedure Call，使用专门的服务管理配置工具Services.msc是无法关闭的，反而是用“msconfig”可以将其关闭，所以极易造成无法启动系统的失误。因此还是使用WinXP附带的服务配置管理工具Services.msc来管理服务较好。

打开服务配置管理工具的方法是依次打开“开始→控制面板→性能维护”（在分类视图下），然后选择打开“管理工具→服务”（图3），或者直接在“开始→运行”中输入Services.msc然后回车。在服务配置工具的窗口（图4），双击任意一个服务，就可以打开该服务的属性面板。在这里做调整管理，通过更改服务的启动类型来依据自己的需要启动、关闭或干脆禁用服务。不过在配置这些服务之前，我们还是先了解一下服务的属性面板中一些重要信息的含义。

切换到具体服务的属性面板的“常规”页面（图5），“服务名称”是指服务的“简称”，并且也是在注册表中显示的名称，“显示名称”是指在服务配置面板中每项服务的显示名称，“描述”则为此服务的简单解释，“可执行文件路径”就更好理解了。接下来就是比较重要的“启动类型”了，这也是整个服务配置管理的核心。对于任意一个服务，通常都有3种不同的启动类型：Automatic（自动），Manual（手动）和Disabled（禁止），只要从下拉菜单中选择就可以随意更改服务的启动类型（图6）。这3种启动类型都有各自的意义和作用。

Automatic（自动）：此服务随启动WinXP一起启动，将延长启动所需要的时间，有些服务是

1

必须设置为自动的，例如Remote Procedure Call（RPC）。由于依存关系或其性质的影响，其他的一些服务也必须设置为自动，这样的服务最好不要去碰它，否则系统无法正常工作。

Manual（手动）：如果一个服务被设置为手动，那么可以在需要的时候再运行它。大多数服务都是这样的，这可以节省大量系统资源、加快启动时间。

Disabled（禁止）：此服务不能再运行，哪怕是系统必须。这个设置一般在提高安全性的时候很管用。如果怀疑一个陌生的服务会给你的系统带来安全隐患，那么可以先尝试停止它，看看系统还能不能正常运行，如果一切正常，那么就可直接禁止它了。日后如果需要这个服务，再启动它前，必须先将启动类型设置为自动或手动。

最后是“服务状态”，即指服务的现在状态是启动还是关闭，通常可利用下面的“启动”、“关闭”、“暂停”等按钮来即时改变服务的状态，但是有两种情况下这些按钮是灰色不可用的。一种情况是服务被设置为Disabled（图7），这种情况下只有将服务为设置自动或手动并“应用”后才可使用。另一种情况就是我们前面提到的系统启动所必须的基础服务，如Remote Procedure Call，它的启动类型被设置为自动且不可改变（图8），自然那些改变服务状态的按钮也就不可用了。

切换到服务属性面板的“依存关系”页面（图9）。一些服务并不能单独运行，必须依靠（即依存）其他服务。在停止或者禁用一个服务之前，一定要看清楚这个服务的依存关系，如果有其他需要启动的服务是依靠这个服务，就不能将其停止。比如图中Messenger这个服务，要依靠其他4个服务才能运行，因此停止或禁用其中的任何一个，Messenger服务都将不能正常运行。又比如Application Layer Gateway Service这个服务，如果关掉它，那么依赖它的Internet Connection Firewall/Internet Connection Sharing也就无法工作了（图10）。所以我们在关掉一个服务前，查清其依存关系是必不可少的步骤。

实战篇：服务详解

上面我们已经了解了服务的管理配置，下面就来了解每个服务的具体含义。如果你的系统中没有下文中提到的某些服务也不用担心，因为某些服务只有在特定状态下或安装了某些软硬件之后才会出现。

1.Alerter

Alerter（警示器）服务的进程名是Services.exe（即启动这个服务后在后台运行的进程的名称，可以通过任务管理器看到，图11）。Alerter服务的功能是，WinXP将系统上发生的与管理有关的事件以警示（Alert）信息传送至网络上指定的电脑或用户，例如当发生打印错误或硬盘即将写满等事件，这类警示信息由XP的警示器服务（Alerter Service）收集、送出。

2

尽管Alerter依存的服务并没有Messenger（信使）服务，但Alerter服务必须依赖后者才能送出信息，故在启动Alerter服务后还必须确定Messenger服务也是在工作中，而接收的电脑也必须启动Messenger服务。由于Alerter服务运行后，服务使用户可以发送弹出（Pop-up）信息给其他用户，这些信息有可能被攻击者用来实施攻击，如诱骗用户修改口令等，从而造成安全隐患。同时该服务使得用户帐号名泄漏，也有可能被攻击者利用来进行口令猜测攻击。所以对于家庭单机用户，甚至对于绝大多数小型的局域网来说，这个功能是完全可禁用的，不仅节省了系统资源和加快启动速度，也提高了机器的安全性。

2.Application Layer Gateway Service

简称“ALG”（应用层网关），其进程名是alg.exe，WinXP Home/PRO默认安装的启动类型为手动。ALG又被称为代理服务器（Proxy Server），是网络防火墙从功能面上分类的一种。当内部计算机与外部主机连结时，将由代理服务器（Proxy Server）担任内部计算机与外部主机的连结中继者。使用ALG的好处是隐藏内部主机的地址和防止外部不正常的连接，如果代理服务器上未安装针对该应用程序设计的代理程序时，任何属于这个网络服务的封包将完全无法通过防火墙。通俗点说，具体到ALG本身，它就是WinXP附带的Internet连接共享/防火墙的具体控管程序，如果你需要启用这二者（图12），这个服务是必备的。当然，只有一台计算机的上网家庭可以考虑禁用这个服务，不过笔者个人觉得WinXP内置的防火墙效果还是不错的，如果不是坚持要使用第三方的防火墙，还是建议开着它吧。

3.Application Management

AppMgmt（应用程序管理服务）的进程名是Svchost.exe，WinXP Home/Pro默认安装的启动类型是手动，没有任何依存服务关系。从Win2000开始微软引入了一种基于MSI文件格式（应用程序安装信息程序包文件）的全新、有效软件管理方案——即应用程序管理组件服务（Application Management），它不仅管理软件的安装、删除，而且可使用此项服务修改、修复现有应用程序，监视文件复原并通过复原排除基本故障等。通常这个服务我们保持其默认状态较好。

可能许多朋友都有印象，当年ACDSee 4.0刚发布时，由于安装制作上的考虑不周，并没有考虑到那个时候大多数人的系统还并不支持MSI安装格式，结果只得又去下载安装一个名为Windows Installer的MSI辅助文件才解决问题（http://asp.6to23.com/zmhh/zmhh/newdown ... assid=3&Nclassid=25，如若需要请在此下载，请看清对应的系统）。通常以MSI文件格式安装的软件十分好认，比如说Office XP，当你安装后再次运行软件的安装程序时，它一般会有“重新安装”、“修复软件”、“卸载软件”等多个选项（图13），而不是以前安装程序那种就简单的卸载或覆盖安装了事。

3

4.Automatic Updates

Wuauserv（自动更新服务）的进程名是Svchost.exe，WinXP Home/Pro默认安装的启动类型为自动，没有任何依存服务关系。这个是大家都非常熟悉的系统自动更新功能（图14），就不多说了。用小猫上网而深受其苦的朋友记得在系统属性中关闭是不够的，还要将Automatic Updates这个服务禁用才可以。以后需要更新的话，直接到在IE中键入Windows Update 网站地址http://v4.windowsupdate.microsoft.com/zhcn/default.asp手动更新即可。

5.Background Intelligent Transfer Service

BITS（后台智能传输服务）的进程名是Svchost.exe，WinXP Home/Pro默认安装的启动类型是手动，依赖于Remote Procedure Call、Workstation服务。微软宣称BITS能够利用剩余的带宽传输文件，当网络切断或计算机需重启时，后台智能传输服务会自动对文件传输加以维护，当网络重新连接时，后台智能传输服务将继续从停止的地方继续开始传输文件。其实这个服务原是用来实现HTTP 1.1服务器之间的信息传输，基本上它的应用也就是支持Windows自动更新时的断点续传。如果你禁用了Automatic Updates，留着它基本上也没有什么意义。

6.ClipBook

ClipSrv（剪贴板查看器服务）的进程名是clipsrv.exe，WinXP Home/Pro默认安装的启动类型是手动，依赖Network DDE服务。ClipBook通过Network DDE和Network DDE DSDM提供的网络动态数据交换服务，可查阅远程机器中的剪贴板，通俗的说就是ClipBook支持剪贴板查看器（ClipBook Viewer）程序，该程序可允许剪贴页被远程计算机上的ClipBook浏览。

例如有个较大的文档工程，由A、B、C共同开发，A负责Excel数据部分，B负责Visio制图部分，而C负责将两部分文档的整合。C经常需要对A、B的数据进行拷贝，愚蠢的做法是C打开A、B在网络邻居上共享的文档，然后将相关内容拷贝。而对Windows体系有一定了解的用户应该听说过OLE这个东西，上面说的EXCEL数据和Visio制图都可以认为是独立的OLE对象，如果A、B、C的3台机器上的Clipbook服务都为开启，就可利用ClipBook共享这些OLE对象，C只要在自己的文档中建立OLE对象的链接指向A、B的Excel和Visio，A、B对自己工作的任何改动即可在C的复合文档里自动体现。由此可见，ClipBook是基于对象的共享，而非简单的文件共享。所以也很好理解，这是一把双刃剑，在带来极大方便的同时，也带来被非法远程访问ClipBook剪贴页面的安全隐患。对于没有上述类似工作，又不准备使用或极少使用远程桌面的用户，这个服务完全可以禁用，在需要的时候再打开。

7.COM+ Event System

EventSystem（COM+事件系统服务）的进程名是Svchost.exe，WinXP Home/Pro默认安装的

4

启动类型是手动，依赖Remote Procedure Call服务。对于非软件开发专业的朋友来说，COM+是个非常难理解的名词。简单的说COM+是一种软件构件/组件的标准。比如写一个软件好比是盖一座房子。而门窗等部件会根据标准设计，以求得省时省力，COM组件即是Windows的门窗等标准组件了，COM+是对COM的进一步扩展，其具体含义在此就不详细介绍了，Windows系统又是个典型的消息（事件）处理型系统，很多功能都是由消息来触发的，这就产生了COM+ Event System。我们要学习的是如何简单判断自己的系统中是否有程序依靠此服务。检查你的系统安装盘下的“Program files\\\\ComPlus Applications ”目录，如果没有东西就可以把这个服务关闭了。

8.COM+ System Application

COMSysApp（COM+系统应用服务）的进程名是Dllhost.exe，WinXP Home/Pro默认安装的启动类型是手动，依赖Remote Procedure Call服务。简单的说，COM+ System Application是COM+ Event System的具体执行者，如果禁用了COM+ Event System也就自然禁用它。

9.Computer Browser

Browser（计算机浏览器服务）的进程名是Svchost.exe，WinXP Home/Pro默认安装的启动类型是自动，依赖Server和Workstation服务。Browser服务维护着一个网络资源的清单，其中包括基于Windows的域、工作组和计算机，还有其他支持NetBIOS协议的网络设备，我们在“网上邻居”上看到显示的内容正是来源于此（图15）。显然对于一般家庭用的计算机这个服务并不需要，除非计算机位于局域网之上，例如用长城宽带的朋友，用它可方便地知道社区内的网络环境。这个服务还是慎重对待较好，若不是太在意还是将其设置成自动吧。

10.Cryptographic services

CryptSvc（认证服务）的进程名是Svchost.exe，WinXP Home/Pro默认安装的启动类型为自动，依赖Remote Procedure Call服务。CryptSvc是整个微软公钥体系（PKI，Public Key Infrastructure）的核心元件。所谓的PK是一种公匙加密法，通过加密来保证数据的安全和传送，它与传统的秘密（对称）钥匙密码法不相同，PK密码法的基本特性是加密和解密的钥匙不同，每一个用户两把钥匙，一把公开密匙，一把私匙。撇开这些难以一下子理解的术语，具体到CryptSvc本身来说，如果我们在WinXP中使用Automatic Updates自动更新，或在Internet上使用证书进行身份验证以及正确管理这些证书等（图16），那么这个服务就不要关闭。其中这个功能最有用的是，当你安装一个驱动程序时，以确定它是不是通过微软认证的。因为驱动程序在操作系统内可以获得很高的运行权限，含有恶意代码的驱动程序会让你玩完，因而开发驱动程序的厂家一般都会去做微软认证，通过验证后，微软会在里面添加它的认证数据，再到你机器上安装时就可以通过CryptSvc检测升级（图17）。

5

本文来源：https://www.bwwdw.com/article/xaq2.html