大家知道，如果怀疑某个进程是病毒、木马或者间谍软件等恶意程序带来的，那么首先就需要了解该可疑进程的路径、大小等详细信息
Windows进程信息不可用解决办法(7)
/control=0x0
/owner =local service
/primary group =local service
/audit ace count =0
/perm. ace count =3
/pace =S-1-5-5-0-55078 ACCESS_ALLOWED_ACE_TYPE-0x0 AccessMask=0x1f0fff
/pace =system ACCESS_ALLOWED_ACE_TYPE-0x0 AccessMask=0x100201
/pace =testxp\admin ACCESS_ALLOWED_ACE_TYPE-0x0 AccessMask=0x1f0fff
可以看到，现在Admin帐户对csrss.exe进程具有完全控制权限。打开“系统信息”窗口，现在可以看到csrss.exe进程的详细信息了。
这里需要说明的是，尽管采用subinacl命令行工具可以很方便地设置进程的访问权限。但是这里还是推荐用Process Explorer程序，不仅操作起来方便，而且可以给进程赋予最小的访问权限，而subinacl命令行工具则只能给进程赋予完全控制权限。
疑难解答
Process Explorer为什么可以查看所有进程的详细信息？原来Process Explorer借助AdjustTokenPrivileges这个API函数，在自己进程的访问令牌里激活了SeDebugPrivilege（调试程序）特权，（如图7）所示。由于这个SeDebugPrivilege（调试程序）特权的存在，使得Process Explorer能够绕过其他所有进程的访问控制列表，查看其他所有进程的详细信息（当然除了system和system idle process这两个“伪”进程之外）。（在本文撰写的过程中，得到尤杨和张康宗两位Microsoft MVP的帮助，在此表示感谢。）
图7
更多软件资讯请点击PCHOME首页
网友评论