毫无疑问，您正在阅读本文，因为您偶然发现了控制台窗口主机(conhost.exe)任务管理器中的进程，并想知道它是什么。我们有答案给你。

相关：这个过程是什么？为什么它在我的电脑上运行？

本文是我们正在进行的系列文章的一部分，该系列文章解释了taskmanager中的各种流程，如主进程, dwm.exe文件, 输入法, mDNSResponder.exe，rundll32.exe，Adobe公司_更新程序.exe，以及其他许多。不知道这些服务是什么？最好开始读书！

什么是控制台窗口主机进程(the c***ole window host process)？

了解控制台窗口主机进程需要一点历史。在windowsxp时代，命令提示符由一个名为ClientServer运行时系统服务（CSRSS）的进程处理。顾名思义，CSRSS是一种系统级服务。这就产生了几个问题。首先，CSRSS的崩溃可能会导致整个系统瘫痪，这不仅暴露了可靠性问题，还暴露了可能的安全漏洞。第二个问题是CSRSS不能主题化，因为开发人员不想冒险让主题代码在系统进程中运行。因此，命令提示符总是具有经典的外观，而不是使用新的接口元素。

请注意下面的WindowsXP屏幕截图中，命令提示符的样式与Notepad之类的应用程序不同。

相关：什么是桌面窗口管理器(dwm.exe文件)为什么它在运行？

windowsvista引入了桌面窗口管理器（Desktop Window Manager），这是一种将窗口的复合视图“绘制”到桌面上的服务，而不是让每个单独的应用程序自己处理。命令提示符从中获得了一些肤浅的主题（如其他窗口中的玻璃框架），但它的代价是能够将文件、文本等拖放到命令提示符窗口中。

尽管如此，主题化还是走了这么远。如果你看一下WindowsVista中的控制台，它看起来和其他所有东西使用相同的主题，但是你会注意到滚动条仍然使用旧样式。这是因为桌面窗口管理器处理标题栏和框架的绘制，但是老式的CSRSS窗口仍然位于其中。

进入Windows7和控制台窗口主机进程。顾名思义，它是控制台窗口的主机进程。进程位于CSRSS和命令提示符之间(命令提示符)，允许Windows修复之前的两个问题界面元素（如滚动条）正确绘制，并且可以再次拖放到命令提示符中。这就是windows8和windows10中仍然使用的方法，允许windows7以来出现的所有新的界面元素和样式。

即使任务管理器将控制台窗口主机作为一个单独的实体呈现，它仍然与CSRSS密切相关。如果你检查一下conhost.exe在processexplorer中，您可以看到它实际上运行在csrss.ese文件过程。

最终，控制台窗口主机就像一个shell，它保持了运行CSRSS这样的系统级服务的能力，同时仍然安全可靠地授予集成现代接口元素的能力。

为什么有几个进程实例在运行？

您经常会看到控制台窗口主机进程的几个实例在任务管理器中运行。命令提示符运行的每个实例都将生成自己的控制台窗口宿主进程。此外，其他使用命令行的应用程序将生成自己的控制台Windows主机进程，即使您没有看到它们的活动窗口。Plex Media Server应用程序就是一个很好的例子，它作为后台应用程序运行，并使用命令行使自己对网络上的其他设备可用。

许多后台应用程序都是这样工作的，因此在任何给定的时间都会看到多个控制台窗口主机进程实例运行并不少见。这是正常的行为。在大多数情况下，每个进程都应该占用很少的内存（通常在10MB以下），并且除非进程处于活动状态，否则几乎为零CPU。

也就是说，如果您注意到控制台窗口主机或相关服务的特定实例正在引起问题，例如持续过度的CPU或RAM使用，您可以查看所涉及的特定应用程序。这至少可以让您知道从哪里开始故障排除。不幸的是，任务管理器本身没有提供有关此问题的良好信息。好消息是，微软提供了一个优秀的高级工具，可以将流程作为其sysintranse系列的一部分来处理。只需下载processexplorer并运行它，它是一个可移植的应用程序，所以不需要安装它。Process Explorer提供了各种高级功能，我们强烈建议您阅读我们的《了解Process Explorer指南》以了解更多信息。

相关：什么是“便携”应用程序，为什么它很重要？

在Process Explorer中跟踪这些进程的最简单方法是首先按Ctrl+F开始搜索。搜索“conhost”，然后单击结果。当您这样做时，您将看到主窗口发生变化，向您显示与C***oleWindowHost的特定实例相关联的应用程序（或服务）。

如果CPU或RAM的使用情况表明这是给你带来麻烦的实例，那么至少你已经把它缩小到了一个特定的应用程序。

这个过程可能是病毒吗？

进程本身是一个正式的Windows组件。虽然有可能是病毒用自己的可执行文件取代了真正的控制台窗口主机，但可能性不大。如果您想确定，可以签出进程的底层文件位置。在任务管理器中，右键单击任何服务主机进程并选择“打开文件位置”选项。

如果该文件存储在Windows\System32文件夹中，则可以相当确定您没有感染病毒。

实际上，有一个名为Conhost Miner的特洛伊木马伪装成控制台窗口主机进程。在任务管理器中，它看起来就像真实的进程，但稍微挖掘一下就会发现它实际上存储在%userprofile%\AppData\Roaming\Microsoft文件夹中，而不是Windows\System32文件夹中。特洛伊木马实际上是用来劫持你的电脑来挖掘比特币的，因此，如果你的系统上安装了它，你会注意到的另一个行为是内存使用率高于你的预期，CPU使用率保持在非常高的水平（通常高于80%）。

相关：什么是Windows10最好的防病毒软件？（Windows Defender足够好吗？）

当然，使用一个好的病毒扫描器是防止（和删除）像Conhost Miner这样的恶意软件的最好方法，这是你无论如何都应该做的事情。安全总比抱歉好！