csrss.exe на терминальном сервере

[VVitafresh]

CSRSS.EXE – часть пользовательской Win32 подсистемы. SRSS - сокращение от "client/server run-time subsystem" (клиент/серверная подсистема). csrss отвечает за консольные приложения, создание/удаление потоков и за 16-битную виртуальную среду MS-DOS.

Обнаружил в TaskManager'e, что на терминальном сервере Windows 2000 Server в данный момент загружено с сотню процессов csrss.exe. Есть подозрение, что по окончании сеанса работы пользователя этот процесс остается висеть в памяти. Такое возможно? Какие еще могут быть причины этой ситуации?

P.S. На вирусню проверил, вроде бы все чисто.

[ANDLL]

afaik, правильный csrss запускается один раз и висит один даже при большом числе юзеров. Думаю таки тут не чисто

[VVitafresh]

Думаю таки тут не чисто

Проверял McAfee с вчерашними базами -- ничего не нашел. Да и в автозагрузке абсолютно ничего подозрительного нет.

У меня один или два пользователя запускают фоксовые (еще досовские) приложения на терминальном сервере. Может быть это на DOS такая реакция?

[alibek]

И все-таки посоветую загрузиться с чистого диска и еще раз проверить систему, симантеком или drweb-ом. Сотня csrss — это что-то ненормальное.

[VVitafresh]

Мда. Сервер рабочий, на нем народ работает, посреди дня проблематично будет переставлять винчестер на 100% чистую систему и проверять вирусню.

Ограничусь пока, наверное, ребутом и понаблюдаю. Если все будет плохо -- придется что-то решать...

[VVitafresh]

Ребутнул.

Сразу после загрузки в TaskManager'e видно три процесса csrss. После того, как я подключился удаленно, появился еще один. Когда удаленную сессию завершил -- опять стало три процесса. Посмотрим, что будет дальше...

[ANDLL]

VVitafresh
Запуск дос или консольных процессов не приводит к запускам отдельных экземпаляров csrss. Логины пользователей то же.
Посмотри с помощью process explorer'а, остальные процессы лежат там же, где и основной csrss и что их запускает?
Плюс - если завершить тот который появился, компьютер перезагрузится?

[VVitafresh]

А вот у меня запускаются отдельные экземпляры для пользователей, вот скрин:



Может быть это уже на Win 2003 Server только один процесс на всех пользователей?

[Twister]

1. Два csrss при нормальных условиях может быть запущено только в висте. По крайней мере, я больше ни где такого не наблюдал...
2. Под каким пользователем запущены "левые" csrss, winlogon?
3.

проверить систему, симантеком или drweb-ом

- наихудший совет. Как правило, современные "вирусы" представляют из себя примитив, запакованный UPX'ом или еще чем-то, поэтому сигнатурный поиск почти всегда ни чего не дает, а эвристика обламывается по двум причинам - ни чего страшного с точки зрения эвристика эти програмулины не делают, но имеют в себе антиотладочные приемы. Я практически раз в неделю имею счастье чистить ламерские машины с установленными Касперскими, Семантеками и прочим хламом - они просто кишат подобного рода тварями...
Мой совет - тебе стоит просмотреть систему и поискать побочные результаты жизнедеятельности "вирей". Это могут быть левые хуки, лишние подгруженные ДЛЛ, драйвера, измененные системные ключи реестра, постоянный мониторинг каким-то процессом (или всеми сразу, недавно наблюдал!) некоторых ключей или папок. Короче говоря - если что-то сидит в системе, то поведение последней, естественно, меняется. От этого и стоит отталкиваться, а не захламлять комп кучей антивирей, от которых в самых простых ситуациях абсолютно нет проку...

[VVitafresh]

Ну прямо не знаю, что и думать. Вы говорите, что может быть запущен только один-два csrss, но у меня на всех серверах, где утановлен сервер терминалов запускается отдельный экземпляр csrss при подключении нового пользователя

Запущены csrss и winlogon под SYSTEM (User name в TaskManager'e). Ничего криминального в работе, никакого аномального поведения не замечал. ИМХО, вряд ли сразу на всех серверах может быть вирусня (все работает без сбоев, да и не было откуда взятся там вирусам -- сервера в локалке без прямого доступа к интернету). Единственное, что было ненормального на одном сервере -- это то количество запущенных csrss, которое я обнаружил вчера. Но после перезагрузки пока все в норме, т.е. количество запущенных csrss = кол-во пользователей + 2

[ANDLL]

VVitafresh
Поставь порожную версию своего windows на virtual pc\vmware. Настрой сервер терминалов, и посмотри, повторится ли поведение?

[VVitafresh]

ANDLL, так и сделал. Только дома инсталляхи Window Server 2000 не оказалось, поэтому проинсталил на VMWare Windows Server 2003 Enterprise и поднял на нем терминальный сервер. Ситуация в общем то аналогичная. Количество csrss = кол-ву залогиненых пользователей + 1. При корректном завершении сеанса пользователем количество процессов csrss уменьшается на 1.

Так что буду считать что у меня все нормально, просто имел место кратковременный сбой