windows系统进程csrss.exe
福建IT网「一个进程一篇」系列：任务管理器里看到它，先搞清楚是什么、能不能结束、有没有被仿冒，再决定动不动手。
- 进程名称：
csrss.exe - 所属类型：Client/Server Runtime Subsystem（客户端服务端运行时子系统）
- 程序归属：微软 Windows 系统自带进程，默认路径
C:\Windows\System32\csrss.exe - 用途介绍：Win32 子系统的用户态部分，负责控制台窗口、线程创建与部分图形接口的底层支持，是 Windows 图形与控制台体系的基础。
- 是否合规进程：合法进程必须在
C:\Windows\System32下，用户名 SYSTEM，每个登录会话可有一个实例。 - 能否结束进程：❌ 绝对不能结束。强制结束会触发 0xC000021A 蓝屏（会话管理器终止），系统直接崩溃重启。
- 开机启动：由 smss.exe 在系统启动与用户登录时创建，不受启动项控制。
- 风险备注：
- 仿冒常见写法：csrss.exe 放在
C:\Windows\Temp、C:\Users\Public，或写成 csrsss.exe - 检查数字签名：合法文件带 Microsoft Windows 签名，无签名一律按恶意处理
- 它常与 winlogon.exe 成对出现，两者都在 System32 下才合理
现场怎么核对（三步，不用装任何工具）
Ctrl + Shift + Esc打开任务管理器 → 「详细信息」页 → 右键该进程 → 打开文件所在的位置。- 对照上面的「程序归属」看路径对不对；路径不对，先别结束，直接全盘查杀。
- 右键 → 属性 → 数字签名，看签发主体是否对得上；无签名、签名方陌生的一律按可疑处理。
核对要点：任务管理器「详细信息」页右键 → 打开文件所在的位置 + 属性里的数字签名
一句话结论
和 smss、winlogon 一样属于「碰不得」三件套，结束就是蓝屏；同名出现在别处才是病毒。
本篇按 Windows 10/11 中文版常见环境与各软件官方客户端整理，不同版本路径、进程名可能略有差异，以本机实际安装目录与数字签名为准。福建IT网 · 福建本地 IT 实战，能照着做的那种。