|
|
| 제 목 |
Svchost 증상별 처리방안 |
작 성 일 |
2008-07-20 13:21:09 |
| 작 성 자 |
pccarenet
|
조 회 |
7,498 |
포 인 트 |
476 |
|
|
Svchost CPU 사용률 100%가 되는 원인 파해 치기.
일딴 원인을 알기 위해서는 Svchost가 하는 일이 무엇인지를 알면 편합니다.
SvcHost는 말그래로 ServiceHost 입니다. 우리나라 말로 직역 하면 서비스 주인장 입니다.
^^;; 말 그대로 모든 서비스는 Svchost를 통해서 수행 됩니다. 이를 테면 윈도우즈 업데이트나,
Spool 서비스 같이 메모리에 상주하면서 우리의 작업을 도와주는 프로그램을 서비스라고 하는데 이런 종류의 프로그램이 돌때는 꼭 Svchost가 동작하여 해당 서비스를 유지 합니다.
윈도우에는 수십에서 수백 종류에 서비스가 존재하며, 윈도우 외부 프로그램 ( 간단히 설명해서 알집, V3 ,악성코드,게임)중에서 서비스로 등록 되는 경우에 각각 서비스당 Svchost가 할당 됩니다.
길게 말씀 드렸지만 간단하게 말해 Svchost에서 메모리 CPU 사용률이 100% 되었을때의 원인이 다양 하다는 이야기 입니다.
이 글에서는 윈도우 자체에 문제가 있는 경우 발생하는 사용률 100%에 대한 부분을 언급 하고 일부 패치를 제시합니다. 사용은 이용자 맘이죠^^
자그럼 본론으로 들어 가서.
1. 가장 흔한 증상인 Windows Update시 발생하는 사용률 100%
- 원인 : 1) 윈도우즈 업데이트시에 해당 제품에 대한 정품인증 확인을 하는데 정품인증
프로그램을 실행되지 못하게 막아 놓았다던가 아니면 크랙을 한 경우에
CPU 사용률 100% 문제가 발생 한다.
2) 윈도우즈 패치 설치시 installer에 문제가 있을 경우 ( 검색,설치시 CPU100%)
• 인터넷을 통한 자동업데이트나 Windows Server Update Services (WSUS)를
통한 자동 업데이트시 CPU 100% 문제를 발생시킨다.
• Microsoft Systems Management Server Inventory Tool for Microsoft
Updates(SMS ITMU)를 서비스가 동작할때 CPU 100%문제를 발생 시킨다.
• Microsoft Baseline Security Analyzer (MBSA)를 사용할때 CPU 100%발생
• 업데이트를 검색하여 특정 서비스팩 정보를 찾는 프로그램 정보프로 그램 종류
에서도 동일 문제가 발생하며 CAB파일 검색시 문제가 발생 한다.
※ 대체적으로 MSI 설치때나 설치이후 CAB파일 검색시 문제가 발생
- 확인 방법 : 1) 정품 관련 문제인 경우 : http://www.microsoft.com/genuine/diag/ 사이
트로 이동 하여 현재 정품인증 프로그램이 제대로 설치 되어있는지 확인한다.
2) 현재 설치된 인스톨러의 버전이 3.1인지 확인 하는 정도, 별다를 손상
유무를 확인 할 도구나 명령이 존재하지 않는다.
- 해결방법 1) 윈도우 정품인증도구를 차단한경우
- 정품인증 기능을 차단한 윈도우인 경우가 많아서 복구가 어렵다.
따라서 업데이트 알림 발생시 수동으로 업데이트를 받은 후에
자동 윈도우즈 업데이트를 사용하지 않게 설정 하는 것이 좋다.
2) Windows installer 3.1을 다운로드 받아 재 설치한다.
아래의 링크를 클릭하면 installer 인스톨러에 의한 메모리 누수 발생및 CPU
사용률 100% 를 수정하기 위한 핫픽스를 다운로드 받을 수 있다.
XP 32bit용 이므로 참고
http://blog.naver.com/coldlion1/100036507498
3) 운영체제가 정품이지만, 기타 소프트 웨어가 정품이 아닌 경우에는
소프트웨어 업데이트를 비활성화 시킨다.
-> 윈도우 업데이트 사이트로 이동 한 후에 설정 변경을 클릭 합니다.
설정 변경 페이지 하단에 MicroSoft UPdate 사용 금지라는 항목이 있
는데 이를 클릭하고 변경사항 지금 적용을 누르면 됩니다.
해당 항목은 오피스같은 소프트웨어 업데이트만 차단 하게 되고 윈도우
즈 업데이트는 기존대로 계속 할 수 있습니다.
4) MS TechNet에서 제시한 AutoMatic Update설정 퍼지 방법을 아래에 소개
소개 하겠습니다. 하기의 방법은 윈도우 업데이트가 많아 짐에 따라 느려
지는 현상을 해결하기 위한 방법입니다.
******* AutoMatic Update ********
1) 시작-> 실행을선택 한 후 "services.msc"를 입력하고 열기를 누릅니다.
2) "Automatic Updates"서비스 항목을 더블 클릭합니다.
3) Automatic Updates 등록정보에서 로그온텝을 선택하고 "Local System account"
계정이 선택되어있는지 확인하고 "서비스와 데스크탑 상호 작용 허용"을 체크 해제 합니다.
4) 하단에 하드웨어 프로필 사용으로 되었는지 확인 합니다.
5) "일반"탭을 선택 하시고 "시작 유형"을 "자동"으로 선택하시고 서비스를 시작합니다.
6) Background Intelligent Transfer Service (BITS) 서비스 항목에도 1-5 과정을 반복 합니다.
윈도우 업데이트 구성요소를 재등록 하고 윈도우즈 업데이트 임시폴더를 정리 하는 과정을 수행 하려면 다음을 따라 하세요.
1. 시작-> 실행 을 누릅니다.
2. "REGSVR32 WUAPI.DLL"를 입력하고 열기를 누릅니다.
3. "DllRegisterServer in WUAPI.DLL succeeded"라는 메시지가 출력 되면 확인을 누릅니다.
4. 시작-> 실행을 누르고 다음 항목을 모두 실행 합니다.
REGSVR32 WUAUENG.DLL
REGSVR32 WUAUENG1.DLL
REGSVR32 ATL.DLL
REGSVR32 WUCLTUI.DLL
REGSVR32 WUPS.DLL
REGSVR32 WUPS2.DLL
REGSVR32 WUWEB.DLL
1-4까지 과정을 수행하면 윈도우업데이트를 재 등록 한것 입니다.이제는 업데이트 임시폴더를 처리 하는 작업입니다. 이를 수행 하려면 임시폴더의 이름을 바꾸어 주어야 합니다.
1. 시작->실행을 누르시고 " cmd"를 입력합니다. cmd 창이 열리면 다음을 입력합니다.
net stop WuAuServ
(주의, 1-4과정을 마친 이후에 재부팅을 하셔야 net stop WuAuServ 명령이 정상 동작 합니다.) 2. 시작->실행을 누르고 "%windir%"를 입력 후 열기를 누릅니다.
3. windows폴더가 열리면 폴더내에 "SoftwareDistribution"폴더를 찾아 "SDold"로 이름을 바꾸어 줍니다.
4. 시작->실행을 누르시고"cmd"를 입력 합니다.
net start WuAuServ 를 입력 후 엔터를 누릅니다.
************Automatic Update 끝*********************
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
추가로 Dial-a-fix라는 프로그램을 소개 하겠습니다 하기 프로그램은 언급한 Installer 문제와 Update 문제를 자동으로 수정해 주는 기능을 가지고 있습니다.
실행 화면에서 2번 항목을 체크하면 installer를 3번을 선택하는 윈도우 업데이트를 퍼지 합니다.
기타 SSL/ ActiveX / Direct X등 멀티디어 관련 문제를 수정 하는 기능을 포함 하고 있으며,
일반 PC에 적용된 정책 오류를 수정하는 프로그램이 포함 되어 있습니다.
해당 프로그램은 블로그에 다운로드 링크를 걸어 두겠습니다.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
마지막 추가 내용 입니다.
MicroSoft Forum에 NewSince님의 분석 자료를 요약 짧게나마 번역 한 글입니다.
- 윈도우 업데이트시에 발생하는 Svchost 프로세스 사용률이 증가 하는 원인을 추적해 보고자
합니다.
문제 추적을 위한 방법으로 다음을 적용 하였습니다.
1. 입출력되는 DLL의 EXPORT 내용의 분석
2. Register 되는 항목 분석
3. Microsoft EDB Database ( 업데이트및 패치의 적용사항이 저장되는 윈도우상의 내장 DB)
의 변동 내용 분석
4. Window Update Loging 기능 활성 화로 업데이트 과정 로그 생성및 분석
---> 관련 키값
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Trace
(gives extensive tracing in WindowsUpdate.log)
Flags REG_DWORD 7
Level REG_DWORD 4
* 문제 분석 과정에서 SoftwareDistribution/DataStore DataStore database 에 데이터 입출력 과정에서 특정 조건에서 SvcHost가 비정상으로 동작 하는 부분을 발견 하였다.
SvcHost가 90-100%의 사용율을 보일때 Svchost에 연관된 Dll에서 IN/EXPort 되는 내용 없었고 RegMonitor 프로그램상에서 레지스트리상에 등록되는 항목이 없음을 확인 하였다. 이러한 증상을 미루어 보아 Svchost가 높은 사용률을 나타내고 있지만 실제 처리하는 내용이 없다는 점이 이상하였다.
위에 과정에서 나온 한가지 가정은 실제 UPdate과정에서 문제를 일으키는 부분이 있으며 이부분은 EDB데이터 베이스에 문제가 있을 것으로 가정 해당 과정을 분석 하였다.
나의 가정을 확인 하기 위하여 다음과 같은 조치를 실시 하였다.
1. 윈도우 업데이트 관련 DLL 파일 재등록
2. SoftwareDistribution Folder 폴더 제거
3. C:\Windows\System32\Wbem\Repository folder 폴더 제거
4. BITS Downloader folder 폴더 제거
5. CatRoot2 folder 폴더 제거
6. Temporary Internet Folder files 폴더 내용 제거
상기의 과정을 마친 후 재부팅 이후 부터 SvcHost 사용률은 정상 수치로 떨어 졌으며, 3개월 가량 유지가 되었다. 괄목 할 만한 내용 이다.
높은 사용률은 보이는 다른 PC에서 Microsoft EDB Database 를 확인 하는 작업 을 실시하였는데, Esentutl 유틸을 사용하려 EDB 내용을 검색 작업을 진행 하였다. 결과 Defragmentation , Repair 항목을 수행 한 후에 괄목 할만한 결과를 얻었다. Repair 되는 항목이 존재 하였으며 , Defragmentation (조각모음)을 추가로 수행한 결과 Svchost 사용율이 정상으로 복원 되었다.
-> 여기까지가 NewSince 님의 글을 해석한 부분 이고 이부분을 앞에서 언급한 부분과
함께 정리해 하면 다음과 같이 요약 됩니다.
1. SvcHost는 서비스를 유지하는 프로세스로 서비스를 사용하는 모든 프로그램에서 사용 가능하다, 바이러스가 SvcHost를 사용하는 경우에(서비스로 등록되는 바이러스) 높은 점유율을 가질수 있지만 , 그외에 윈도우 업데이트 , Installer 등에서 Svchost 가 이용될때 문제가 발생 될 수있다.
2. Installer , Windows Update 에서의 문제는 기존의 설치된 Update 항목에 대한 Microsoft EDB Database 쪽에 수정 손상이 가해 지는 경우에 해당 DB를 검색하는 프로그램류에서 ( Installer , Window Update , WSUS , SMS ITMU , MBSA , WMI , WSH Host Script 기반 Update 검색 프로그램류 ) 사용하는 SvcHost가 비 정상적인 상태에 빠지게 되며 이게 CPU 사용률을 점유 한다.
3.그외 자체적인 SvcHost 결함으로 메모리 누수가 되는 경우가 있어 이부분에 대한 패치는 존재 한다. 하지만 이 패치는 메모리 누수에 관하여 발생하는 문제만 수정 가능하다.
4.Installer 나 Windows UpDate가 서로 다른 이유로 문제가 있을 것이라 판단 하였으나, 실제 한가지 공통 사항을 가지고 있었으며, 이는 Microsoft EDB Database 손상되는 경우 문제가 발생 한다는 점 입니다.
5. DB 손상의 원인은 뚜렸하게 발혀 지지는 않았습니다만, 윈도우 패치의 특성상 다음을 고려해 볼수 있습니다. 윈도우 패치는 내부적으로 동일 항목에 대한 재패치가 이루어 지는 경우가 많고, 특정 파일을 보완 / 수정하는 부분이 많습니다.
대부분의 업데이트 항목에는 UpDate Rollup / Back등의 기능을 자체적으로 가지고 있습니다.
이는 기존에 패치된 항목 정보에 나중 패치가 새로운 값을 써 넣을 수 있다는 의미를 가집니다. 사실 Microsoft EDB Database에 나중에 나올 패치의 종류및 유형 전체를 사전에 정의 했다고 보기 어렵습니다. 따라서 정의 되지 않은 패치가 중복되는 경우 문제가 발생 할 것으로 보고 있습니다.
6. 결론에 도달 하면 바이러스에 의한 SvcHost 문제는 각 백신 사이트에서 해결 가능 하며, 그외 업데이트 Installer 관련 문제는 DB구조및 패치 방식 혹은 이를 수행 하는 프로그램에 대한 업데이트가 이루지기 전까지는 동일 문제를 발생 할 수 있기 때문에 해당 프로그램을 사용자가 수동으로 재설정하는 방법을 사용하는게 좋다고 보여 집니다.
물론 앞으로 이부분을 수정하는 패치가 나온다면, 이건또 먼 옛날 이야기가 되겠지만요...
이상으로 SvcHost관련 내용 정리를 마치겠습니다....
출처 -> microsoft.com / technet , microsoft.com / newsgroup
[출처] Svchost 증상별 처리방안|작성자 썰사자
|
|
|
|
|
|
|
|
