windows系统进程winlogon.exe
福建IT网「一个进程一篇」系列：任务管理器里看到它，先搞清楚是什么、能不能结束、有没有被仿冒，再决定动不动手。
- 进程名称：
winlogon.exe - 所属类型：Windows 登录进程
- 程序归属：微软 Windows 系统自带进程，默认路径
C:\Windows\System32\winlogon.exe - 用途介绍：负责安全登录序列（Ctrl+Alt+Del）、锁屏与解锁、用户登录与注销、加载用户配置文件，并在登录后拉起 explorer.exe 桌面外壳。
- 是否合规进程：合法进程在
C:\Windows\System32下，用户名 SYSTEM，每个交互登录会话一个实例。 - 能否结束进程：❌ 不能结束。结束会导致当前登录会话失效、桌面丢失或系统蓝屏注销。
- 开机启动：由 smss.exe 在会话初始化时创建，登录成功后持续驻留到注销。
- 风险备注：
- 仿冒常见写法：winlogon.exe 放在 System32 以外目录，或写成 winlogonn.exe、winlogin.exe（少一个 o）
- 它是凭据与登录链路的一环，木马喜欢同名伪装以躲过肉眼检查
- 锁屏界面卡住时可按 Ctrl+Shift+Esc 开任务管理器，但不要结束这个进程
现场怎么核对（三步，不用装任何工具）
Ctrl + Shift + Esc打开任务管理器 → 「详细信息」页 → 右键该进程 → 打开文件所在的位置。- 对照上面的「程序归属」看路径对不对；路径不对，先别结束，直接全盘查杀。
- 右键 → 属性 → 数字签名，看签发主体是否对得上；无签名、签名方陌生的一律按可疑处理。
核对要点：看路径 + 用户名 SYSTEM + 微软签名，三项齐了才是正版
一句话结论
登录、锁屏、桌面都归它管；explorer 重启后能回来，正是它在背后兜底。
本篇按 Windows 10/11 中文版常见环境与各软件官方客户端整理，不同版本路径、进程名可能略有差异，以本机实际安装目录与数字签名为准。福建IT网 · 福建本地 IT 实战，能照着做的那种。