Lsass.exe進(jìn)程占用大量內(nèi)存

Lsass進(jìn)程為系統(tǒng)進(jìn)程，當(dāng)發(fā)現(xiàn)這個(gè)進(jìn)程占用了大量內(nèi)存（有的占用了3G的內(nèi)存），在某些內(nèi)存不是很大的服務(wù)器上內(nèi)存直接達(dá)到90%以上。

在發(fā)現(xiàn)這些內(nèi)存出現(xiàn)問題的服務(wù)器上主要出現(xiàn)了如下狀況：

1.殺毒軟件掃描出同樣的病毒文件。（看掃描出的病毒文件，懷疑為勒索病毒）

2.系統(tǒng)文件lsass.exe的大小變?yōu)?0.5K（原正常文件大小為30.0K）。

處理方式：
網(wǎng)上找到的處理方法找到兩種，一種是打補(bǔ)?。╓indows 7 SP1 和 Windows Server 2008 R2 SP1 (KB3156417））。另一種就是利用PE替換lsass程序文件。

兩種方法我都測試過了，首先說一下用PE的方法（使用該方法一定要備份系統(tǒng)，或者克隆一下），虛擬機(jī)里進(jìn)PE不是很好進(jìn)，可以自己先準(zhǔn)備一個(gè)PE鏡像，然后將鏡像切換為PE的鏡像。進(jìn)入后，發(fā)現(xiàn)用PE的文件管理器無法直接操作lsass文件，提示好像是權(quán)限不足。然后我就使用PE里的DiskGenius分區(qū)工具，然后找到lsass文件，再進(jìn)行替換操作就可以了。在第一臺server 2008 r2的機(jī)器上成功了，正常開機(jī)，并且內(nèi)存也正常了。第二臺server 2008 r2上同樣的操作開機(jī)時(shí)卻藍(lán)屏了！所以利用PE操作一定要注意備份或者做鏡像。

第二種方法打補(bǔ)丁。當(dāng)時(shí)的機(jī)器補(bǔ)丁太老舊，上面只有一個(gè)補(bǔ)丁程序。

然后我就直接將系統(tǒng)更新給打開了，將補(bǔ)丁給更新到最新

重啟后，內(nèi)存降下來了，并且lsass文件也恢復(fù)到了30.0K。不過上面也沒有KB3156417的補(bǔ)丁程序。打補(bǔ)丁的話建議直接將補(bǔ)丁都更新到最新。

建議遇到同樣問題的人，先全盤查殺病毒，然后將補(bǔ)丁打至最新，建議不要用PE替換文件，可能會出現(xiàn)無法逆轉(zhuǎn)的藍(lán)屏（經(jīng)測試就算將異常的lsass程序重新?lián)Q回去也是藍(lán)屏）