爱分享

svchost.exe详细解析,运行过程

奶瓶 · 6月8日 · 2020年 35次已读

svchost.exe是什么?

  • svchost.exe 是从动态链接库(DLL)中运行的服务的通用主机进程名称,本身只是作为服务宿主,并不实现任何服务功能,提供条件让其他服务在这里被启动,需要svchost.exe启动的服务以动态链接库形式实现,在安装这些服务时,把服务的可执行程序指向svchost.exe,启动这些服务时由svchost.exe调用相应服务的动态链接库来启动服务。
  • svchost.exe文件定位在系统的%systemroot%\system32文件夹下  %systemroot%是系统的环境变量 指的是系统的根目录

我的svchost.exe文件就在 C:\Windows\System32目录下

svchost.exe详细解析,运行过程

svchost.exe工作过程

  • 系统的大部分服务是运行  动态链接库(dll)形式实现的。如果需要使用Svchost来启动某个DLL形式实现的服务,该DLL的载体Loader指向Svchost,在启动服务的时候由Svchost调用该服务的DLL来实现启动的目的。使用Svchost启动某个服务的DLL文件是由注册表中的参数来决定的,在需要启动服务的注册表项下都有一个“Parameters”子项,其中的“ServiceDll”键值表明该服务由哪个DLL文件负责,并且这个DLL文件必须导出一个ServiceMain()函数,为处理服务任务提供支持

在系统启动的时候,svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个svchost.exe在同一时间运行。一般地,通过在任务管理器,我们可以看到Windows系统中存在多个“svchost”进程。

svchost.exe详细解析,运行过程
svchost.exe详细解析,运行过程

这些svchost进程提供多种系统服务,如:rpcss服务(remote procedure call)、dmserver服务(logical disk manager)、dhcp服务(dhcp client)等。

以常见的,让人讨厌的windows Update 服务为例子

svchost.exe详细解析,运行过程

其中,C:\Windows\System32\svchost.exe-k netsvcs -p 这个路径当然就是启动服务的关键信息,但是,后边的这个-k netsvcs参数并不是在告诉svchost.exe启动哪个服务,而是在告诉你wuauserv是属于netsvcs这个组,正是由于采用了分组机制,系统中才会有多个svchost.exe进程,每个进程代表一个组,而这个服务的名称叫wuauserv并不是显示的Windows Update,哪个服务对应哪个dll,都是保存在注册表里的,路径是计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services

就拿上边的wuauserv服务来说,在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services路径下有一个wuauserv项,名字和服务名字一样(也就是说,有多少个服务,这个路径下就有多少个项,和服务名称相对应),这个项里里边又有一个Parameters子项,Parameters子项里有一个名字叫ServiceDll的键,它的值就是需要运行的动态链接库文件(dll)的路径。如图:

svchost.exe详细解析,运行过程

启动wuauserv服务的运行命令在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv ,在项中找到类型为“reg_expand_sz”的键“Imagepath”的值为%systemroot%\system32\svchost.exe -k netsvcs -p,这就是wuauserv服务的运行命令,然后在重温一遍 这个-k netsvcs参数并不是在告诉svchost.exe启动哪个服务,而而是告诉你wuauserv是属于netsvcs这个组

svchost.exe详细解析,运行过程

这样一来,svchost.exe根据服务名称找到相应的键值,就找到要启动的dll了,然后在运行它

如果服务不通过svchost.exe启动,那么就更简单,直接在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services路径下找到和服务名称一样的项,项中有一个叫ImagePath的键,这个键的值就是服务exe文件的路径和启动参数。如图:

svchost.exe详细解析,运行过程

接着继续分析

svchost的分组

要注意的是,并不是启动一个相关服务就增加一个svchost进程的,而是根据命令参数分组,一般是一组服务就有一个svchost进程(上面提到过的)。也就是说,每个svchost.exe会话可以包含一组服务,可以根据svchost.exe的启动方式和位置的不同运行不同的服务。 svchost.exe组的键值是: HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\svchost      在其中,我们可以找到上面的例子,就是在netsvcs组下的

svchost.exe详细解析,运行过程

svchost原理总结

  • svchost本身只是作为服务宿主,并不实现任何服务功能,需要svchost启动的服务以动态链接库形式实现,在安装这些服务时,把服务的可执行程序指向svchost,启动这些服务时由svchost调用相应服务的动态链接库来启动服务。
  • 那么svchost如何知道某一服务是由哪个动态链接库负责呢?这不是由服务的可执行程序路径中的参数部分提供的,而是服务在注册表中的参数设置的,注册表中服务下边有一个Parameters子键其中的ServiceDll表明该服务由哪个动态链接库负责。并且所有这些服务动态链接库都必须要导出一个ServiceMain()函数,用来处理服务任务。

例如netsvcs(Windows Update) 在注册表中的位置是: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\netsvcs,它的参数子键Parameters里有这样一项: "ServiceDll"=REG_EXPAND_SZ:"%SystemRoot%\system32\wuaueng.dll" 当启动netsvcs服务时,svchost就会调用wuaueng.dll,并且执行其ServiceMain()函数执行具体服务。 既然这些服务是使用共享进程方式由svchost启动的,为什么系统中会有多个svchost进程呢?微软把这些服务分为几组,同组服务共享一个svchost进程,不同组服务使用多个svchost进程,组的区别是由服务的可执行程序后边的参数决定的。就是这个

svchost.exe详细解析,运行过程

svchost的所有组和组内的所有服务都在注册表的如下位置: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\svchost,我的电脑上组内服务最多的就是 netsvcs,在启动一个svchost.exe负责的服务时,服务管理器如果遇到可执行程序内容ImagePath已经存在于服务管理器的映象库中,就不再启动第2个进程svchost,而是直接启动服务。这样就实现了多个服务共享一个svchost进程。


要通过svchost调用来启动的服务,就一定要在

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost下有该服务名,这可以通过如下方式来实现:

(1) 添加一个新的服务组,在组里添加服务名;

(2) 在现有组里添加服务名;

(3) 直接使用现有服务组里的一个服务名,但本机没有安装的该服务;

(4) 修改现有服务组里的现有服务,把它的ServiceDll指向自己。

前两种可以被正常服务使用,如使用第1种方式,启动其服务要创建新的svchost进程;第2种方式如果该组服务已经运行,安装后不能立刻启动服务,因为svchost启动后已经把该组信息保存在内存里,并调用API StartServiceCtrlDispatcher() 为该组所有服务注册了调度处理函数,新增加的服务不能再注册调度处理函数,需要重启计算机或者该组的svchost进程。 后两种可能被后门使用,尤其是最后一种,没有添加服务,只是改了注册表里一项设置,从服务管理控制台又看不出来,如果作为后门还是很隐蔽的。比如EventSystem服务,缺省是指向es.dll,如果把ServiceDll改为EventSystem.dll就很难发现。 服务的安装除了调用CreateService()创建服务之外,还需要设置服务的ServiceDll,如果使用前2种还要设置svchost的注册表选项,在卸载时也最好删除增加的部分。

0 条回应