一、什么是Windows服务

Windows服务也称为Windows

Service，它是Windows操作系统和Windows网络的基础，属于系统核心的一部分，它支持着整个Windows的各种操作。诸如DNS客户端、打印程序、Windows更新服务、计划任务、Windows时间服务、告警器等服务，它们关系到机器能否正确运行。如果不能适当地管理这些服务，就会影响到机器的正常操作。

一个服务首先是一个Win32可执行程序，或者是是rundll32.exe来运行一个.dll的方式形成的进程。

跟普通应用程序不一样，如打开WORD，有一个界面出来，但服务没有用户界面。也不能通过直接双击运行相应的.exe程序来运行。那Windows又是如何控制一个服务的？

Windows的服务由更上一级的services.exe这个服务来管理，由它来管理，负责进行服务的启动、停止、运行，暂停等。我们最常用的操作就是通过Windows的服务MMC界面来完成相关操作。

二、如何删除Windows服务

现在的流氓软件，越来越多把自己注册为一个服务。在Hijackthis的扫描日志中，一般会把非Windows系统的服务以023的方式列出来，如下面这段：

O23 - 未知 - Service: BKMARKS

[提供传输协议的数据安全保护机制，有效维护数据传输中的安全及完整。] - C:\WINDOWS\SYSTEM32\RUNDLL.EXE

O23 -

未知 - Service: ewido anti-spyware 4.0 guard [ewido anti-spyware 4.0 guard] -

D:\Program Files\ewido anti-spyware 4.0\guard.exe

O23 - 未知 - Service:

KSD2Service [KSD2Service] - C:\WINDOWS\system32\SVCH0ST.exe

对于这些流氓软件，需要删除相关的.exe文件，使它不能再运行，或者直接清除这个服务本身，使计算机重启的时候，它不会再启动。

删除的办法有两个：

办法一：

用sc.exe这个Windows命令

开始——运行——cmd.exe，然后输入sc就可以看到了。使用办法很简单：

sc delete "服务名"

(如果服务名中间有空格，就需要前后加引号)

如针对上面的： sc delete KSD2Service

方法二：直接进行注册表编辑(不推荐)

打开注册表编辑器，找到下面的键值：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

一般服务会以相同的名字在这里显示一个主健，直接删除相关的键值便可。

三、特殊情况

1、如果服务显示的是rundll32.exe，并且这个文件是位于system32目录下，那么就不能删除这个rundll32.exe文件，它是Windows系统的文件。这时只要清除相关的服务就可以了

2、如果一个服务删除了马上又自动建立了，说明后台有进程在监视、保护。需要先在进程管理器中杀掉相应的进程，或者启动后按F8，到安全模式下删除。

SC用法

我们知道在MStools SDK，也就是在Resource Kit有一个很少有人知道的命令行软件，SC.exe，这个软件向所有的Windows

NT和Windows

2000要求控制他们的API函数。我们可以在命令行里通过对这些函数设定参数的方式来设定他们(API)。SC.exe也可以显示服务的状态，同时也可以从状态结构区域里重新找到存储在里面的数值。它还可以列出远程计算机的服务函数或者是服务状况结构。

SC.exe这个开发工具至少可以比服务控制面板程序和网络命令行界面(net.exe，这个东西可以告诉你一个服务是在运行中，还是停止，还是暂停。)这两个东西提供更多的细节和准确的信息。虽然上述两个东西在正常工作的情况下，对于完整的调试是非常好用的，但是如果有新的服务，或者新的代码被开发出来的时候，这两个工具提供的信息可能造成误导。这也就是我们需要用到SC的原因。

下面举列说明，如果在开发阶段，你的服务在挂住在一个start-pending的时候，控制面板和net.exe同样报告服务是在运行的。但它挂在一个stop-pending的时候，net.exe报告它运行，而控制面板着报告它停止，如果你试着启动它，这是控制面板则会告诉你这个服务正在运行。难道这不是很困惑吗？呵呵！

SC.exe可以让你询问服务的状况和取出存储在状态结构区域内的数值，控制面板和net.exe不提供服务完整的状况。但是无论如何，SC程序可以告诉你这个服务准确的情形，同样也可以给你看最后的checkpoint数和等待提示。这个checkpoint，我叫它检查点(我觉得他就像一个程序调试时置的断点)，所以我们也可以把看作为一个调试工具，因为它可以提供一个关于在程序停止时还要沿着初始化继续前进多久准确报告。

SC.exe也可以允许你调用很多的服务控制API函数，可以让你从命令行里改变大量的参数。这位服务开发者们提供了很多的优势。例如，它提供了一个方便的方式来创建或者在注册表和服务控制管理数据库中配置服务信息。开发者们不需要在手动的在注册表里单独的设置键值来配置服务，也不用重起机器来强迫服务控制管理数据库升级。作为一个命令很工具，SC.exe可以用来测试你自己的系统，你可以设置一个批处理文件来使用不同的参数调用SC.exe来控制服务。这个很有用，如果你想看看你的服务不断的启动和停止，我没有试过哦！让一个服务一下子打开，一下子关闭，听上去很不错的。如果你的服务进程里面有多个进程的话，你可以保持一个进程继续运行不让它走开，然后让另一个不断的打开在关闭，还可以寻找一下内存缺乏导致不完全清楚的证据。

下面介绍SC，SC QC，and SC QUERY

SC使用这样的语法：

1. SC [Servername] command

Servicename [Optionname= Optionvalue]

2. SC [command]

这里使用第一种语法使用SC，使用第二种语法显示帮助。

下面介绍各种参数。

Servername

可选择：可以使用双斜线，如\\myserver，也可以是\\192.168.0.1来操作远程计算机。如果在本地计算机上操作

就不用添加任何参数。

Command

下面列出SC可以使用的命令。

config----改变一个服务的配置。(长久的)

continue--对一个服务送出一个继续控制的要求。

control----对一个服务送出一个控制。

create----创建一个服务。(增加到注册表中)

delete----删除一个服务。(从注册表中删除)

EnumDepend--列举服务的从属关系。

GetDisplayName--获得一个服务的显示名称。

GetKeyName--获得一个服务的服务键名。

interrogate--对一个服务送出一个询问控制要求。

pause----对一个服务送出一个暂停控制要求。

qc----询问一个服务的配置。

query----询问一个服务的状态，也可以列举服务的状态类型。

start----启动一个服务。

stop----对一个服务送出一个停止的要求。

Servicename

在注册表中为service key制定的名称。注意这个名称是不同于显示名称的(这个名称可以用net

start和服务控制面板看到)，而SC是使用服务键名来鉴别服务的。

Optionname

这个optionname和optionvalue参数允许你指定操作命令参数的名称和数值。注意，这一点很重要在操作名称和等号之间是没有空格的。一开始我不知道，结果………………，比如，start=

optionvalue，这个很重要。

optionvalue可以是0，1，或者是更多的操作参数名称和数值对。

如果你想要看每个命令的可以用的optionvalue，你可以使用sc command这样的格式。这会为你提供详细的帮助。

Optionvalue

为optionname的参数的名称指定它的数值。有效数值范围常常限制于哪一个参数的optionname。如果要列表请用sc

command来询问每个命令。

Comments

很多的命令需要管理员权限，所以我想说，在你操作这些东西的时候最好是管理员。呵呵！

当你键入SC而不带任何参数时，SC.exe会显示帮助信息和可用的命令。当你键入SC紧跟着命令名称时，你可以得到一个有关这个命令的详细列表。比如，键入sc

create可以得到和create有关的列表。

但是除了一个命令，sc query，这会导出该系统中当前正在运行的所有服务和驱动程序的状态。

当你使用start命令时，你可以传递一些参数(arguments)给服务的主函数，但是不是给服务进程的主函数。

SC

create

这个命令可以在注册表和服务控制管理数据库建立一个入口。

语法1

sc [servername] create

Servicename [Optionname= Optionvalue]

这里的servername，servicename，optionname，optionvalue和上面的一样，这里就不多说了。这里我们详细说

明一下optionname和optionvalue。

Optionname--Optionvalue

描述

type=----own, share, interact, kernel, filesys

关于建立服务的类型，选项值包括驱动程序使用的类型，默认是share。

start=----boot, system, auto,

demand, disabled

关于启动服务的类型，选项值包括驱动程序使用的类型，默认是demand(手动)。

error=----normal, severe, critical, ignore

当服务在导入失败错误的严重性，默认是normal。

binPath=--(string)

服务二进制文件的路径名，这里没有默认值，这个字符串是必须设置的。

group=----(string)

这个服务属于的组，这个组的列表保存在注册表中的ServiceGroupOrder下。默认是nothing。

tag=----(string)

如果这个字符串被设置为yes，sc可以从CreateService

call中得到一个tagId。然而，SC并不显示这个标签，所

以使用这个没有多少意义。默认是nothing

depend=----(space separated string)有空格的字符串。

在这个服务启动前必须启动的服务的名称或者是组。

obj=----(string)

账号运行使用的名称，也可以说是登陆身份。默认是localsystem

Displayname=--(string)

一个为在用户界面程序中鉴别各个服务使用的字符串。

password=--(string)

一个密码，如果一个不同于localsystem的账号使用时需要使用这个。

Optionvalue

Optionname参数名称的数值列表。参考optionname。当我们输入一个字符串时，如果输入一个空的引用这意味着一个空的字符串将被导入。

Comments

The SC CREATE command performs the operations of the

CreateService API function.

这个sc create命令执行CreateService

API函数的操作。详细请见CreateService。

例1

下面这个例子在一台叫做(\\myserver)的计算机上为一个叫“NewService”的服务建立的一个注册表登记。

sc \\myserver

create NewService binpath= c:\winnt\system32\NewServ.exe

按照默认，这个服务会建立一个WIN32_SHARE_PROCESS使用SERVICE_DEMAND_START启动方式。这将不会有任何从属关系，也将会按照localsystem安全上下关系来运行。

例2

下面这个例子将在本地计算机上，建立一个服务，它将会是一个自动运行服务，并且运行在他自己的进程上。它从属于TDI组和NetBios服务上。注意，你必须在从属中间增加一个空格的引用。

sc create NewService binpath= c:\winnt\system32\NewServ.exe type= own

start= auto depend= "+TDI Netbios"

例3

服务开发者可以通过临时改变二进制路径(影像路径)的方式来将这个服务运行在内核调试器的上下关系中。下面这个例子就可以让我们看到如何改变服务的配置。

sc config NewService binpath= "ntsd -d c:\winnt\system32\Newserv.exe"

这个例子会引起服务控制管理器调用ntsd.exe使用下例的参数字符串：

"-d c:\nt\system32\NewServ.exe"

当系统装入newserv.exe时ntsd将会转而打断调试器，所以断点可以被设置在服务代码里。

SC QC

这个SC

QC“询问配置”命令可以列出一个服务的配置信息和QUERY_SERVICE_CONFIG结构。

语法1

sc [Servername]

qc Servicename [Buffersize]

Parameters

servername和servicename前面已经介绍过了，这里不再多说。

Buffersize，可选择的，列出缓冲区的尺寸。

Comments

SC QC命令显示了QUERY_SERVICE_CONFIG结构的内容。

以下是QUERY_SERVICE_CONFIG相应的区域。

TYPE------dwServiceType

START_TYPE----dwStartType

ERROR_CONTROL----dwErrorControl

BINARY_PATH_NAME--lpBinaryPathName

LOAD_ORDER_GROUP--lpLoadOrderGroup

TAG------dwTagId

DISPLAY_NAME----lpDisplayName

DEPENDENCIES----lpDependencies

SERVICE_START_NAME--lpServiceStartName

例1

下面这个例子询问了在上面例子中建立的“NewService”服务的配置：

sc \\myserver qc

NewService

sc显示下面的信息：

SERVICE_NAME: NewService

TYPE : 20

WIN32_SHARE_PROCESS

START_TYPE : 3 DEMAND_START

ERROR_CONTROL : 1 NORMAL

BINARY_PATH_NAME : c:\winnt\system32\NewServ.exe

LOAD_ORDER_GROUP :

TAG : 0

DISPLAY_NAME : NewService

DEPENDENCIES :

SERVICE_START_NAME : LocalSystem

NewService有能力和其他的服务共享一个进程。但是它不是自动启动的。二进制文件名是NewServ.exe。这个服务不依靠与其它的的服务，而且运行在lcoalsystem的安全上下关系中。这些都是调用QueryServiceStatus基本的返回，如果还需要更多的细节届时，可以看看API函数文件。

SC QUERY

SC QUERY命令可以获得服务的信息。

语法：

sc [Servername]

query { Servicename | Optionname= Optionvalue... }

参数：

servername, servicename, optionname, optionvalue不在解释。只谈一下这个命令提供的数值。

Optionname--Optionvalue

Description

type=----driver,

service, all

列举服务的类型，默认是service

state=----active, inactive, all

列举服务的状态，默认是active

bufsize=--(numeric value)

列举缓冲区的尺寸，默认是1024

bytes

ri=----(numeric value)

但开始列举时，恢复指针的数字，默认是0

Optionvalue

同上。

Comments

SC QUERY命令可以显示SERVICE_STATUS结构的内容。

下面是SERVICE_STATUS结构相应的信息：

TYPE------dwServiceType

STATE------dwCurrentState, dwControlsAccepted

WIN32_EXIT_CODE----dwWin32ExitCode

SERVICE_EXIT_CODE--dwServiceSpecificExitCode

CHECKPOINT----dwCheckPoint

WAIT_HINT----dwWaitHint

在启动计算机后，使用SC

QUERY命令会告诉你是否，或者不是一个启动服务的尝试。如果这个服务成功启动，WIN32_EXIT_CODE区间会将会包含一个0，当尝试不成功时，当它意识到这个服务不能够启动时，这个区间也会提供一个退出码给服务。

例子

查询“NewService"服务状态，键入：

sc query NewService

显示一下信息：

SERVICE_NAME: NewService

TYPE : 20

WIN32_SHARE_PROCESS

STATE : 1 STOPPED

(NOT_STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN)

WIN32_EXIT_CODE : 1077

(0x435)

SERVICE_EXIT_CODE : 0 (0x0)

CHECKPOINT : 0x0

WAIT_HINT : 0x0

注意，这里存在一个给这个服务的退出码，即使这个服务部不在运行，键入net helpmsg 1077，将会得到对1077错误信息的说明：

上次启动之后，仍未尝试引导服务。

所以，这里我想说一句，希望大家可以活用net helpmsg，这会对你的学习有很大的帮助。

下面在对SC query的命令在说明一下：

列举活动服务和驱动程序状态，使用以下命令：

sc query

显示messenger服务，使用以下命令：

sc query messenger

只列举活动的驱动程序，使用以下命令：

sc query type= driver

列举Win32服务，使用以下命令：

sc query type= service

列举所有的服务和驱动程序，使用以下命令：

sc query state= all

用50

byte的缓冲区来进行列举，使用以下命令：

sc query bufsize= 50

在恢复列举时使用index=14，使用以下命令：

sc query ri=14

列举所有的交互式服务，使用以下命令：

sc query type= service type=

interact