搜索

[18907] 2020-09-28_应急响应手册-深入分析svchost.exe

文档创建者：s7ckTeam
浏览次数：67
最后更新：2025-01-18
2020-09-28_应急响应手册-深入分析svchost.exe 应 急 响 应 手 册 - 深 入 分 析 s v c h o s t . e x e 原 创   花 十 一 一   h u a s e c   2 0 2 0 - 0 9 - 2 8 收 录 于 话 题   # 应 急 响 应   , 2 6 个 " s v c h o s t . e x e " 是   W i n d o w s   下 最 常 见 的 进 程 ， 它 可 能 会 被 认 为 是 恶 意 的 ， 主 要 取 决 于 两 个 因 素 ， 一 是 恶 意 软 件 模 仿 该 进 程 ， 另 一 个 是 任 务 管 理 器 无 法 展 示   s v c h o s t . e x e   的 详 细 信 息 。 由 于 以 前 的 任 务 管 理 器 从 来 没 有 对 系 统 上 的 进 程 进 行 详 细 的 说 明 ， 比 如   s v c h o s t . e x e ， 当 通 过 任 务 管 理 器 打 开 后 可 以 看 到 一 堆 的   s v c h o s t . e x e ， 进 程 描 述 为   W i n d o w s   服 务 主 进 程 ， 没 有 其 他 的 关 于 该 进 程 的 信 息 ， 因 此 恶 意 软 件 只 需 要 两 个 步 骤 就 可 以 使 自 己 看 起 来 合 法 。   首 先 是 恶 意 软 件 的 名 字 就 是 " s v c h o s t . e x e " ， 然 后 将 其 的 描 述 设 置 为 " W i n d o w s   服 务 主 进 程 " ， 看 起 来 就 和 合 法 的 " s v c h o s t . e x e " 没 什 么 区 别 了 。 0 1 — 服 务 控 制 管 理 器 （ s e r v i c e s . e x e ) 服 务 控 制 管 理 器 （ 简 称   s c m ） 是 运 行 映 像 服 务 的 系 统 进 程 ， 在   C : W i n d o w s S y s t e m 3 2   中 可 以 看 到 ， 简 言 之 ， 它 是 一 个 负 责 运 行 和 管 理 系 统 上 的 服 务 的 进 程 。 主 要 跟 踪 注 册 表 中 一 个 称 为   S C M   数 据 库 的 键 位 下 的 所 有 服 务 ， 注 册 表 的 路 径 为 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s
当   S C M   在 系 统 启 动 时 启 动 ， 设 置 为 " a u t o - s t a r t " 的 所 有 服 务 以 及 运 行 这 些 服 务 所 需 要 的 所 有 依 赖 都 会 启 动 。 所 有 这 些 服 务 和 其 他 服 务 都 会 成 为 “ s e r v i c e s . e x e ” 的 子 进 程 。 当 查 看   s e r v i c e s . e x e   进 程   的 时 候 ， 将 看 到 两 种 进 程 ， 一 个 是   s e r v i c e s . e x e   和 多 个   s v c h o s t . e x e 。 0 2 — S v c h o s t . e x e   微 软 官 方 文 档 中 关 于 “ s v c h o s t . e x e ” 的 描 述 为   s v c h o s t . e x e   是 一 个 共 享 服 务 进 程 ， 从   D L L   文 件 中 加 载 服 务 。 我 们 看 下 正 在 运 行 的   s v c h o s t . e x e ， 一 般 会 看 到 如 下 类 似 内 容   展 示 的 内 容 并 不 能 说 明 这 个 进 程 运 行 的 服 务 ， 但 是 可 以 使 用   p r o c e s s   e x p l o r e r   等 工 具 查 看 该 进 程 加 载 服 务 ， 如 图 所 示
K   选 项 选 项   当   s v c h o s t . e x e   使 用   - k   选 项 时 候 ， 请 求 将 会 查 询 以 下 注 册 表 项 ， 通 过 - k   选 项 发 送 的 键 找   到 对 应 的 值 此 注 册 表 项 定 义 所 有 的 s v c h o s t . e x e 允 许 的 服 务 。 每 个 组 中 可 能 包 含 多 个 服 务 ， 使 用 " - k " 标 志 后 指 定 启 动 的 服 务 。 当 " s v c h o s t . e x e   " 进 程 使 用 "   - k   U n i s t a c k S v c G r o u p   " ， 它 将 在 注 册 表 内 查 找 相 应 的 值   H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n S v c h o s t
一 旦 它 读 取 了 这 些 值 并 且 没 有 指 定 其 他 标 志 ， 它 将 去 加 载 在 其 对 应 的 注 册 表 项 中 引 用 的 每 个 服 务   S   选 项 选 项   当 使 用   - s   选 项 的 时 候 ， s v c h o s t . e x e   进 程 将 从 选 定 的 组 中 只 加 载 由 标 志 指 定 的 服 务 ， 例 如   它 只 是 加 载 “ U n i s t a c k S v c G r o u p ” 注 册 表 键 内 的 “ C D P U s e r S v c ” 服 务 。   P   选 项 选 项   表 示 强 制 执 行 不 同 的 策 略 ： D y n a m i c C o d e P o l i c y   、   B i n a r y S i g n a t u r e P o l i c y   和   E x t e n s i o n P o l i c y 原 文 来 自 ： h t t p s : / / m e d i u m . c o m / @ n a s b e n c h / d e m y s t i f y i n g - t h e - s v c h o s t - e x e - p r o c e s s - a n d - i t s - c o m m a n d - l i n e - o p t i o n s - 5 0 8 e 9 1 1 4 e 7 4 7 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s [ S e r v i c e   N a m e ]  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理