创建SvcHost.exe调用的服务原理与实践

来源：ChinaITLab 收集整理 作者： 出处：巧巧读书 2006-08-08 进入讨论组

• 关 键 词：
• windows 2000
• svchost.exe
• windows xp
• windows nt
• microsoft

引用:http://www.qqread.com/sys-soft/y197335.html
　　1. 多个服务共享一个Svchost.exe进程利与弊
　　windows 系统服务分为独立进程和共享进程两种，在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务，随着系统内置服务的增加，在windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。而在windows XP中，则一般有4个以上的svchost.exe服务进程，windows 2003 server中则更多，可以看出把更多的系统内置服务以共享进程方式由svchost启动是ms的一个趋势。这样做在一定程度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务都退出。另外就是有一点安全隐患，首先要介绍一下svchost.exe的实现机制。
　　
　　2. Svchost原理
　　Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这些服务时由svchost调用相应服务的动态链接库来启动服务。
　　
　　那么svchost如何知道某一服务是由哪个动态链接库负责呢？这不是由服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll表明该服务由哪个动态链接库负责。并且所有这些服务动态链接库都必须要导出一个ServiceMain()函数，用来处理服务任务。
　　
　　例如rpcss（Remote Procedure Call）在注册表中的位置是 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSs，它的参数子键Parameters里有这样一项：
　　"ServiceDll"=REG_EXPAND_SZ:"%SystemRoot%\system32\rpcss.dll"
　　当启动rpcss服务时，svchost就会调用rpcss.dll，并且执行其ServiceMain()函数执行具体服务。
　　
　　既然这些服务是使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢？ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务使用多个svchost进程，组的区别是由服务的可执行程序后边的参数决定的。
　　
　　例如rpcss在注册表中 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSs 有这样一项：
　　"ImagePath"=REG_EXPAND_SZ:"%SystemRoot%\system32\svchost -k rpcss"
　　因此rpcss就属于rpcss组，这在服务管理控制台也可以看到。
　　
　　svchost的所有组和组内的所有服务都在注册表的如下位置： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost，例如windows 2000共有4组rpcss、netsvcs、wugroup、BITSgroup，其中最多的就是netsvcs=REG_MULTI_SZ:EventSystem.Ias.Iprip.Irmon.Netman.Nwsapagent.Rasauto.\
　　Rasman.Remoteaccess.SENS.Sharedaccess.Tapisrv.Ntmssvc.wzcsvc..
　　
　　在启动一个svchost.exe负责的服务时，服务管理器如果遇到可执行程序内容ImagePath已经存在于服务管理器的映象库中，就不在启动第2个进程svchost，而是直接启动服务。这样就实现了多个服务共享一个svchost进程。
　　
　　3. Svchost代码
　　现在我们基本清楚svchost的原理了，但是要自己写一个DLL形式的服务，由svchost来启动，仅有上边的信息还有些问题不是很清楚。比如我们在导出的ServiceMain()函数中接收的参数是ANSI还是Unicode？我们是否需要调用RegisterServiceCtrlHandler和StartServiceCtrlDispatcher来注册服务控制及调度函数？
　　
　　这些问题要通过查看svchost代码获得。下边的代码是windows 2000+ service pack 4 的svchost反汇编片段，可以看出svchost程序还是很简单的。
　　
　　主函数首先调用ProcCommandLine()对命令行进行分析，获得要启动的服务组，然后调用SvcHostOptions()查询该服务组的选项和服务组的所有服务，并使用一个数据结构 svcTable 来保存这些服务及其服务的DLL，然后调用PrepareSvcTable() 函数创建SERVICE_TABLE_ENTRY 结构，把所有处理函数SERVICE_MAIN_FUNCTION 指向自己的一个函数FuncServiceMain()，最后调用API StartServiceCtrlDispatcher() 注册这些服务的调度函数。
　　
　　; =============================== Main Funcion ===========================================
　　.text:010010B8　　　　 public start
　　.text:010010B8 start　　　proc near
　　.text:010010B8　　　　 push　esi
　　.text:010010B9　　　　 push　edi
　　.text:010010BA　　　　 push　offset sub_1001EBA ; lpTopLevelExceptionFilter
　　.text:010010BF　　　　 xor　 edi, edi
　　.text:010010C1　　　　 call　ds:SetUnhandledExceptionFilter
　　.text:010010C7　　　　 push　1　　　　; uMode
　　.text:010010C9　　　　 call　ds:SetErrorMode
　　.text:010010CF　　　　 call　ds:GetProcessHeap
　　.text:010010D5　　　　 push　eax
　　.text:010010D6　　　　 call　sub_1001142
　　.text:010010DB　　　　 mov　 eax, offset dword_1003018
　　.text:010010E0　　　　 push　offset unk_1003000 ; lpCriticalSection
　　.text:010010E5　　　　 mov　 dword_100301C, eax
　　.text:010010EA　　　　 mov　 dword_1003018, eax
　　.text:010010EF　　　　 call　ds:InitializeCriticalSection
　　.text:010010F5　　　　 call　ds:GetCommandLineW
　　.text:010010FB　　　　 push　eax　　　 ; lpString
　　.text:010010FC　　　　 call　ProcCommandLine
　　.text:01001101　　　　 mov　 esi, eax
　　.text:01001103　　　　 test　esi, esi
　　.text:01001105　　　　 jz　 short lab_doservice
　　.text:01001107　　　　 push　esi
　　.text:01001108　　　　 call　SvcHostOptions
　　.text:0100110D　　　　 call　PrepareSvcTable
　　.text:01001112　　　　 mov　 edi, eax　　; SERVICE_TABLE_ENTRY returned
　　.text:01001114　　　　 test　edi, edi
　　.text:01001116　　　　 jz　 short loc_1001128
　　.text:01001118　　　　 mov　 eax, [esi+10h]
　　.text:0100111B　　　　 test　eax, eax
　　.text:0100111D　　　　 jz　 short loc_1001128
　　.text:0100111F　　　　 push　dword ptr [esi+14h] ; dwCapabilities
　　.text:01001122　　　　 push　eax　　　 ; int
　　.text:01001123　　　　 call　InitializeSecurity
　　.text:01001128
　　.text:01001128 loc_1001128:　　　　　　　; CODE XREF: start+5Ej
　　.text:01001128　　　　　　　　　　 ; start+65j
　　.text:01001128　　　　 push　esi　　　 ; lpMem
　　.text:01001129　　　　 call　HeapFreeMem
　　.text:0100112E
　　.text:0100112E lab_doservice:　　　　　　 ; CODE XREF: start+4Dj
　　.text:0100112E　　　　 test　edi, edi
　　.text:01001130　　　　 jz　 ExitProgram
　　.text:01001136　　　　 push　edi　　　 ; lpServiceStartTable
　　.text:01001137　　　　 call　ds:StartServiceCtrlDispatcherW
　　.text:0100113D　　　　 jmp　 ExitProgram
　　.text:0100113D start　　　endp
　　; =============================== Main Funcion end ===========================================
　　
　　由于svchost为该组的所有服务都注册了svchost中的一个处理函数，因此每次启动任何一个服务时，服务管理器SCM都会调用FuncServiceMain() 这个函数。这个函数使用 svcTable 查询要启动的服务使用的DLL，调用DLL导出的ServiceMain()函数来启动服务，然后返回。
　　
　　; ============================== FuncServiceMain() ===========================================
　　.text:01001504 FuncServiceMain proc near　　　　; DATA XREF: PrepareSvcTable+44o
　　.text:01001504
　　.text:01001504 arg_0　　　= dword ptr 8
　　.text:01001504 arg_4　　　= dword ptr 0Ch
　　.text:01001504
　　.text:01001504　　　　 push　ecx
　　.text:01001505　　　　 mov　 eax, [esp+arg_4]
　　.text:01001509　　　　 push　ebx
　　.text:0100150A　　　　 push　ebp
　　.text:0100150B　　　　 push　esi
　　.text:0100150C　　　　 mov　 ebx, offset unk_1003000
　　.text:01001511　　　　 push　edi
　　.text:01001512　　　　 mov　 edi, [eax]
　　.text:01001514　　　　 push　ebx
　　.text:01001515　　　　 xor　 ebp, ebp
　　.text:01001517　　　　 call　ds:EnterCriticalSection
　　.text:0100151D　　　　 xor　 esi, esi
　　.text:0100151F　　　　 cmp　 dwGroupSize, esi
　　.text:01001525　　　　 jbe　 short loc_1001566
　　.text:01001527　　　　 and　 [esp+10h], esi
　　.text:0100152B
　　.text:0100152B loc_100152B:　　　　　　　; CODE XREF: FuncServiceMain+4Aj
　　.text:0100152B　　　　 mov　 eax, svcTable
　　.text:01001530　　　　 mov　 ecx, [esp+10h]
　　.text:01001534　　　　 push　dword ptr [eax+ecx]
　　.text:01001537　　　　 push　edi
　　.tex进入讨论组讨论。

【收藏此文】【大 中 小】【打印】【关闭】

较早的文章：浅析Windows2000/XP服务与后门技术

较新的文章：深入了解 Microsoft Access 安全性