svchost进程的浅析

今天我就以为个人的能力去研究一下，一个重要的进程svchost，本人水平极其有限，而svchost又是微软的一个非常重要的进程，很强大，所以题目就叫svchost进程的浅析，如果

有高手，可以后面跟贴补充~~~不甚感激！

科普一下：
写过一些病毒和木马的人，也许一定不会对svchost进程感到陌生，中过木马的人也许也看到过这个进程，没错，svchost进程，曾几何时一度风靡病毒界，很多病毒木马制作者一

定会用到它，由于杀毒软件的发展，一些杀毒软件已经严密监控住了这个进程（只是部分），所以svchost进程也一时受到冷默，大部分人转向了rootkit技术，可是现在rootkit技

术也成为各大杀软的头号目标，什么高启发式，云查杀，主动防御等技术都会对一般的rootkit绝不留情的，呵呵~~不过，道高一尺，魔高一丈，聪明的病毒和木马制作者总是会想

出一些更高操作的技术........

svchost.exe是NT核心系统的一个重要的进程，通过ctrl+alt+del打开任务管理器，就会在进程列表中看到进程中会出现几个svchost，这些svchost提供很多系统服务，如:rpcss服

务,dmserver服务,dhcp服务等，要想知道svchost进程，提供了哪些服务，很简单，(xp系统)在cmd中输入tasklist /svc即可，我们就会看到一大堆我们熟悉的服务:
RpcSs,Dhcp,Netman,srservice,swcsvc,winmgmt......

下面借用网上一段话来详细讲解一下svchost进程!
  Windows系统进程分为独立进程和共享进程两种，“Svchost.exe”文件存在于“%systemroot% system32”目录下，它属于共享进程。随着Windows系统服务不断增多，为

了节省系统资源，微软把很多服务做成共享方式，交由 Svchost.exe进程来启动。
　　  但Svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的

呢?
　　  原来这些系统服务是以动态链接库(dll)形式实现的，它们把可执行程序指向 Svchost，由Svchost调用相应服务的动态链接库来启动服务。那Svchost又怎么知道某个系统

服务该调用哪个动态链接库呢?这是通过系统服务在注册表中设置的参数来实现。
  svchost.exe是一个属于微软Windows操作系统的系统程序，微软官方对它的解释是：Svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。这个程序对

系统的正常运行是非常重要,而且是不能被结束的。
  当系统启动时，Svchost将检查注册表中的服务部分，以构建需要加载的服务列表。Svchost的多个实例可以同时运行。每个Svchost会话可以包含一组服务，以便根据

Svchost的启动方式和位置的不同运行不同的服务，这样可以更好地进行控制且更加便于调试。
　　  Svchost组是由注册表[HKEY_LOCAL_MACHINE\ Software\Microsoft\Windows NT\CurrentVersion\Svchost]项来识别的。在这个注册表项下的每个值都代表单独的Svchost

组，并在我们查看活动进程时作为单独的实例显示。这里的键值均为REG_MULTI_SZ类型的值，并且包含该Svchost组里运行的服务名称

总结一点：服务是靠Svchost来启动的（并不是所有的）

举例说明：
  以windows xp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可

执行文件的路径为“c:\windows\system32\svchost -k rpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。
　　  在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine systemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz

”的键“magepath”，其键值为“%systemroot%system32svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll

”的键，其值为“% systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样 svchost进程通过读取“rpcss”服务注册表信息，就能

启动该服务了。

上面介绍了svchost的基本原理，下面我通过分析svchost主要代码来说明svchost，代码参考开源操作系统ReactOS~~


还是先按调试的顺序，先从函数入口看起吧，哈哈~~~
代码如下：
int _tmain (int argc, LPTSTR argv [])
{
  DWORD NrOfServices;
  LPSERVICE_TABLE_ENTRY ServiceTable;

  if (argc < 3)
  {
    //当输入参数少于3个时，可以做一些你想要的事，这里直接返回
    return 0;
  }

  if (_tcscmp(argv[1], _T("-k")) != 0)  //检查第两个参数是不是-k
  {
    //如果不是也直接返回
    return 0;
  }

  NrOfServices = LoadServiceCategory(argv[2]);  //如果参数正确，则检查注册表中的服务部分，以构建需要加载的服务列表，并在其中加载所有服务

  DPRINT1("NrOfServices: %lu\n", NrOfServices);
  if (0 == NrOfServices)
    return 0;

  ServiceTable =(LPSERVICE_TABLE_ENTRY)HeapAlloc(GetProcessHeap(), 0, sizeof(SERVICE_TABLE_ENTRY) * (NrOfServices + 1));   //分配存放服务列表的堆栈，构

建服务列表

  if (NULL != ServiceTable)
  {
    DWORD i;
    PSERVICE Service = FirstService;

    //填充服务列表，使用了数据结构中的链表进行操作
    for (i = 0; i < NrOfServices; ++i)        
    {
      DPRINT1("Loading service: %s\n", Service->Name);
      ServiceTable[i].lpServiceName = Service->Name;
      ServiceTable[i].lpServiceProc = Service->ServiceMainFunc;
      Service = Service->Next;
    }

    //用一个空的服务，做为服务列表的结束
    ServiceTable[i].lpServiceName = NULL;
    ServiceTable[i].lpServiceProc = NULL;

    if (FALSE == StartServiceCtrlDispatcher(ServiceTable))      //启动服务的分发函数
      printf("Failed to start service control dispatcher, ErrorCode: %lu\n", GetLastError());

    HeapFree(GetProcessHeap(), 0, ServiceTable);        //释放分配的服务列表堆栈
  }
  else
  {
    DPRINT1("Not enough memory for the service table, trying to allocate %u bytes\n", sizeof(SERVICE_TABLE_ENTRY) * (NrOfServices + 1));
  }

  DPRINT1("Freeing services...\n");
  FreeServices();      //做最后的清理工作

    return 0;
}


代码很简单，主要用到了StartServiceCtrlDispatcher启动服务，其实这就是编写svchost启动的服务和编写一般服务的区别，一般的服务会写成一个EXE的文件，然后自己编写一

个安装启动服务的程序，但是用svchost，其实svchost就帮我们做了这些工作，我们只需要在某个注册表下写入svchost的值，svchost会在像上面操作的一样，在系统启动时，通

过svchost的参数，来检查注册表，然后建立一个服务列表，再通过遍历服务列表，一项一项的加启它们就OK了!

看了上面的一段话，我想大家都已经很清楚了svchost进程，下面我在进一步讲解一下~~上面用到了一个自定义函数LoadServiceCategory来检查注册表，我们来看看它做了哪些工

作吧~~
DWORD LoadServiceCategory(LPCTSTR ServiceCategory)
{
  HKEY hServicesKey;
  DWORD KeyType;
  DWORD BufferSize = REG_MAX_DATA_SIZE;
  TCHAR Buffer[REG_MAX_DATA_SIZE];
  LPCTSTR ServiceName;
  DWORD BufferIndex = 0;
  DWORD NrOfServices = 0;

  //得到所有的服务
  //static LPCTSTR SVCHOST_REG_KEY = _T("SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SvcHost")
  if (ERROR_SUCCESS != RegOpenKeyEx(HKEY_LOCAL_MACHINE, SVCHOST_REG_KEY, 0, KEY_READ, &hServicesKey))
  {
    DPRINT1("Could not open service category: %s\n", ServiceCategory);
    return 0;
  }

  if (ERROR_SUCCESS != RegQueryValueEx(hServicesKey, ServiceCategory, NULL, &KeyType, (LPBYTE)Buffer, &BufferSize))
  {
    DPRINT1("Could not open service category (2): %s\n", ServiceCategory);
    RegCloseKey(hServicesKey);
    return 0;
  }

  //对应上面的RegOpenKeyEx
  RegCloseKey(hServicesKey);

  //加载所有的服务
  ServiceName = Buffer;
  while (_T('\0') != ServiceName[0])
  {
    size_t Length;
    
    Length = _tcslen(ServiceName);
    if (0 == Length)
      break;

    if (TRUE == PrepareService(ServiceName))     //写入到注册表的相应位置，加载服务
      ++NrOfServices;

    BufferIndex += (Length + 1) * sizeof(TCHAR);

    ServiceName = &Buffer[BufferIndex];
  }

  return NrOfServices;
}

通过上面的这个函数，将SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SvcHost键下的所有服务名，写入到注册表相应位置，并加载服务，这个函数很简单只进行了注册

表的查寻，然后将得到的键值存入一个数组中，在从数组中取出相应值进行操作，逐个操作，并调用了一个自定义函数PrepareService~~再来分析一下PrepareService这个函数在

为我们做哪些工作~~~
BOOL PrepareService(LPCTSTR ServiceName)
{
  HKEY hServiceKey;
  TCHAR ServiceKeyBuffer[MAX_PATH + 1];
  DWORD LeftOfBuffer = sizeof(ServiceKeyBuffer) / sizeof(ServiceKeyBuffer[0]);
  DWORD KeyType;
  PTSTR Buffer = NULL;
  DWORD BufferSize = MAX_PATH + 1;
  LONG RetVal;
  HINSTANCE hServiceDll;
  TCHAR DllPath[MAX_PATH + 2]; /* See MSDN on ExpandEnvironmentStrings() for ANSI strings for more details on + 2 */
  LPSERVICE_MAIN_FUNCTION ServiceMainFunc;
  PSERVICE Service;

  //构建服务在注册表中的一些参数
  //static LPCTSTR SERVICE_KEY = _T("SYSTEM\\CurrentControlSet\\Services\\")
  //static LPCTSTR PARAMETERS_KEY  = _T("\\Parameters");
  _tcsncpy(ServiceKeyBuffer, SERVICE_KEY, LeftOfBuffer);
  LeftOfBuffer -= _tcslen(SERVICE_KEY);
  _tcsncat(ServiceKeyBuffer, ServiceName, LeftOfBuffer);
  LeftOfBuffer -= _tcslen(ServiceName);
  _tcsncat(ServiceKeyBuffer, PARAMETERS_KEY, LeftOfBuffer);
  LeftOfBuffer -= _tcslen(PARAMETERS_KEY);

  if (LeftOfBuffer < 0)
  {
    DPRINT1("Buffer overflow for service name: '%s'\n", ServiceName);
    return FALSE;
  }

  //打开相应注册表项，查找要加载的DLL名
  if (ERROR_SUCCESS != RegOpenKeyEx(HKEY_LOCAL_MACHINE, ServiceKeyBuffer, 0, KEY_READ, &hServiceKey))
  {
    DPRINT1("Could not open service key (%s)\n", ServiceKeyBuffer);
    return FALSE;
  }

  do
  {
    if (Buffer)
      HeapFree(GetProcessHeap(), 0, Buffer);

    Buffer = (PTSTR)HeapAlloc(GetProcessHeap(), 0, BufferSize);
    if (NULL == Buffer)
    {
      DPRINT1("Not enough memory for service: %s\n", ServiceName);
      return FALSE;
    }

    RetVal = RegQueryValueEx(hServiceKey, _T("ServiceDll"), NULL, &KeyType, (LPBYTE)Buffer, &BufferSize);

  } while (ERROR_MORE_DATA == RetVal);


  RegCloseKey(hServiceKey);

  if (ERROR_SUCCESS != RetVal || 0 == BufferSize)
  {
    DPRINT1("Could not read 'ServiceDll' value from service: %s, ErrorCode: 0x%x\n", ServiceName, RetVal);
    HeapFree(GetProcessHeap(), 0, Buffer);
    return FALSE;
  }

  //传换成系统中的DLL的目录
  BufferSize = ExpandEnvironmentStrings(Buffer, DllPath, sizeof(DllPath));
  if (0 == BufferSize)
  {
    DPRINT1("Invalid ServiceDll path: %s\n", Buffer);
    HeapFree(GetProcessHeap(), 0, Buffer);
    return FALSE;
  }

  HeapFree(GetProcessHeap(), 0, Buffer);

  
  DPRINT1("Trying to load dll\n");
  hServiceDll = LoadLibrary(DllPath);  //加载服务的DLL

  if (NULL == hServiceDll)
  {
    DPRINT1("Unable to load ServiceDll: %s, ErrorCode: %u\n", DllPath, GetLastError());
    return FALSE;
  }

  ServiceMainFunc = (LPSERVICE_MAIN_FUNCTION)GetProcAddress(hServiceDll, "ServiceMain");  //查找DLL中存在的ServiceMain函数，现在知道为什么每个DLL服务中

必须包括一个ServiceMain函数了吧

  //分配一个服务列表中的一个服务
  Service =(PSERVICE)HeapAlloc(GetProcessHeap(), 0, sizeof(SERVICE));
  if (NULL == Service)
  {
    DPRINT1("Not enough memory for service: %s\n", ServiceName);
    return FALSE;
  }

  memset(Service, 0, sizeof(SERVICE));
  Service->Name =(PTSTR)HeapAlloc(GetProcessHeap(), 0, _tcslen(ServiceName) + sizeof(TCHAR));
  if (NULL == Service->Name)
  {
    DPRINT1("Not enough memory for service: %s\n", ServiceName);
    HeapFree(GetProcessHeap(), 0, Service);
    return FALSE;
  }
  
  //填充服务列表中的服务
  //服务列表的结构如下：
  /*
  typedef struct _SERVICE {
        PTSTR    Name;  //服务名
    HINSTANCE  hServiceDll;  //此服务所使用的DLL
        LPSERVICE_MAIN_FUNCTION    ServiceMainFunc;  //DLL中的ServiceMain函数
    struct _SERVICE  *Next;  //指向下一个服务
  } SERVICE, *PSERVICE;
  */
  _tcscpy(Service->Name, ServiceName);
  Service->hServiceDll = hServiceDll;
  Service->ServiceMainFunc = ServiceMainFunc;

  Service->Next = FirstService;
  FirstService = Service;

  return TRUE;
}

在上面的操作中我们为服务列表中的服务分配了堆栈，最后一定要记得释放~~于是在main函数的最后调用了一个自定义的函数FreeServices用来释放前面分配的堆栈空间，代码如

下：
VOID FreeServices(VOID)
{
  while (FirstService)        
  {
    PSERVICE Service = FirstService;
    FirstService = Service->Next;

    FreeLibrary(Service->hServiceDll);  //释放前面加载的服务的DLL

    HeapFree(GetProcessHeap(), 0, Service->Name);  释放堆栈  
    HeapFree(GetProcessHeap(), 0, Service);
  }
}

如果你能看到这里，基本上svchost的进程的原理你已经掌握了，如果你写过用svchost启动的服务，我想你一定知道为什么要那么写了~~~其实每个事物的存在都会有它的原因，我们只要肯花时间去研究，就没有什么不懂的！（至于，怎么样编写基于svchost的服务，我就不说了，大家自己google吧，以前有位很牛的前辈用Win32汇编写过一篇很详细的文章）

上面我们详细的分析了一下开源的操作系统ReactOS的Svchost的源代码，其实Windows的Svchost的实现方式和这是差不多的，只是其中还应用了一些用于处理多线程同步的代码，有人也许会问，windows不开布源代码，为何ReactOS组织的人会写出如此相近的源代码，其实，以我个人的想法，无非就是他们经过反汇编windows的svchost进程，而得到的，因为windows中的所有的DLL,EXE,SYS等等之类的东东，微软并没有加壳保护，所以只要反汇编牛一点的人，我想写出类似的代码也不是问题的！！呵呵，只是我的猜想~~有兴趣的人，可以去反汇编看看Windnows中的svchost进程（可以用IDA反汇编看看，还可以用OD跟踪调试，只是记住带参数，不然就直接返回了,我是直接把那句判断跳过，只想看看他的实现原理就可以）,你会发现，原来就是这样的！

好了，就写这么多吧，写多了，大家看着也累，我想svchost的基本原理和方法，大家一定都有了一个大概的了解，本人水平有限，听说老毛的《windows内核情景分析》中最后有一章讲到过svchost进程，我没看过，只看过目录上有，也不知道他老人家是怎么讲的，肯定没他老人家那等功夫，如果还看不懂，可以去看看他老人家的书，就是有点贵 ~~不过说不定，一狠心我就买了，我喜欢拿着书看，并把它看成黑黑的，然后整理成薄薄的笔记，也许就是别人说的，把一本很厚的书看薄了，你就学会了~~再见，我会用一整年的时间（只是有个大概认识，呵呵，真正在理解可能要等以后工作中慢慢体会才能得到windows和linux的精华所在），好好研究一下windows的内核，因为打算以后就从事系统底层驱动开发这方面的工作了，也许过几年还会去研究linux内核，不过都是后话了，在这期间，如果偶有心得体会，我会及时将自己的一些学习休会与心得发到论坛上，希望能给更多喜欢研究内核的朋友们一点帮助，先把windows这个难缠的家伙搞定，学习windows内核不像linux内核（相对难一点，个人观点），linux内核源码网上有很多，但windows有时要反汇编才能明白其中的原理和精华~~其实我们只有掌握了一种学习能力，在加上坚持不懈的努力，最后都可以变成“牛”，学习能力的培养就在于你平时的日积月累了，呵呵，这个谁都帮不了你的！！(最后补充非常重要的一点：小弟前面的一些言论，可以不完全正确，如果实在看不下去的，可以直接跳过，我不想看到因为我的一些胡言乱语，又引起后面一些口水战之类的，再次重申：我的言论不针对任何个人，任何组织和公司，因为我没时间和你口水战，我想大家有时间，还是多花在时间在自己喜欢的值得为之努力奋斗的事情上)，但是对于文中的错误和对此有更深层的理解，欢迎指点，后面跟贴，以免我这小菜误导很多看到我这篇文章的人！

最后，把我在vc6.0下编译通过的svchost源码附加上去，用vs2008同样编译通过！*转载请注明来自看雪论坛@PEdiy.com 

原文链接：http://bbs.pediy.com/showthread.php?t=127798