手工添加系统服务 完全版

韩冰

作者：Darkness http://boy.804.cn/

1 K. Y2 I9 E l! r9 B R

现在很多的木马、后门、蠕虫病毒都是通过修改注册表中的RUN键值来实现自启动。 但是这种自启动模式不是很隐蔽的，稍微懂点安全的人，一般发现电脑被黑，都会查看RUN键值的。 于是系统服务便成为了一种相对隐蔽的自启动模式。比如冲击波杀手就采用系统服务来自启动病毒程序。 $ e0 b5 Z( x. R5 r3 Z- O5 X现在添加系统服务的工具很多，最典型的就是netservice。但是我们这里讲的是手工添加系统服务，所以工具的使用不在本文的讨论范围之内。 7 u1 u6 d5 c6 p- Q: tWINDOWS里的很多东西都是跟注册表息息相关的，系统服务也不例外。 & k+ s4 a/ g/ n' I" Q0 J- R 系统服务跟以下的注册表几个项目相关： $ U7 f; u" Z+ h5 k4 h# u( KHKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices , z i+ J' F) o: h+ e6 {! ^ HKEY_LOCAL_MACHINESYSTEMControlSet001Services HKEY_LOCAL_MACHINESYSTEMControlSet002Services 我们完全可以找到在系统服务中已注册的服务的键值来依样画葫芦。 + N/ y4 N3 U# u5 G9 \4 v 5 \* D* K4 H( w/ R0 g在以上任何注册表列中添加一个新项： 1 ?) N1 h2 G( ?$ {/ H , W8 c8 a1 L! K* U* a! [9 l1 l名字是你想要添加系统服务的名字，比如Backdoor。 0 H2 j: M9 M t/ T* a# Z# v2 t在BACKDOOR项下新建一个字符串,数值名称Displayname 数值数据为要添加服务的 # G& v7 G, w7 D1 n0 [4 U2 o% d名称Backdoor。 2 P" I/ T& I/ X J/ d8 ^下面列出一个表，会直观一些： 名称 类型 数据 备注 0 |5 y; x1 i! U$ uDisplayname REG_SZ 想要添加服务的名称 想要添加服务的名称 ) t1 }& b5 [; p$ W/ c' rDescription REG_SZ 服务的描述 服务的描述 ImagePath REG EXPAND SZ 程序的路径 ; i1 y: ]( k ^3 w- K2 b; v9 _ {Start REG_DWORD 0,2,3,4 2代表自动启动,3代表手动启动服务.4代表禁用服务,0代表系统对底层设备驱动(一般不需要这个) . |* _: d1 r1 m# V- A3 Q+ ~ErrorControl REG_DWORD 1 3 }1 S2 I6 {: G |Type REG_DWORD 10 or 20 一般应用程序都是10,其他的对应20 ObjectName REG_SZ LocalSystem 显示本地登陆 8 I3 z( V/ N4 D2 E# N 注意：在XP/2003下可以完全手工来添加REG EXPAND SZ类型。在XP/2003下直接修改ImagePath 键值就可以了。但是在WIN2000下却不可以。原因我也不清楚：（。但是在WIN2000下我们写一个REG来直接注册系统服务，这样WIN2000下添加系统也能很轻松了。这里同样需要注意的是注册表文件里的ImagePath的数值类型必须是HEX（16进制）。可以拿WINHEX来把程序的绝对路径转换成16进制的。每一个数值用逗号搁开。比如我的ImagePath键值是C:winntnukegroup.exe那就应该转换成： , {' q& |) ^3 F63，3A，5C，77，69，6E，6E，74，5C，6E，75，6B，65，2E，65，78，65（无空格） % H, G2 b4 u; ]: n7 H3 E 打开记事本，敲入以下内容： " x, }4 e0 x8 a$ ~: v* X 8 X+ G9 ~! Q2 V, E4 Y& l: C9 UWindows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSRVTEST] 1 ^+ V: \5 p' G$ V ) L0 G" P2 y- M! }' t3 u"Type"=dword:00000010 4 ?9 {% a& p0 Q2 T"Start"=dword:00000002 ) g% ?, O! k/ A8 B) Q8 M e+ t% L, a) _( i) q7 {3 X"ErrorControl"=dword:00000001 & H6 y4 m6 I' o 1 O; m8 r9 P: x0 a# ?4 q& t* c"ImagePath"=hex(2):63，3A，5C，77，69，6E，6E，74，5C，6E，75，6B，65，2E，65，78，65 # ?. z$ Y+ c2 N& |* V 2 q% J! Y& O9 g5 o3 }# E- F"DisplayName"="SRVTEST" 7 F$ L) |& [: W "ObjectName"="LocalSystem" + l& N7 [7 j" u. @! P "Description"="系统服务测试" 5 j9 o4 [1 {& h把以上信息保存为addsrv.reg，我们就可以依靠命令来导入注册表，从而达到添加系统服务的目的。 我们在命令控制台输入regedit /s addsrv.reg，等机器重新启动，这个服务就被成功添加了。 但是我在真正实验的时候就遇到困难了。ImagePath的数值是乱码（图1）（图2）， - Z4 P9 ~1 t1 _* h8 g/ c* q6 o $ d, o8 T: Y! A3 n7 M" U) ` . ?& p& @' c1 V5 O+ j; q4 ]怎么想也不明白。但是这时可以把乱码修改成绝对路径了。如果直接把REG信息写成这样 "ImagePath"=hex(2):C:WINNTNUKEGROUP.EXE ' a: q2 Z2 d1 h4 ~9 ?& _ . p: W; `- s: W1 \3 ]其他的键值都可以添加，这个键值就不可以了？总之我们可以先添加乱码的ImagePath，然后再修改成C:winntnukegroup.exe 这样也不是不可能的。就是在命令行下来添加就很麻烦了。(图3) 3 [7 s( A0 R6 _ f8 P' I以上是Windows 2000手工添加系统服务的方法，对于Windows 98 注册表结构是不一样的，但是Windows 98仍然可以通过注册表来实现添加系统服务，而且还要更简单一些。

韩冰

在项目“HKLM/SOFTWARE/Microsoft/WindowsCurrentVersion/RunServices”下添加一个新字符串数值。 % K5 D$ } C1 l+ n* N' m& t 7 s; ? o+ D* R; y比如，如果程序的名字叫做“BACKDOOR”，就建立一个名为“BACKDOOR”的字符串数值，然后在数据域中输入执行程序的完整路径。 : L" n% }, E% G5 G' [: Z 5 v, t0 q$ K" f/ q8 d手工添加一个系统服务就这么简单，手工删除系统也是一个道理。通过注册表来实现，这里就不多说了。 $ Z( n% H; z! `7 q % n; I. m! J) D. k 7 E5 F" L) \( a' E+ @* Z4 s9 e: G----------------- 6 r# Z' X8 e& f3 i0 uWindows服务简介 # [2 k9 r, T" I服务控制管理器拥有一个在注册表中记录的数据库，包含了所有已安装的服务程序和设备驱动服务程序的相关信息。它允许系统管理员为每个服务自定义安全要求和控制访问权限。Windows服务包括四大部分：服务控制管理器(Service Control Manager)，服务控制程序(Service Control Program)，服务程序(Service Program)和服务配置程序(Service Configuration Program)。 1.服务控制管理器(SCM) # N* O: H+ q0 ]6 l/ |( M8 k+ E服务控制管理器在系统启动的早期由Winlogon进程启动，可执行文件名是“Admin$\System32\Services.exe”，它是系统中的一个RPC服务器，因此服务配置程序和服务控制程序可以在远程操纵服务。它包括以下几方面的信息： 已安装服务数据库：服务控制管理器在注册表中拥有一个已安装服务的数据库，它在服务控制管理器和程序添加，删除，配置服务程序时使用，在注册表中数据库的位置为：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services。它包括很多子键，每个子键的名字就代表一个对应的服务。数据库中包括：服务类型(私有进程，共享进程)，启动类型(自动运行，由服务控制管理器启动，无效)，错误类型(忽略，常规错误，服务错误，关键错误)，执行文件路径，依赖信息选项，可选用户名与密码。 * d; O0 b: X8 [$ F: e3 K) P2 D; N( p2 f自动启动服务：系统启动时，服务控制管理器启动所有“自启”服务和相关依赖服务。服务的加载顺序：顺序装载组列表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\ServiceGroupOrder；指定组列表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\GroupOrderList；每个服务所依赖的服务程序。在系统成功引导后会保留一份LKG(Last-Know-Good)的配置信息位于：HKEY_LOCAL_MACHINE\SYSTEM\ControlSetXXX\Services。 5 f/ ` E- [% p% b1 B& E/ v因要求而启动服务：用户可以使用服务控制面板程序来启动一项服务。服务控制程序也可以使用StartService来启动服务。服务控制管理器会进行下面的操作：获取帐户信息，登录服务项目，创建服务为悬挂状态，分配登录令牌给进程，允许进程执行。 ! ~1 B; {+ F; G; G7 m2 X" ^) r6 n服务记录列表：每项服务在数据库中都包含了下面的内容：服务名称，开始类型，服务状态(类型，当前状态，接受控制代码，退出代码，等待提示)，依赖服务列表指针。 ' N- N/ A1 `- p$ h( N- \: B* a服务控制管理器句柄：服务控制管理器支持句柄类型访问以下对象：已安装服务数据库，服务程序，数据库的锁开状态。 " _6 g. Z4 N$ w2 X! H9 Q3 e2.服务控制程序(SCP) 4 i7 I0 T( F9 w, u" {7 S服务控制程序可以执行对服务程序的开启，控制和状态查询功能： 8 G% U0 Q3 ^# s开启服务：如果服务的开启类型为SERVICE_DEMAND_START，就可以用服务控制程序来开始一项服务。在开始服务的初始化阶段服务的当前状态为：SERVICE_START_PENDING，而在初始化完成后的状态就是：SERVICE_RUNNING。 向正在运行的服务发送控制请求：控制请求可以是系统默认的，也可以是用户自定义的。标准控制代码如下：停止服务(SERVICE_CONTROL_STOP)，暂停服务(SERVICE_CONTROL_PAUSE)，恢复已暂停服务(SERVICE_CONTROL_CONTINUE),获得更新信息(SERVICE_CONTROL_INTERROGATE)。 ( R, ]% } v/ d8 H! f3.服务程序 0 `2 y- w& D: A# {8 \一个服务程序可能拥有一个或多个服务的执行代码。我们可以创建类型为SERVICE_WIN32_OWN_PROCESS的只拥有一个服务的服务程序。而类型为SERVICE_WIN32_SHARE_PROCESS的服务程序却可以包含多个服务的执行代码。详情参见后面的Windows服务与编程。 , W0 V8 O4 _! }9 L; y6 V7 X) z ( L% h4 T# E: O* f. T2 g4.服务配置程序 编程人员和系统管理员可以使用服务配置程序来更改，查询已安装服务的信息。当然也可以通过注册表函数来访问相关资源。 / n( o6 l) U* l服务的安装，删除和列举：我们可以使用相关的系统函数来创建，删除服务和查询所有服务的当前状态。 服务配置：系统管理员通过服务配置程序来控制服务的启动类型，显示名称和相关描述信息。 5 @0 @% Y8 X& b, M- S------------------ ObjectName REG_SZ LocalSystem % H5 Z9 s0 @- p% _ `: W$ O F改这里可以实现指定用户 " p& M Q! @9 R! k0 S: m因为LOCALSYSTEM是最高级的权限,所以没有提到其他权限选项. 下面是关于系统服务的简单描述 服务仅在登录到某一帐户的情况下才能访问操作系统中的资源和对象。大多数的服务都不更改默认的登录帐户。更改默认帐户可能导致服务失败。如果选定帐户没有登录服务的权限，Microsoft 管理控制台 (MMC) 的服务管理单元将自动为该帐户授予登录所管理计算机中服务的用户权限。但这并不保证启动服务。Windows 包括三个内置的本地帐户，分别用作各系统服务的登录帐户： 5 i. Y/ d$ }5 w 本地系统帐户：本地系统帐户功能强大，它可对系统进行完全访问，并作为网络中的计算机工作。如果某服务登录到域控制器的“本地系统”帐户，则该服务可访问整个域。有些服务的默认配置是登录到“本地系统”帐户。不要更改默认服务设置。帐户名称是 LocalSystem。该帐户没有密码。 本地服务帐户：本地服务帐户是一种特殊的内置帐户，类似于经身份验证的用户帐户。就访问的资源的对象而言，“本地服务”帐户与“Users”（用户）组成员权限等同。这种限制性访问有助于在个别服务或进程受损时保障系统安全。以“本地服务”帐户运行的服务使用有匿名凭据的空会话来访问网络资源。帐户名称是 NT AUTHORITY\LocalService。该帐户没有密码。 $ y; G; }+ h! B2 g/ F" ^ , ~. }4 t9 f2 M& o# a4 H. r网络服务帐户：网络服务帐户也是一种特殊的内置帐户，类似于经身份验证的用户帐户。就访问的资源的对象而言，“网络服务”帐户与“Users”（用户）组成员权限等同。这种限制性访问有助于在个别服务或进程受损时保障系统安全。以“网络服务”帐户运行的服务可使用计算机帐户的凭据来访问网络资源。帐户名称是 NT AUTHORITY\NetworkService。该帐户没有密码。 1 G% j$ H' x0 J3 R# f% p" ^ 如果更改默认服务设置，重要的服务可能无法正常运行。最重要的是，更改启动类型一定要谨慎，要使用配置了自动启动服务的设置来登录。