登录后查才能浏览下载更多咨询,有问题联系QQ:3283999
您需要 登录 才可以下载或查看,没有账号?入住遨海湾
×
在基于NT内核的Windows操作系统家族中,Svchost.exe是一个非常重要的进程。很多病毒、木马驻留系统与这个进程密切相关,因此深入了解该进程是非常有必要的。本文主要介绍Svchost进程的功能,以及与该进程相关的知识。
. T3 j1 G2 K% C: d o Svchost进程概述
7 z K* v6 L, z: i7 O8 `( p8 `9 W+ Y 微软对“Svchost进程”的定义是:Svchost.exe是从动态链接库(DLL)中运行的服务的通用主机进程名称。Svchost.exe文件位于“%SystemRoot%\System32”文件夹中。当系统启动时,Svchost将检查注册表中的服务部分,以构建需要加载的服务列表。Svchost的多个实例可以同时运行。每个Svchost会话可以包含一组服务,以便根据Svchost的启动方式和位置的不同运行不同的服务,这样可以更好地进行控制且更加便于调试。
3 N0 o% v) L- Q( G, _$ j* D Svchost组是由注册表[HKEY_LOCAL_MACHINE\ Software\Microsoft\Windows NT\CurrentVersion\Svchost]项来识别的。在这个注册表项下的每个值都代表单独的Svchost组,并在我们查看活动进程时作为单独的实例显示。这里的键值均为REG_MULTI_SZ类型的值,并且包含该Svchost组里运行的服务名称。
5 o! y$ l: D+ O, `
9 [; e- X1 |* c z) T, ?* _
1 `, f1 E( q! `9 Z" i# }" i注册表中的Svchost* F- X% S. |3 J8 J5 P
实际上,Svchost只是作为服务的宿主,本身并不实现什么功能。如果需要使用Svchost来启动某个DLL形式实现的服务,该DLL的载体Loader指向Svchost,在启动服务的时候由Svchost调用该服务的DLL来实现启动的目的。使用Svchost启动某个服务的DLL文件是由注册表中的参数来决定的,在需要启动服务的注册表项下都有一个“Parameters”子项,其中的“ServiceDll”键值表明该服务由哪个DLL文件负责,并且这个DLL文件必须导出一个ServiceMain()函数,为处理服务任务提供支持。 ) G1 {# y6 F! Q6 p5 g' R! R. }
提示:不同版本的Windows系统,存在不同数量的Svchost进程。一般来说,Windows 2000有两个Svchost进程,而Windows XP则有四个或四个以上的Svchost进程。
1 K) K) m1 x6 U% }7 ]9 b6 z Svchost进程实例讲解 , J3 v/ t3 S2 U" C3 P" x1 C
要想查看在Svchost中运行服务的列表,可以在Windows XP命令提示符窗口中输入“Tasklist /svc”命令后,回车执行(如果使用的是Windows 2000,可用Support Tools提供的Tlist工具查看,命令为“Tlist -s”)。Tasklist命令显示活动进程的列表,/svc命令开关指定显示每个进程中活动服务的列表。从图中可以看到,Svchost进程启动很多系统服务,如:RpcSs(Remote Procedure Call)、Dhcp(DHCP Client)、Netman(Network Connections)服务等等。
+ h- ^1 c2 |! ^9 J+ q. S1 O' t
6 r& c8 `- X, A6 T8 e% b d. ?* X; C) S图2 Svchost的服务列表
6 ]% r: i2 s9 {( B5 C! | 这里我们以RpcSs服务为例,来具体了解一下Svchost进程与服务的关系。运行Regedit,打开注册表编辑器,依次展开[HKEY_LOCAL_MACHINE\SYSTEM\ ' ~3 i% W7 N. R5 y
CurrentControlSet\Services\RpcSs ]分支,在“Parameters”子项中有个名为“ServiceDll”的键,其值为“%SystemRoot%\system32\rpcss.dll”。这表示系统启动RpcSs服务时,调用“%SystemRoot%\system32”目录下的Rpcss.dll动态链接库文件。 & {; x7 I& J/ v J4 o
接下来,从控制面板中依次双击“管理工具→服务”,打开服务控制台。在右侧窗格中双击“Remote Procedure Call(RPC)”服务项,打开其属性对话框,可以看到RpcSs服务的可执行文件的路径为“C:\Windows\system32\svchost -k rpcss”,这说明RpcSs服务是依靠Svchost启动的,“-k rpcss”表示此服务包含在Svchost的Rpcss服务组中。
) ~( B7 N% J( k+ r5 u5 g3 F8 k. j0 N Svchost进程木马浅析 - g$ L7 I K6 Q% `
从前面的介绍我们已经知道,在注册表[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current- Version\Svchost]分支中,存放着Svchost启动的组和组内的各项服务,很多木马和病毒正是利用这一点来实现自动加载的。它们通常的方法有:
8 s0 o: K. ]; ^* }0 `2 U8 l · 添加一个新的组,在组里添加服务名;
' o2 L1 v% J" C' Z. s; I, D · 在现有的组里添加服务名或者利用现有组一个未安装的服务;
7 {5 s: `) i. x; K- ` · 修改现有组里的服务,将它的ServiceDll指向自己的DLL文件。
& r! _4 d9 t5 E: @7 U& P8 q$ ^5 b 例如PortLess BackDoor就是一款典型的利用Svchost进程加载的后门工具。那么对于像PortLess BackDoor这样的木马、病毒,该如何检测并清除呢?以Windows XP为例,首先我们可以利用“进程间谍”这样的进程工具查看Svchost进程中的模块信息(如图3),并与之前的模块信息比较,可以发现Svchost进程中有一个可疑的DLL文件“SvchostDLL.dll”。同时,在“管理工具→服务”列表中会看到一项新的服务“Intranet Services”(显示名称),此服务名称为:Iprip,由Svchost启动,“-k netsvcs”表示此服务包含在Netsvcs服务组中。 # {) p! l$ E5 i" U8 z( D9 W
+ A1 ]2 {3 E* Z
Svchost进程中的模块信息6 Y1 m; F9 }- v5 E$ J _6 n
提示:在Windows 2000中,系统的Iprip服务侦听由使用Routing Information协议版本1(RIPv1)的路由器发送的路由更新信息,在服务列表中显示的名称为“RIP Listener”。
5 y9 {! v; |1 {) I0 a3 R, I 运行Regedit,打开注册表编辑器,展开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ # L! x: y# J: {& Y; j/ l; K
Services\IPRIP]分支,查看其“Parameters”子项,其中“ServiceDll”键值指向调用的DLL文件路径和全称,这正是后门的DLL文件。知道了这些,就可以动手清除了:在服务列表用右键单击“Intranet Services”服务,从菜单中选择“停止”,然后在上述注册表分支中删除“Iprip”项。重新启动计算机,再按照“ServiceDll”键值提示的位置删除后门程序主文件即可。最后需要提醒读者的是,对注册表进行修改前,应做好备份工作,以便出现错误时能够及时还原。 * f3 N( _1 g" T
【程序1】 `0 U* z& S3 Y! x
题目:古典问题:有一对兔子,从出生后第3个月起每个月都生一对兔子,小兔子长到第三个月后每个月又生一对兔子,假如兔子都不死,问每个月的兔子总数为多少?
" E8 x) W/ N" ?( {1.程序分析: 兔子的规律为数列1,1,2,3,5,8,13,21...." d2 A$ {; h& n* N
2.程序源代码: 8 S& {, [: u: ^5 G V, b
main()
3 N+ J y K/ B7 o. d2 f{
9 d1 T' U0 [4 I6 i0 F! B9 c+ z3 U Ulong f1,f2;! n* V) S/ m" x4 s3 o8 G/ A/ ]
int i;
% J/ r& s D% t, jf1=f2=1;6 O( z) `+ P7 C' O, i7 b
for(i=1;i<=20;i++)# @4 |" |) X4 y& K5 x# `
{ printf("%12ld %12ld",f1,f2);$ p4 y7 q4 z, o G8 c0 N2 C! D
if(i%2==0) printf("\n");/*控制输出,每行四个*/- y0 L. c7 v7 \0 R
f1=f1+f2; /*前两个月加起来赋值给第三个月*/' o5 x# Q3 ^ M! ]2 i$ e
f2=f1+f2; /*前两个月加起来赋值给第三个月*/; B2 `& X, n- L
}5 v3 q( Z" T# g2 I' k0 }; t* g3 w
}" l. r/ q2 o" N" h* s
1 T0 Y4 ^9 b9 B6 G2 I! F2 {" Q 9 Q/ l8 y1 a" _$ x L1 e
|