Windows服务持久化技术解析与防御方案

1. Windows服务持久化技术解析

在Windows系统中，服务（Service）是一种在后台运行的特殊应用程序类型，具有系统启动时自动加载、无需用户交互等特点。通过服务实现持久化是攻击者常用的技术手段，也是防御方需要重点关注的领域。

服务持久化的核心原理是利用Windows服务控制管理器（SCM）的机制，将恶意程序注册为系统服务。与普通的启动项相比，服务具有以下优势：

• 更高权限运行（可设置为SYSTEM权限）
• 更隐蔽的启动方式（不依赖用户登录）
• 更强的稳定性（服务崩溃后可配置自动重启）

注意：本文所述技术仅限合法授权测试使用，实际部署服务前请确保获得系统所有者明确授权。

1.1 服务持久化关键组件

实现服务持久化主要涉及三个核心组件：

1. sc.exe：微软官方提供的服务管理命令行工具，位于%windir%\System32\目录下。通过它可以完全控制服务的创建、配置和删除。

2. 服务注册表：位于HKLM\SYSTEM\CurrentControlSet\Services，存储所有服务的配置信息。手动修改注册表也能实现服务配置。

3. PowerShell：通过New-Service等cmdlet可以实现更灵活的服务管理，特别适合自动化场景。

服务创建后会在以下位置留下痕迹：

• 注册表：HKLM\SYSTEM\CurrentControlSet\Services\<服务名>
• 系统日志：事件ID 7045（服务安装）
• 磁盘：服务对应的可执行文件路径

2. 手工创建服务实战

2.1 使用sc.exe创建服务

最基本的服务创建命令格式如下：

cmd复制sc.exe create <服务名> binpath= "<可执行文件路径>" start= <启动类型>

完整参数示例：

cmd复制sc.exe create MonitorService binpath= "C:\Program Files\Monitor\monitor.exe" type= own start= auto displayname= "System Monitor" obj= "NT AUTHORITY\LocalService"

关键参数解析：

2.2 服务创建后的配置调整

创建服务后可能需要额外配置：

1. 描述信息：

cmd复制sc.exe description MonitorService "用于系统性能监控的服务"

2. 失败恢复（服务崩溃后自动重启）：

cmd复制sc.exe failure MonitorService reset= 60 actions= restart/60000/restart/60000/restart/60000

3. 依赖关系：

cmd复制sc.exe config MonitorService depend= Tcpip/Dhcp

实操技巧：建议先将start设为demand手动测试服务正常运行后再改为auto，避免配置错误导致系统启动失败。

3. PowerShell自动化方案

对于需要批量部署的场景，PowerShell提供了更现代的解决方案：

3.1 New-Service基础用法

powershell复制$params = @{
    Name = "MonitorService"
    BinaryPathName = "C:\Program Files\Monitor\monitor.exe" 
    DisplayName = "System Monitor"
    StartupType = "Automatic"
    Description = "系统监控服务"
}
New-Service @params

3.2 高级服务配置

通过WMI实现更精细控制：

powershell复制$service = Get-WmiObject -Class Win32_Service -Filter "Name='MonitorService'"
$service.Change($null,$null,$null,$null,$null,$false,"NT AUTHORITY\LocalService","",$null,$null,$null)

3.3 服务监控脚本示例

定期检查服务状态的监控脚本：

powershell复制$serviceName = "MonitorService"
$service = Get-Service -Name $serviceName -ErrorAction SilentlyContinue

if(-not $service) {
    Write-Host "[!] 服务不存在" -ForegroundColor Red
    return
}

$status = @{
    Running = "[+] 服务运行中"
    Stopped = "[!] 服务已停止" 
    Paused = "[!] 服务已暂停"
}

Write-Host $status[$service.Status] -ForegroundColor (
    @{Running='Green'; Stopped='Red'; Paused='Yellow'}[$service.Status]
)

4. 防御与检测方案

4.1 常见服务持久化特征

攻击者常用的可疑特征包括：

• 服务名称模仿系统服务但存在拼写错误
• 可执行文件位于临时目录或用户目录
• 服务描述为空或与功能不符
• 使用LocalSystem账户但不需要高权限

4.2 检测命令

1. 查找可疑服务：

cmd复制sc.exe query state= all | findstr /i "monitor\|update\|security"

2. 检查服务文件签名：

powershell复制Get-AuthenticodeSignature -FilePath "C:\path\to\service.exe"

3. 审计服务创建日志：

powershell复制Get-WinEvent -LogName System | Where-Object {
    $_.Id -eq 7045 -and 
    $_.Message -like "*MonitorService*"
}

4.3 防御建议

1. 权限控制：

   • 限制普通用户使用sc.exe和PowerShell创建服务
   • 配置AppLocker限制服务可执行路径

2. 监控策略：

   • 监控HKLM\SYSTEM\CurrentControlSet\Services注册表键变更
   • 告警异常服务创建事件（事件ID 7045）

3. 加固措施：

   powershell复制# 禁用危险服务创建工具
   Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows" -Name "DisableSc.exe" -Value 1
   

5. 疑难问题排查

5.1 服务启动失败常见原因

1. 错误1053：

   • 可执行文件路径错误
   • 账户权限不足
   • 依赖服务未启动

2. 错误1069：

   • 登录账户密码错误
   • 账户被锁定

3. 错误1083：

   • 程序入口点配置错误
   • 32/64位兼容性问题

5.2 日志分析技巧

关键事件日志位置：

• 系统日志：服务控制管理器相关事件
• 应用程序日志：服务程序自身日志
• PowerShell日志：模块日志4104/4105/4106

使用事件查看器筛选：

code复制<QueryList>
  <Query Id="0">
    <Select Path="System">
      *[System[(EventID=7045)]] 
      or
      *[System[(EventID=7031)]]
    </Select>
  </Query>
</QueryList>

5.3 服务删除与清理

完整清理服务的步骤：

cmd复制sc.exe stop MonitorService
sc.exe delete MonitorService
del /f /q "C:\Program Files\Monitor\monitor.exe"
reg delete "HKLM\SYSTEM\CurrentControlSet\Services\MonitorService" /f

6. 进阶技巧与替代方案

6.1 无文件服务持久化

通过WMI实现内存驻留：

powershell复制$wmiParams = @{
    Name = "Win32_Service"
    Filter = "Name='Winmgmt'"
}
$service = Get-WmiObject @wmiParams
$service.InvokeMethod("Change", @($null,$null,$null,$null,$null,$false,$null,$null,$null,$null,$null))

6.2 服务伪装技术

修改服务属性模仿合法服务：

powershell复制sc.exe config TrustedInstaller binpath= "C:\malware.exe"
sc.exe config TrustedInstaller type= interact type= own

6.3 替代持久化方案比较

在实际对抗中，建议根据目标环境选择合适的技术组合。服务持久化适合需要长期稳定运行的场景，但需要做好隐蔽处理。