svchost.exe启动服务原理

svchost.exe本身只是作为服务宿主，并不实现任何服务功能，需要svchost.exe启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost.exe，启动这些服务时由svchost.exe调用相应服务的动态链接库来启动服务。

    双击服务列表的服务，可以看到服务详细信息。

    其中，C:\Windows\System32\svchost.exe-k netsvcs这个路径当然就是启动服务的关键信息，其实，后边的这个-k netsvcs参数并不是在告诉svchost.exe启动哪个服务，netsvcs代表的是组，表示这个服务是属于哪个组的，组具体有啥用，大概就是节省资源什么乱七八糟的。正是由于采用了分组机制，系统中才会有多个svchost.exe进程，每个进程代表一个组。

    那svchost.exe是怎么区分不同的服务呢？原来是根据服务名字区分的。。。搞个什么参数，弄的这么复杂，原来还是根据服务名字区分的。。。。

    注意服务的名称，可不是服务列表里直接看到的名称，双击服务从属性里看以看到，如图：

    哪个服务对应哪个dll，都是保存在注册表里的，路径是HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services。

    就拿上边的Browser服务来说，在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services路径下有一个Browser项，名字和服务名字一样（也就是说，有多少个服务，这个路径下就有多少个项，和服务名称相对应），这个项里里边又有一个Parameters子项，Parameters子项里有一个名字叫ServiceDll的键，它的值就是dll的路径。如图：

    这样一来，svchost.exe根据服务名称找到相应的键值，就找到要启动的dll了。

    当然，不是所有的服务都是通过svchost.exe启动的，以上的方法仅仅适用于利用svchost.exe启动的服务，如果服务本身就是exe，而不是dll，不需要借助于svchost.exe。

    如果服务不通过svchost.exe启动，那么就更简单，直接在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services路径下找到和服务名称一样的项，项中有一个叫ImagePath的键，这个键的值就是服务exe文件的路径和启动参数。如图：