Windows系统服务编程

许多的病毒和木马都将自己注册为系统服务，来实现自启动。有的注册新的服务，有的替换现有服务实现隐藏。添加系统服务是Windows木马一个普遍使用的技术，还是比较实用的。就让我们来看看它是如何实现的。

       先给出一段程序，说明如何添加一个新的系统服务。

       

       #include <windows.h>

       #include <winsvc.h>

       #include <stdio.h>

 

       #define SRV_NAME    “SrvSample”                        //服务名称

       #define SRV_INFO              “一个系统服务程序实例”    //服务说明

       #define SRV_PATH       “C:/srvsample.exe”               //系统服务程序的路径

       

       int main(int argc,char** argv)

       {

              SC_HANDLE scMgr=NULL;

              SC_HANDLE service=NULL;

 

       if(scMgr=OpenSCManager(NULL,NULL,SC_MANAGER_CREATE_SERVICE))==NULL){

              printf(“OpenSCManager() Error/n”);

              return -1;

     }

     

     service=CreateService(scMgr,SRV_NAME,SRV_INFO,SERVICE_ALL_ACCESS,

                                        SERVICE_WIN32_OWN_PROCESS,

                                        SERVICE_AUTO_START,SERVICE_ERROR_NORMAL,

                                        SRV_PATH,0,0,0,0,0);

     if(service)

            printf(“Create a new service successful!/n”);

     else

            printf(“Failed to create a new service!/n”);

 

     CloseServiceHandle(scMgr);

     CloseServiceHandle(service);

 

     return 0;

       }

 

       代码很简单，先打开服务管理器的句柄，然后调用API添加服务。几个API的用法你可以查阅MSDN。

 

       下面给出代码演示如何删除一个服务。头文件包含和上面相同。为了简洁起见，没有进行错误处理。

 

       int main(int argc,char** argv)

       {

              SC_HANDLE scMgr;

              SC_HANDLE service;

              SERVICE_STATUS status;

       

              scMgr=OpenSCManager(NULL,NULL,SC_MANAGER_CREATE_SERVICE);

              service=OpenService(scMgr,SRV_NAME,SERVICE_ALL_ACCESS|DELETE);

              //查询服务状态

              QueryServiceStatus(service,&status);

              //如果服务未停止，先停止它

              if(status.dwCurrentState!=SERVICE_STOPPED){

                     ControlService(service,SERVICE_CONTROL_STOP,&status);

                     Sleep(500);

              }

 

              BOOL bSuccess=DeleteService(service);

              if(bSuccess)

                     printf(“Delete service successful!/n”);

              else

                     printf(“Failed to delete service!/n”);

 

              return 0;

       }

 

       下面给出一个服务程序的模板。一个服务程序必须有两个函数，一个是服务程序的主函数ServiceMain(),另一个是服务程序的派遣函数ServiceHandler()，它负责处理外部控制消息。

 

       #include <windows.h>

 

       SERVICE_STATUS      ServiceStatus;

       SERVICE_STATUS_HANDLE     hStatus;

 

       VOID WINAPI      ServiceMain( DWORD dwArgc, LPTSTR *lpszArgv );

       VOID WINAPI      ServiceHandler( DWORD fdwControl );

       

       int main(int argc,char** argv)

       {

              SERVICE_TABLE_ENTRY ServiceTable[2];

              ServiceTable[0].lpServiceName=”SrvSample”;

              ServiceTable[0].lpServiceProc=(LPSERVICE_MAIN_FUNCTION)ServiceMain;

              ServiceTable[1].lpServiceName=NULL;

              ServiceTable[1].lpServiceProc=NULL;

 

              StartServiceCtrlDispatcher(ServiceTable);

 

              return 0;

       }

 

       //服务控制处理函数

       VOID WINAPI ServiceHandler(DWORD fdwControl) 

       { 

              switch(fdwControl)

              {

              case SERVICE_CONTROL_PAUSE:

                     ServiceStatus.dwCurrentState = SERVICE_PAUSED;

                     break;

 

              case SERVICE_CONTROL_CONTINUE:

                     ServiceStatus.dwCurrentState = SERVICE_RUNNING;

                     break;

 

              case SERVICE_CONTROL_STOP: 

              case SERVICE_CONTROL_SHUTDOWN:

                     ServiceStatus.dwCurrentState = SERVICE_STOPPED;

                     ServiceStatus.dwWin32ExitCode = 0;

                     ServiceStatus.dwCheckPoint    = 0;

                     ServiceStatus.dwWaitHint      = 0;

                     SetServiceStatus(hStatus,&ServiceStatus);

                     return ;

 

              case SERVICE_CONTROL_INTERROGATE:

                     break;

 

              default:

                     break;

              }

 

              SetServiceStatus(hStatus,&ServiceStatus);

              return ;

}

       

       //服务主函数

       VOID WINAPI ServiceMain( DWORD dwArgc, LPTSTR *lpszArgv )

       {

              DWORD   status = 0; 

           DWORD   specificError = 0xfffffff; 

 

           ServiceStatus.dwServiceType        = SERVICE_WIN32; 

           ServiceStatus.dwCurrentState       = SERVICE_START_PENDING; 

           ServiceStatus.dwControlsAccepted   = SERVICE_ACCEPT_STOP |                                         SERVICE_ACCEPT_SHUTDOWN | SERVICE_ACCEPT_PAUSE_CONTINUE; 

           ServiceStatus.dwWin32ExitCode      = 0; 

            ServiceStatus.dwServiceSpecificExitCode = 0; 

           ServiceStatus.dwCheckPoint         = 0; 

           ServiceStatus.dwWaitHint           = 0; 

                                                                                                                                              hStatus=RegisterServiceCtrlHandler("SrvSample",

                                                               (LPHANDLER_FUNCTION)ServiceHandler); 

            if (hStatus==0) 

               return; 

 

           // Handle error condition 

              status = GetLastError(); 

           if (status!=NO_ERROR) 

              { 

               ServiceStatus.dwCurrentState       = SERVICE_STOPPED; 

               ServiceStatus.dwCheckPoint         = 0; 

               ServiceStatus.dwWaitHint           = 0; 

               ServiceStatus.dwWin32ExitCode      = status; 

               ServiceStatus.dwServiceSpecificExitCode = specificError; 

               SetServiceStatus(hStatus, &ServiceStatus); 

               return; 

              } 

 

           // 初始化结束，报告运行状态

           ServiceStatus.dwCurrentState       = SERVICE_RUNNING; 

           ServiceStatus.dwCheckPoint         = 0; 

           ServiceStatus.dwWaitHint           = 0; 

           SetServiceStatus(hStatus, &ServiceStatus);

 

            //在这里做其他的工作

              DoWork();

}

 

       这是一个模板，要实现你自己的服务，在DoWork()中添加功能代码即可。能做什么只取决于的想象，呵呵。

函数调用关系图如下：

///////////////////////////////////////////////////////////////////////////////

一直感觉VC++太复杂了，但昨天看了汪蒲阳编著的因特网应用编程，其中写到后台服务程序的编写，论述的非常详细，而且逻辑清晰，看了之后感觉明白不少，故拿来与需要之人共享，并更正了原程序的一些错误，补充了一些材料。另外还有一种用C++编写后台服务程序的思路（不算.NET上服务程序开发模型）,以后整理好了再发上来。

在2000/XP等基于NT 的操作系统中，有一个服务管理器，它管理的后台进程被称为 service。
服务是一种应用程序类型，它在后台运行，与UNIX 后台应用程序类似。服务应用程序通常可以
在本地和通过网络为用户提供一些功能，例如客户端/服务器应用程序、Web 服务器、数据库服
务器以及其他基于服务器的应用程序。
后台服务 程序是在后台悄悄运行的。我们通过将自己的程序登记为服务，可以使自己的程序不出现
在任务管理器中，并且随系统启动而最先运行，随系统关闭而最后停止。
服务控制管理器是一个RPC 服务器，它显露了一组应用编程接口，程序员可以方便的编写程序来配置
服务和控制远程服务器中服务程序。
服务程序通常编写成控制台类型的应用程序，总的来说，一个遵守服务控制管理程序接口要求的程序
包含下面三个函数：
1。服务程序主函数（main）：调用系统函数 StartServiceCtrlDispatcher 连接程序主线程到服务控制管理程序。
2。服务入口点函数（ServiceMain）：执行服务初始化任务，同时执行多个服务的服务进程有多个服务入口函数。
3。控制服务处理程序函数（Handler）：在服务程序收到控制请求时由控制分发线程引用。（此处是Service_Ctrl）。
另外在系统运行此服务之前需要安装登记服务程序：installService 函数。删除服务程序则需要先删除服务安装登记：removeService 函数。
服务类型：
类型
说明
SERVICE_FILE_SYSTEM_DRIVER＝2
文件系统驱动服务。
SERVICE_KERNEL_DRIVER＝1
驱动服务。
SERVICE_WIN32_OWN_PROCESS＝16
独占一个进程的服务。
SERVICE_WIN32_SHARE_PROCESS＝32
与其他服务共享一个进程的服务。
新建WIN32控制台程序， 其源文件名为service.cpp 。我用的开发工具是VC++.NET。
1．服务程序主函数
服 务控制管理程序启动服务程序后，等待服务程序主函数调用系统函StartServiceCtrlDispatcher。一个 SERVICE_WIN32_OWN_PROCESS 类型的服务应该立即调用 StartServiceCtrlDispatcher 函数，可以在服务启动后让服务入口点函数完成初始化工作。对于 SERVICE_WIN32_OWN_PROCESS 类型的服务和程序中所有服务共同的初始化工作可以在主函数中完成，但不要超过30秒。否则必须建立另外的线程完成这些共同的初始化工作，从而保证服务程序 主函数能及时地调用 StartServiceCtrlDispatcher 函数。
主函数处理了三中命令行参数：- install,- remove,- debug,分别用于安装，删除和调试服务程序。如果不带参数运行，则认为是服务控制管理出现启动该服务程序。参数不正确则给出提示信息。
StartServiceCtrlDispatcher 函数负责把程序主线程连接到服务控制管理程序。具体描述如下：
BOOL StartServiceCtrlDispatcher(
const LPSERVICE_TABLE_ENTRY lpServiceTable);
lpServiceStartTable 指向 SERVICE_TABLE_ENTRY 结构类型的数组，他包含了调用进程所提供的每个服务的入口函数和字符串名。表中的最后一个元素必须为 NULL，指明入口表结束。SERVICE_TABLE_ENTRY 结构具体描述如下：

typedef struct _SERVICE_TABLE_ENTRY { LPTSTR lpServiceName; LPSERVICE_MAIN_FUNCTION lpServiceProc;
} SERVICE_TABLE_ENTRY, *LPSERVICE_TABLE_ENTRY;

lpServiceName 是一个以 NULL 结尾的字符串，标识服务名。如果是 SERVICE_WIN32_OWN_PROCESS 类型的服务，这个字符串会被忽略。
lpServiceProc 指向服务入口点函数。


//服务程序主函数。
#include"stdafx.h"
#include"Windows.h"
#defineSZAPPNAME "serverSample" //服务程序名
#defineSZSERVICENAME "serviceSample" //标识服务的内部名

//内部变量
bool bDebugServer=false;
SERVICE_STATUS ssStatus;
SERVICE_STATUS_HANDLE sshStatusHandle;
DWORD dwErr=0;
TCHAR szErr[256];

//下面的函数由程序实现
void WINAPI Service_Main(DWORD dwArgc, LPTSTR *lpszArgv);
void WINAPI Service_Ctrl(DWORD dwCtrlCode);
voidinstallService();
voidremoveService();
voiddebugService(intargc,char** argv);
boolReportStatusToSCMgr(DWORD dwCurrentState,DWORD dwWin32ExitCode,DWORD dwWaitHint);
voidAddToMessageLog(LPTSTR lpszMsg);

int_tmain(intargc, _TCHAR* argv[])
{
SERVICE_TABLE_ENTRY dispatchTable[]=
{
{TEXT(SZSERVICENAME),(LPSERVICE_MAIN_FUNCTION)Service_Main},
{ NULL,NULL}
};
if((argc>1)&&((*argv[1]=='-')||(argv[1]=="/")))
{
if(_stricmp("install",argv[1]+1)==0)
{
installService();
}
elseif(_stricmp("remove",argv[1]+1)==0)
{
removeService();
}
elseif(_stricmp("debug",argv[1]+1)==0)
{
bDebugServer=true;
debugService(argc,argv);
}
else
{ //如果未能和上面的如何参数匹配，则可能是服务控制管理程序来启动该程序。立即调用
//StartServiceCtrlDispatcher 函数。
printf("%s - install to install the service \n",SZAPPNAME);
printf("%s - remove to remove the service \n",SZAPPNAME);
printf("%s - debug to debug the service \n",SZAPPNAME);
printf("\n StartServiceCtrlDispatcher being called.\n");
printf("This may take several seconds.Please wait.\n");
if(!StartServiceCtrlDispatcher(dispatchTable))
AddToMessageLog(TEXT("StartServiceCtrlDispatcher failed."));
else
AddToMessageLog(TEXT("StartServiceCtrlDispatcher OK."));
}
exit(0);
}
return0;
}
2．服务入口点函数

服务入口点函数service_main 首先调用系统函数 RegisterServiceCtrlHandler 注册服务控制处理函数 service_ctrl,然后调用 ReportStatusToSCMgr 函数，它通过系统函数 SetServiceStatus 更新服务的状态，然后调用特定的服务初始化入口函数ServiceStart 完成具体的初始化工作。


//服务入口点函数
voidServiceStart(DWORD dwArgc,LPTSTR* lpszArgv);//具体服务的初始化入口函数
void WINAPI Service_Main(DWORD dwArgc, LPTSTR *lpszArgv)
{
//注册服务控制处理函数
sshStatusHandle=RegisterServiceCtrlHandler(TEXT(SZSERVICENAME),Service_Ctrl);
//如果注册失败
if(!sshStatusHandle)
{
gotocleanup;
return;
}
//初始化 SERVICE_STATUS 结构中的成员
ssStatus.dwServiceType=SERVICE_WIN32_OWN_PROCESS;
ssStatus.dwServiceSpecificExitCode=0;
//更新服务状态
if(!ReportStatusToSCMgr(
SERVICE_START_PENDING,//服务状态，The service is starting.
NO_ERROR, //退出码
3000)) //等待时间
gotocleanup; //更新服务状态失败则转向 cleanup
ServiceStart(dwArgc,lpszArgv);
return;
cleanup:
//把服务状态更新为 SERVICE_STOPPED，并退出。
if(sshStatusHandle)
(void)ReportStatusToSCMgr(SERVICE_STOPPED,dwErr,0);
}

3．控制处理程序函数
函数Service_Ctrl 是服务的控制处理程序函数，由主函数线程的控制分发程序引用。在处理控制请求码时，应该在确定的时间间隔内更新服务状态检查点，避免发生服务不能响应的错误。


//控制处理程序函数
voidWINAPI Service_Ctrl(DWORD dwCtrlCode)
{
//处理控制请求码
switch(dwCtrlCode)
{
//先更新服务状态为 SERVICDE_STOP_PENDING,再停止服务。
caseSERVICE_CONTROL_STOP:
ReportStatusToSCMgr(SERVICE_STOP_PENDING,NO_ERROR,500);
ServiceStop(); //由具体的服务程序实现
return;
//暂停服务
caseSERVICE_CONTROL_PAUSE:
ReportStatusToSCMgr(SERVICE_STOP_PENDING,NO_ERROR,500);
ServicePause(); //由具体的服务程序实现
ssStatus.dwCurrentState=SERVICE_PAUSED;
return;
//继续服务
caseSERVICE_CONTROL_CONTINUE:
ReportStatusToSCMgr(SERVICE_STOP_PENDING,NO_ERROR,500);
ServiceContinue(); //由具体的服务程序实现
ssStatus.dwCurrentState=SERVICE_RUNNING;
return;
//更新服务状态
caseSERVICE_CONTROL_INTERROGATE:
break;
//无效控制码
default:
break;
}
ReportStatusToSCMgr(ssStatus.dwCurrentState,NO_ERROR,0);
}


除了系统定义的五种控制码外（还有一种是：SERVICE_CONTROL_SHUTDOWN）， 用户还可自定义控制码，其取值范围是128-255。用户可以通过控制面板中的服务项向特定服务程序的控制处理函数发送控制码，程序员可以调用系统函数 ControlService 直接向服务程序的控制处理函数发送控制码。其函数原型如下：

BOOL ControlService(
SC_HANDLE hService,
DWORD dwControl,
LPSERVICE_STATUS lpServiceStatus
);
hService ：函数 OpenService or CreateService 返回的服务程序句柄。
dwControl ：控制码，不能是SERVICE_CONTROL_SHUTDOWN。
lpServiceStatus：返回最后收到的服务状态信息。
4．安装服务程序

每个已安装服务程序在HKEY_LOCAL_MACHINE\SYSTE\CurrentControlSet\Services 下都有一个服务名的关键字，程序员可以调用系统函数 CreateService 安装服务程序，并指定服务类型，服务名等。这个函数创建一个服务对象，并将其增加到相关的服务控制管理器数据库中。
下面是函数原型：

SC_HANDLE CreateService(
SC_HANDLE hSCManager, //服务控制管理程序维护的登记数据库的句柄，由系统函数OpenSCManager 返回
LPCTSTR lpServiceName, //以NULL 结尾的服务名，用于创建登记数据库中的关键字
LPCTSTR lpDisplayName, //以NULL 结尾的服务名，用于用户界面标识服务
DWORD dwDesiredAccess, //指定服务返回类型
DWORD dwServiceType, //指定服务类型
DWORD dwStartType, //指定何时启动服务
DWORD dwErrorControl, //指定服务启动失败的严重程度
LPCTSTR lPBinaryPathName, //指定服务程序二进制文件的路径
LPCTSTR lpLoadOrderGroup, //指定顺序装入的服务组名
LPDWORD lpdwTagId, //忽略，NULL
LPCTSTR lpDependencies, //指定启动该服务前必须先启动的服务或服务组
LPCTSTR lpServiceStartName, //以NULL 结尾的字符串，指定服务帐号。如是NULL,则表示使用LocalSystem 帐号
LPCTSTR lpPassword //以NULL 结尾的字符串，指定对应的口令。为NULL表示无口令。但使用LocalSystem时填NULL
);

对于一个已安装的服务程序，可以调用系统函数OpenService 来获取服务程序的句柄
下面是其函数原型：
SC_HANDLE OpenService(
SC_HANDLE hSCManager,
LPCTSTR lpServiceName,
DWORD dwDesiredAccess
);

hSCManager ：服务控制管理程序微服的登记数据库的句柄。由函数 OpenSCManager function 返回 这个句柄。
lpServiceName ：将要打开的以NULL 结尾的服务程序的名字，和 CreateService 中的 lpServiceName 相对应。
dwDesiredAccess ：指定服务的访问类型。服务响应请求时，首先检查访问类型。
用CreateService 或OpenService 打开的服务程序句柄使用完毕后必须用CloseServiceHandle 关闭。
OpenSCManager打开的服务管理数据库句柄也必须用它来关闭。


//安装服务程序
voidinstallService()
{
SC_HANDLE schService;
SC_HANDLE schSCManager;
TCHAR szPath[512];
//得到程序磁盘文件的路径
if(GetModuleFileName(NULL,szPath,512)==0)
{
_tprintf(TEXT("Unable to install %s - %s \n"),
TEXT(SZAPPNAME),
GetLastError());//@1获取调用函数返回的最后错误码
return;
}
//打开服务管理数据库
schSCManager=OpenSCManager(
NULL, //本地计算机
NULL, //默认的数据库
SC_MANAGER_ALL_ACCESS //要求所有的访问权
);
if(schSCManager)
{
//登记服务程序
schService=CreateService(
schSCManager, //服务管理数据库句柄
TEXT(SZSERVICENAME), //服务名
TEXT(SZAPPNAME), //用于显示服务的标识
SERVICE_ALL_ACCESS, //响应所有的访问请求
SERVICE_WIN32_OWN_PROCESS, //服务类型
SERVICE_DEMAND_START, //启动类型
SERVICE_ERROR_NORMAL, //错误控制类型
szPath, //服务程序磁盘文件的路径
NULL, //服务不属于任何组
NULL, //没有tag标识符
NULL, //启动服务所依赖的服务或服务组,这里仅仅是一个空字符串
NULL, //LocalSystem 帐号
NULL);
if(schService)
{
_tprintf(TEXT("%s installed. \n"),TEXT(SZAPPNAME));
CloseServiceHandle(schService);
}
else
{
_tprintf(TEXT("CreateService failed - %s \n"),GetLastError());
}
CloseServiceHandle(schSCManager);
}
else
_tprintf(TEXT("OpenSCManager failed - %s \n"),GetLastError());
}
5．停止和删除已安装的服务程序

//停止和删除已安装的服务程序
voidremoveService()
{
SC_HANDLE schService;
SC_HANDLE schSCManager;
//打开服务管理数据库
schSCManager=OpenSCManager(
NULL, //本地计算机
NULL, //默认的数据库
SC_MANAGER_ALL_ACCESS //要求所有的访问权
);
if(schSCManager)
{
//获取服务程序句柄
schService=OpenService(
schSCManager, //服务管理数据库句柄
TEXT(SZSERVICENAME), //服务名
SERVICE_ALL_ACCESS //响应所有的访问请求
);
if(schService)
{
//试图停止服务
if(ControlService(
schService, //服务程序句柄
SERVICE_CONTROL_STOP, //停止服务请求码
&ssStatus //接收最后的服务状态信息
))
{
_tprintf(TEXT("Stopping %s."),TEXT(SZAPPNAME));
Sleep(1000);

//等待服务停止
//
while(QueryServiceStatus(schService,&ssStatus))
{
if(SERVICE_STOP_PENDING==ssStatus.dwCurrentState)
{
_tprintf(TEXT("."));
Sleep(1000);
}
else
break;
}
if(SERVICE_STOPPED==ssStatus.dwCurrentState)
_tprintf(TEXT("\n %s stopped. \n"),TEXT(SZAPPNAME));
else
_tprintf(TEXT("\n %s failed to stopp. \n"),TEXT(SZAPPNAME));
}
//删除已安装的服务程序安装
if(DeleteService(schService))
_tprintf(TEXT("%s removed. \n"),TEXT(SZAPPNAME));
else
_tprintf(TEXT("DeleteService failed - %s. \n"), GetLastError());
CloseServiceHandle(schService);
}
else
_tprintf(TEXT("OpenService failed - %s \n"),GetLastError());
CloseServiceHandle(schSCManager);
}
else
_tprintf(TEXT("OpenSCManager failed - %s \n"),GetLastError());
}

在编译程序的时候，我们会发觉ServiceStop();ServicePause();ServiceContinue();等三个函数没有具体实现，这对于理解此文的人来说应该不难编写，在此我可以给点文档内的参考：声明 SetTheServiceStatus(）函数，
//
// SetTheServiceStatus - This just wraps up SetServiceStatus.
//
void SetTheServiceStatus(DWORD dwCurrentState, DWORD dwWin32ExitCode,
DWORD dwCheckPoint, DWORD dwWaitHint)
{
SERVICE_STATUS ss; // Current status of the service.
//
// Disable control requests until the service is started.
//
if (dwCurrentState == SERVICE_START_PENDING)
ss.dwControlsAccepted = 0;
else
ss.dwControlsAccepted =
SERVICE_ACCEPT_STOP|SERVICE_ACCEPT_SHUTDOWN;
// Other flags include SERVICE_ACCEPT_PAUSE_CONTINUE
// and SERVICE_ACCEPT_SHUTDOWN.
// Initialize ss structure.
ss.dwServiceType = SERVICE_WIN32_OWN_PROCESS;
ss.dwServiceSpecificExitCode = 0;
ss.dwCurrentState = dwCurrentState;
ss.dwWin32ExitCode = dwWin32ExitCode;
ss.dwCheckPoint = dwCheckPoint;
ss.dwWaitHint = dwWaitHint;
// Send status of the service to the Service Controller.
if (!SetServiceStatus(ssh, &ss))
ErrorStopService(TEXT("SetServiceStatus"));
}
然后用如下的方式来调用函数来实现源程序中缺少的功能 ：
SetTheServiceStatus(SERVICE_STOPPED, GetLastError(), 0, 0);// Stop the service.