关于对windows Services的分析（上）
1.总是介绍
windows服务包括服务应用服务（services application）和驱动服务（services driver）如鼠标驱动，杀毒软件也有驱动；常规意义上的服务是指服务应用程序。
系统驱动保存在%systemroot%\widnows\system32\driver下
系统服务（应用服务和驱动服务）配置信息的保存位置：%systemroot%\windows\system32\config\system，注：system是一个没有后缀的文件
2.通过服务管理器（services.msc）查看服务信息
运行服务管理器，双击该服务即可查看服务信息，常规里包括服务名称，显示名称，描述，文件路径及启动参数，启动类型，启动/停止/暂停/恢复等
依赖关系：如本服务要依赖那个服务才能运行，如果被依赖的服务没有运行，本服务也是不能运行的，或某个服务依赖本服务来运行，这里都可查看到。
3.通过注册表查看服务信息（服务下及其不同项所代表的含意：
在注册表的HKLM\System\CurrentControlSet\Services\服务名\项下各项的值分别代表该服务不同配置信息，和服务管理器双击看到的值是对应的。如：
DisplayName：显示名称，服务名称的全称，但不是服务名称。
Description：描述信息，
ImagePath：服务或驱动的路径和参数
ErrorControl，用于错误控制，0忽略并记录错误，1正常，2严重，3关键，可能会发生蓝屏
Start：服务启动类型，0为BootStart，Ntldr或OSLoader预加载驱动的启动类型
1为SystemStart，系统核心初始化时加载，2为Auto Strat在SCM启动加载的服务，3为手动启动的服务，4.Disable禁止启动的服务
注：服务优化时不需要的服务建议为手动，当有其它服务依赖于这个服务时，它可以自动运行，如禁用，则不能运行。
type：服务类型，1为设备驱动，2表系统核心驱动
DependOnService：依赖，当前服务依赖这个那个服务才能运行，被依赖的服务没有运行，那么依赖的服务也不能运行
ObjectName：服务运行于何种权限 常见账户有LocalSystem、Network Service和Local Service在任务管理器显示用户为system，Network Service和;Local Service，
4.服务的运行各帐户（Local system，Network Service和Local Service）权限的区别：
Local system账户配置对应注册表HKU\.Default下，该帐户权限高于Administrators权限（即administrators组拥有的权限它都有），无需验证即能得到域森林的其它机器自动认证，但不能用其它帐户配置信息。
Network Service帐户配置对应注册表HKU\S-1-5-20和Documents and Settings\NetworkService（隐藏）下。用于使机器账户在网络上其他计算机认证。
Local Service帐户配置对应注册表HKU\S-1-5-19和Documents and Settings\LocalService（隐藏）下，只能允许访问匿名的网络资源。
5.HKLM\System注册表项下ControlControlSet和ControlSet001、ControlSet002、Select的区别：
系统启动时会加载ControlSet001或ControlSet002中的一个下的值，系统启动后会启动的项复制一份命名为ControlControlSet来做当前系统的项，所以ControlControlSet也是当前加载项的一个备份，修改它会直接反映到同步反映到ControlSetNNN下。
查看HKLM\System\Select项下的Current值可以判断当前系统加载的是ControlSet001还是ControlSet002，如值为1表加载的是ControlSet001项，值为2表加载的ControlSet002项。
查看HKLM\System\Select项下的LastKnownGood值代表上一次正确配置值，每次系统正常启动会变更该值为加载的项，
查看HKLM\System\Select项下的Failed 上次加载失败。
关于对windows Services的分析（下）
主要是讲两个工具（SC ，ServicesDrivers Configure Tool）的使用
CMD下查看进程加载的服务：;tasklist /svc
mmc——文件——添加删除/配置单元——服务——添加——本地计算机
sc ?
sc delete <service name>
sc create <service name> binpath=<path>
sc stop <service name>
sc satart <service name>
coyp notepad.exe C:\
sc create doofix binpath=c:\notepad.exe
sc start doofix
sc delete doofix
ServicesDrivers Configure Tool的使用
枚举，可枚举系统服务和系统驱动，枚举——隐藏微软服务
右击服务开始、停止、删除等
设备管理器查看服务（devmgmt.msc）：查看——显示隐藏的设备——非即插即用驱动程序，这里也可以启动停止服务。
驱动的作用是，截断系统I/O等操作来处理，如杀软