随时可以看到任务管理器中有一个services.exe进程,这个就.DOCVIP

随时可以看到任务管理器中有一个services.exe进程，这个就是系统的服务控制管理进程，简称SCM 这个进程专门用来管理服务（启动、停止、删除、配置等操作） 系统中所有注册的服务都登记在\HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services键下，这个键专门叫做‘服务键’，服务键下面的每个子键代表一个服务，记录了各个服务的信息。 每个服务可以是独立的服务，也可以位于某个服务组内。用户不仅可以注册服务，还可以注册服务组，并指定服务与服务组之间的隶属关系。\HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\ServiceGroupOrder键下有一个值List，类型是多字符串，记录了系统中注册的所有服务组（蕴含了他们之间的相对加载顺序）。系统加载启动服务时，首先是以服务组为加载顺序进行加载的，各个服务组的加载先后顺序不同，然后同一服务组内的各个服务也是有加载顺序的。 下面是各种启动类型： #define SERVICE_BOOT_START 0 //系统引导时启动 #define SERVICE_SYSTEM_START 1 //系统初始哈时启动 #define SERVICE_AUTO_START 2 //AutoStart启动类型，即系统初始化完毕后，由SCM开机时自动启动 #define SERVICE_DEMAND_START 3 //按需启动 #define SERVICE_DISABLED 4 //禁用 系统在初始化完毕后，启动services.exe时，会检查注册表中那些登记为AutoStart启动类型的服务，一一予以启动。 我们看services.exe的WinMain函数 int WINAPI wWinMain(HINSTANCE hInstance,HINSTANCE hPrevInstance,LPWSTR lpCmdLine,int nShowCmd) { HANDLE hScmStartEvent; HANDLE hEvent; DWORD dwError; if (!ScmCreateStartEvent(hScmStartEvent)) ExitThread(0); //读取系统中注册的所有服务组和服务，记录到各自的全局链表中 dwError = ScmCreateServiceDatabase(); if (dwError != ERROR_SUCCESS) ExitThread(0); ScmGetBootAndSystemDriverState();//标记出全局链表中那些已经启动了的驱动类型服务 ScmStartRpcServer(); RegisterServicesProcess(GetCurrentProcessId()); SetEvent(hScmStartEvent); SetConsoleCtrlHandler(ShutdownHandlerRoutine, TRUE); ScmWaitForLsass(); AcquireLoadDriverPrivilege(); ScmAutoStartServices();//关键。启动所有那些注册为AutoStart启动类型的服务 hEvent = CreateEvent(NULL, TRUE, FALSE, NULL); if (hEvent) WaitForSingleObject(hEvent, INFINITE);//services.exe进程永远不会结束 CloseHandle(hScmStartEvent); ExitThread(0); return 0; } DWORD ScmCreateServiceDatabase(VOID) { WCHAR szSubKey[MAX_PATH]; HKEY hServicesKey; HKEY hServiceKey; DWORD dwSubKey; DWORD dwSubKeyLength; FILETIME ftLastChanged; DWORD dwError; dwError = ScmCreateGroupList();//读取注册表中所有注册的服务组，加入全局服务组链表 if (dwError != ERROR_SUCCESS) return dwError