Start REG_DWORD 0,2,3,4 2代表自动启动,3代表手动启动服务.4代表禁用服务,0代表系统对底层设备驱动(一般不需要这个)
ErrorControl REG_DWORD 1
Type REG_DWORD 10 or 20 一般应用程序都是10,其他的对应20
ObjectName REG_SZ LocalSystem 显示本地登陆
注意：在XP/2003下可以完全手工来添加REG EXPAND SZ类型。在XP/2003下直接修改ImagePath 键值就可以了。但是在WIN2000下却不可以。原因不清楚：（。但是在WIN2000下写一个REG来直接注册系统服务，这样WIN2000下注册成系统服务也能很容易实现。这里同样需要注意的是注册表文件里的ImagePath的数值类型必须是HEX（16进制）。可以拿WINHEX来把程序的绝对路径转换成16进制的。每一个数值用逗号搁开。比如我的ImagePath键值是C:\winnt\nukegroup.exe那就应该转换成：
63，3A，5C，77，69，6E，6E，74，5C，6E，75，6B，65，2E，65，78，65（无空格）
打开记事本，敲入以下内容：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SRVTEST]
"Type"=dword:00000010
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):63，3A，5C，77，69，6E，6E，74，5C，6E，75，6B，65，2E，65，78，65
"DisplayName"="SRVTEST"
"ObjectName"="LocalSystem"
"Des cription"="系统服务测试"
把以上信息保存为addsrv.reg，
木马就可以依靠命令来导入注册表，从而达到注册成系统服务启动的目的。
在命令控制台输入regedit /s addsrv.reg，等机器重新启动，这个服务就被成功添加了。
但是我在真正实验的时候就遇到困难了。ImagePath的数值是乱码，怎么想也不明白。但是这时可以把乱码修改成绝对路径了。如果直接把REG信息写成这样
"ImagePath"=hex(2):C:\WINNT\NUKEGROUP.EXE
其他的键值都可以添加，这个键值就不可以了？总之，可以先添加乱码的ImagePath，然后再修改成C:\winnt\nukegroup.exe 这样也不是不可能的。就是在命令行下来添加就很麻烦了。
在项目“HKLM/SOFTWARE/Microsoft/WindowsCurrentVersion/RunServices”下添加一个新字符串数值。
比如，如果程序的名字叫做“BACKDOOR”，就建立一个名为“BACKDOOR”的字符串数值，然后在数据域中输入执行程序的完整路径。
注册成系统服务启动就这样实现了，手工删除系统服务也是一个道理。也需通过注册表来实现。
所以，中了一时查杀不掉的木马，或者无法删除木马的文件，很有可能是木马已经注册成系统服务达到了随系统启动的目的，而且此服务正在运行，任你怎么删除，都是徒劳的，只有进入服务管理器，把其注册成的服务停止，禁用，才能将顽固木马清除。
转截请注明:文章来自 pc捍卫者 http://www.pchwz.com
本站发布此文为传递更多信息之目的,不表明pc捍卫者赞同其观点
