Image: C:\Windows\System32\svchost.exe
   ProcessId: 1112
   QueryName: 7ycb.com  微步情报：远控  远程控制工具

System (PID 4) 
    → smss.exe (Session Manager)
        → wininit.exe (Windows初始化进程)
            → services.exe (服务控制管理器)
                → svchost.exe (服务宿主进程)
        → winlogon.exe (Windows登录进程)
            → userinit.exe (用户初始化)
                → explorer.exe (桌面外壳)

资源优化：多个服务共享同一进程，减少内存开销
隔离性：不同组服务运行在不同svchost实例
稳定性：一个服务崩溃不影响其他服务
安全性：按权限分组，最小权限原则

<!-- 示例：netsvcs组配置 -->
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
    ├── netsvcs
    │   ├── Schedule        // 任务计划
    │   ├── Eventlog        // 事件日志
    │   ├── Themes          // 桌面主题
    │   └── ... (共约60个服务)
    ├── LocalService
    ├── NetworkService
    └── LocalSystem

# 1. services.exe读取服务配置
# 2. 根据分组创建svchost实例
# 3. svchost加载对应服务DLL
# 4. 调用ServiceMain()入口函数

# 查看所有svchost分组
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost\*'

# 查看具体svchost实例的服务
tasklist /svc /fi "imagename eq svchost.exe"

# 对应命令行格式
svchost.exe -k <服务组名称> [-s <服务名称>] [-p]
# -k: 指定服务组
# -s: 指定具体服务（Windows 10 1709+）
# -p: 使用特权减少（Windows 10 1703+）

# PID 1112可能是以下服务组之一：
# 常见承载服务组：
# -k netsvcs      # 网络服务组（约60个服务）
# -k LocalService # 本地服务组
# -k NetworkService # 网络服务组
# -k LocalSystemNetworkRestricted # 受限系统服务

# 具体确认命令：
wmic process where processid=1112 get commandline
# 或
Get-WmiObject Win32_Process -Filter "ProcessId=1112" | Select-Object CommandLine

smss.exe:
  - 父进程: System (PID 4)
  - 子进程: csrss.exe, wininit.exe, winlogon.exe
  - 数量: 通常2个（系统+会话）
  
wininit.exe:
  - 会话: Session 0
  - 子进程: services.exe, lsass.exe
  - 权限: SYSTEM
  
services.exe:
  - 子进程: 多个svchost.exe实例
  - 无命令行参数
  - 路径: System32\services.exe

1. 进程链断裂: services.exe -> 未知进程 -> svchost.exe
2. 路径异常: svchost.exe不在System32或SysWOW64
3. 命令行异常: 包含可疑参数或URL
4. 网络连接: 连接非常用端口或恶意IP
5. 签名异常: 无Microsoft签名或签名无效

# 1. 获取完整命令行
$process = Get-Process -Id 1112
$process.Path              # 文件路径
$process.StartInfo.Arguments  # 启动参数

# 2. 查看承载服务
$services = Get-WmiObject Win32_Service | Where-Object {
    $_.ProcessId -eq 1112
}
$services | Format-Table Name, DisplayName, State, PathName

# 3. 检查网络连接
Get-NetTCPConnection -OwningProcess 1112
Get-NetUDPEndpoint -OwningProcess 1112

# 使用Process Monitor过滤
# 筛选条件: 
# Process Name: svchost.exe
# Operation: DNS Query
# Path: contains "7ycb.com"

# 或使用ETW实时追踪
logman create trace DNS_Trace -o dns.etl -p "Microsoft-Windows-DNS-Client"
logman start DNS_Trace

# 如果确认是某个具体服务
$serviceName = "wuauserv"  # 示例

# 1. 查看服务配置
sc qc $serviceName
sc queryex $serviceName

# 2. 查看服务依赖
Get-Service $serviceName -DependentServices

# 3. 查看服务触发器（可能定时触发）
sc qtriggerinfo $serviceName

# 1. 确认是哪个服务
$services = Get-WmiObject Win32_Service | Where-Object {
    $_.ProcessId -eq 1112
}
Write-Host "PID 1112承载的服务:" -ForegroundColor Yellow
$services | Format-List Name, DisplayName, Description

# 2. 如果是wuauserv（Windows更新）
# 检查更新配置
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate"

# 3. 如果是BITS服务
# 检查传输队列
Get-BitsTransfer

# 4. 如果是计划任务服务
# 检查相关任务
Get-ScheduledTask | Where-Object {
    $_.TaskPath -match "Update" -or 
    $_.Actions -match "7ycb"
}