如何阻止Win32 C++编写的服务可执行程序被挂起？

核心问题分析 #

你修改CServiceBase::ServiceCtrlHandler忽略SERVICE_CONTROL_PAUSE无效，是因为任务管理器的挂起操作不走服务控制管理器（SCM）的指令，直接调用内核级NtSuspendProcess接口，用户态的服务控制逻辑无法干预这类操作。

可行方案对比与实现要点 #

1. 用户态Hook NtSuspendProcess（快速实现，适合普通场景） #

• 原理：在自身进程内Hookntdll.dll导出的NtSuspendProcess函数，当外部调用该API尝试挂起当前进程时，直接返回成功但不执行实际挂起逻辑。
• 实现步骤：
  • 使用Detours或手动编写内联Hook代码，拦截NtSuspendProcess的调用。
  • 在Hook函数中判断目标进程ID是否为当前进程，若是则直接返回STATUS_SUCCESS；否则调用原函数放行其他进程的挂起操作。
• 局限：仅能阻止用户态工具的挂起，内核级工具可绕过用户态Hook；若进程被注入恶意代码，Hook可能被篡改。

2. 内核级进程保护（彻底防护，复杂度高） #

你之前用ObRegisterCallbacks无效，大概率是回调逻辑未正确处理进程挂起的触发条件，正确实现要点：

• 注册OB_OPERATION_HANDLE_CREATE和OB_OPERATION_HANDLE_DUPLICATE类型的回调，重点监控对目标进程的PROCESS_SUSPEND_RESUME权限请求。
• 在回调函数中，当检测到有进程试图获取目标进程的PROCESS_SUSPEND_RESUME权限时，返回STATUS_ACCESS_DENIED拒绝请求。
• 注意：驱动必须签名（测试环境可开启测试签名模式），且需适配不同Windows版本的API差异，比如Win10/11的对象回调机制有细微调整。
• 补充：修改EPROCESS结构体的保护标志属于未公开API，兼容性差，不推荐使用。

3. 进程权限设置（辅助防护手段） #

• 将服务进程的运行账号设置为高权限但受限的账号（如本地系统账号），同时移除普通用户对该进程的PROCESS_SUSPEND_RESUME权限。
• 命令行示例：

  icacls "C:\Path\To\Your\Service.exe" /deny Users:(S,RC)
  

  该命令拒绝普通用户的挂起/恢复权限，但管理员账号仍可绕过，仅作为辅助防护。

总结 #

若需彻底防护，优先完善内核驱动的ObRegisterCallbacks实现；若仅需阻止普通用户态工具，用户态Hook可快速达成目标。需注意：任何防护手段都无法绝对阻止高权限攻击者，但足以满足常规场景需求。

内容的提问来源于stack exchange，提问作者anitarazafi