Windows 10下如何定位杀死Windows Service的主体？

通用定位方法 #

1. 系统安全审计日志 #

Windows内置的审计功能可以记录所有服务操作的发起方，配置步骤如下：

• 运行secpol.msc打开本地安全策略编辑器
• 依次进入「本地策略 > 审核策略 > 审核对象访问」，勾选「成功」、「失败」两类审计
• 执行gpupdate /force立即生效策略

配置完成后，服务被终止时可在「事件查看器 > Windows日志 > 安全」中查找对应事件：

• 事件ID 4689：进程终止事件，记录终止操作的发起进程PID、用户名、程序路径
• 事件ID 7036：服务状态变更事件，标注服务停止的触发来源
• 事件ID 7042：服务被其他进程发送控制指令停止时触发，直接显示调用方信息

2. Process Monitor行为捕获 #

微软官方的Process Monitor工具可以精准捕获对服务进程的所有操作：

• 启动后添加两条过滤规则：
  • 规则1：Operation = ControlService 且 Service Name = 你的服务注册名
  • 规则2：Operation = Process Exit 且 Path = 你的服务进程名
• 保留后台运行，触发服务终止场景后，查看对应操作的详情字段，即可直接获取发起终止请求的进程完整信息。

3. 命令行快速排查 #

无需第三方工具的场景下可使用系统内置命令：

• 执行wevtutil qe Security /q:"*[System/EventID=4689]" /f:text 导出所有进程终止事件，过滤你的服务进程名即可定位调用方
• 服务刚停止时执行sc queryex [你的服务名] 查看退出码，结合tasklist /svc 交叉验证关联进程信息。

终止信号拦截说明 #

Windows下服务终止的信号分为两类，拦截能力不同：

• 若为服务控制管理器（SCM）发送的SERVICE_CONTROL_STOP控制指令：可在服务的控制处理回调函数中直接捕获该信号，可添加自定义日志逻辑，权限足够时也可临时拒绝停止请求（仅建议用于调试）
• 若为TerminateProcess发起的强制终止信号：用户态无法直接拦截，只能通过审计日志、Process Monitor或者内核态驱动捕获调用方，调试场景下也可使用WinDbg附加到服务进程，设置bp TerminateProcess断点，触发时回溯调用栈即可找到来源。

内容的提问来源于stack exchange，提问作者Dmitry Popov