Win7 刪除 Windows 服務完整指南：清除惡意軟體偽裝服務、SC 命令與註冊表雙重法

Windows 服務是系統核心運作基礎，但惡意軟體、流氓軟體常偽裝成服務 (如 O23 - Service: BKMARKS... 格式) 隨機啟動、難以移除。本文提供**標準命令列工具 sc.exe** 與 **註冊表直接編輯** 兩種刪除方法，並說明特殊情況處理。

前置知識：服務管理入口

• Win7：Win → 輸入「服務」 → Enter
• 通用：Win+R → services.msc

方法一：SC 命令列刪除 (推薦、安全、可腳本化)

1. 以**系統管理員身分**開啟命令提示字元：Win → 輸入「cmd」 → Ctrl+Shift+Enter。
   
2. 執行刪除指令：

sc delete "服務名稱"

※ 服務名稱含空格時**必須加雙引號**。服務名稱非顯示名稱，可用 sc query state= all 查詢對應的 SERVICE_NAME。

範例：sc delete KSD2Service

SC 常用參數速查表

※ start= 等號後**必須有空格** (SC 解析語法要求)。

方法二：註冊表直接刪除 (不推薦常規使用，適用 SC 失效時)

1. Win+R → regedit
2. 定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
3. 找到目標服務同名主鍵，**右鍵刪除**整個鍵值。
4. 重開機生效。

⚠️ 風險：誤刪系統關鍵服務 (如 RpcSs, DcomLaunch) 導致無法開機。操作前請匯出該分支備份 (.reg 檔)。

特殊情況處理

🔴 情況 1：服務執行檔為 rundll32.exe (位於 System32)

系統合法檔案**不可刪除**。僅刪除服務定義 (SC 或註冊表)，並檢查該服務載入的 DLL 路徑 (ImagePath 值) 是否為惡意 DLL，若是則刪除該 DLL 檔案。

🔴 情況 2：服務刪除後立即自動重建

背景有監護進程 (Guard Process) 監控。處理步驟：

1. 任務管理員 / Process Explorer 找出並終止監護進程 (通常同名或隨機名稱 .exe)。
2. 或進入**安全模式** (開機 F8) 刪除，安全模式不載入第三方服務。

🔴 情況 3：服務標記為「無法停止」/「拒絕存取」

嘗試 sc stop ServiceName 若失敗，檢查 sc qc ServiceName 的 SERVICE_START_NAME (登入身分) 與 SID_TYPE，必要時用 sc sdset 修改安全描述符授予管理員完全控制權。

驗證刪除成功

• sc query DeletedServiceName → 回傳 [SC] EnumQueryServicesStatus:OpenService FAILED 1060: 指定的服務未安裝。
• services.msc 列表中不再出現。
• 重開機後無殘留進程、無事件記錄錯誤。

掌握 sc delete 與註冊表雙重技能，配合特殊情況判斷邏輯，即可徹底清除頑固惡意服務，恢復系統純淨狀態。