Windows 服務深度解析：從核心架構到流氓服務刪除實戰指南

一、什麼是 Windows 服務

Windows 服務 (Windows Service) 是 Windows 作業系統與網路的基礎，屬於系統核心一部分，支撐整個 Windows 各種操作。如 DNS 用戶端、列印程式、Windows Update 服務、排程工作、Windows 時間服務等，關係到機器能否正確運行。若不能妥善管理這些服務，會影響機器正常操作。

一個服務首先是一個 Win32 可執行程式，或透過 rundll32.exe 執行 DLL 形成進程。與一般應用程式不同，服務沒有使用者介面，也不能直接雙擊執行對應的 .exe 檔案。

二、Windows 如何控制服務

服務由更上層的 services.exe 管理，負責啟動、停止、執行、暫停等。最常用的操作是透過 Windows 服務 MCC 介面完成。

在 Win7 中，點擊開始功能表搜尋框輸入「服務」，雙擊第一個結果即可開啟服務管理；Vista 和 XP 可透過執行 services.msc 開啟。

三、如何刪除 Windows 服務

現在的流氓軟體越來越多把自己註冊為服務。一般會以 023 方式列出非 Windows 系統服務，例如：

O23 - 未知 - Service: BKMARKS [...] - C:\Windows\SYSTEM32\RUNDLL.EXE
O23 - 未知 - Service: ewido anti-spyware 4.0 guard [...] - D:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - 未知 - Service: KSD2Service [...] - C:\Windows\system32\SVCH0ST.exe

對付這些流氓軟體，需刪除相關 .exe 檔案使其無法運行，或直接清除服務本身，使重開機時不再啟動。刪除辦法有兩個：

辦法一：用 sc.exe 命令

1. 開始功能表 → 所有程式 → 附屬應用程式 → 命令提示字元，右鍵選擇「以系統管理員身分執行」。
2. 輸入 sc delete "服務名"（服務名含空格需加引號）。
   例：sc delete KSD2Service

sc 命令詳細參數見文末附錄。

辦法二：直接編輯註冊表（不推薦）

開啟註冊表編輯器，找到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services，一般服務會以相同名稱顯示一個主鍵，直接刪除相關鍵值即可。

四、特殊情況

1. 若服務顯示為 rundll32.exe 且位於 system32 目錄，不可刪除此檔（屬系統檔），僅清除相關服務即可。
2. 若服務刪除後馬上自動重建，說明背景有進程監視保護。需先在工作管理員結束對應進程，或進入 Win7/Vista 安全模式刪除。

附錄：SC 命令列參數詳解

描述： SC 用於與服務控制管理員及服務通訊的命令列程式。
用法： sc [server] [command] [service name] [option1] [option2] ...

常用命令：

• query：查詢服務狀態或列舉服務類型狀態。
• queryex：查詢擴充狀態。
• start：啟動服務。
• pause：傳送暫停控制要求。
• interrogate：傳送詢問控制要求。
• continue：傳送繼續控制要求。
• stop：傳送停止要求。
• config：變更服務設定 (永久)。
• description：變更服務描述。
• failure：變更服務失敗時執行的動作。
• delete：(從註冊表) 刪除服務。
• create：建立服務 (加入註冊表)。
• control：傳送控制給服務。
• sdshow：顯示服務安全描述項。
• sdset：設定服務安全描述項。
• showsid：顯示對應假定名稱的 SID 字串。
• triggerinfo：設定服務觸發參數。
• preferrednode：設定首選服務 NUMA 節點。
• GetDisplayName：取得服務顯示名稱。
• GetKeyName：取得服務 ServiceKeyName。
• EnumDepend：列舉服務相依關係。

更多參數與範例請參考原文附錄。