☰

在 Windows 中查找服务创建日期？

tag-icon • tag-icon forensics
在 Windows 中查找服务创建日期？

如果您在受感染的系统上尝试分析新安装的服务或服务的安装时间，您该怎么做？在 Windows 注册表中哪里可以找到某个服务的创建日期？

答案1

无法确定特定 Windows 服务的创建日期，因为服务小程序和 Windows 注册表均未存储与创建相关的任何日期。

但是，最后修改日期是隐藏的（包括在 Windows 注册表编辑器中），但可以使用以下方式访问注册表查询信息键。由于所有 Windows 服务都存储在注册表中，因此您可以通过查看与相关服务相关的注册表项来检查上次修改日期HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

或者，如果您将需要信息的注册表项导出为文本文件，则每个项的最后修改日期都会写入文本文件中。

在此处输入图片描述

最后，使用 PowerShell 返回上次修改日期的解决方案已在 Stack Overflow 上讨论过。

答案2

从 Vista 开始，服务创建将记录到服务控制管理器事件 ID 7045 下的“系统”事件日志中。

例如以下命令：

C:\>sc create hello binpath= notepad.exe
[SC] CreateService SUCCESS

生成以下事件日志条目：

Log Name:      System
Source:        Service Control Manager
Date:          12/16/2014 3:00:00 PM
Event ID:      7045
Task Category: None
Level:         Information
Keywords:      Classic
User:          DOMAIN\username
Computer:      WORKSTATION.DOMAIN.local
Description:
A service was installed in the system.

Service Name:  hello
Service File Name:  notepad.exe
Service Type:  user mode service
Service Start Type:  demand start
Service Account:  LocalSystem

相关内容