Identifier les services associés au processus SVCHOST

Qu'est-ce que Svchost.exe '

C'est un nom de processus hôte générique pour les services exécutésà partir de DLL. Vous n'avez pas compris ' :-) En français, ça donnececi :

Explication simple

C'est un processus Windows, au même titre que les autres processusvisibles dans le gestionnaire de tâches tels que "explorer.exe","services.exe" ou "winlogon.exe" mais avec la particularité d'êtregénérique, en effet, il fonctionne en tant qu'hôte pour tous les servicesexécutés à partir de DLL. Son nom est d'ailleurs assez parlant : svchost que l'on pourrait couper en deux, svc pour services et host pourhôte.


Explication détaillée

Le fichier svchost.exe se trouve dans le répertoire %SystemRoot%\System32. A chaque démarrage de Windows, le processus svchost.exe analyse la section "services"de la base de registre afin d'y construire une liste des services àcharger. Plusieurs instances de svchost.exe peuvent être démarrées etainsi cohabiter ensemble, chacune des ces instances peut contenir unservice unique ou un groupe de services.

Si vous êtes currieux, vous pouvez consulter ces groupes de services via la base de registre dans la branche :

HKEY_LOCAL_MACHINE
\Software\Microsoft\WindowsNT\CurrentVersion\Svchost



Chaques valeurs de la clé Svchost représente un groupe de services etpar conséquent une instance de svchost.exe, ces groupes apparaissentsous la forme d'instances distincteslorsque vous affichez les processus actifs, voirla capture d'écran ci-dessous :



Comme vous le constatez, ces instances ne donnent pas le détail précissur les services en cours d'éxecution, c'est plutôt frustrant.Heureusement qu'il y a un moyen simple de lister l'ensemble desservices éxecutés sous le processus svchost.exe, nous allons voir ça un peu plus loin.


Pour identifier les DLL utilisées par ces services, puisque ce sont desservices éxecutés à partir de DLL dont il s'agit, il suffit d'aller dans la branche :

HKEY_LOCAL_MACHINE
\System\CurrentControlSet\Services\[nom du service en question]\Parameters



Dans l'exemple ci-dessus, pour le service "Nla" vous verrez la DLL utilisée dans la valeur ServiceDll, en l'occurence ici il s'agit de la DLL mswsock.dll.

Voilà en gros ce qu'il y a à savoir sur svchost.exe. Bon, assez de blabla, passons à la suite...