调试windows服务
windows服务启动后，进程是system权限，一般od等无法附加，通常有2个办法
方法1(不完美):
找到服务对应的进程pe文件，直接拖入od载入，如果直接跑起来会闪退，因为服务进程肯定是会检测是否在服务启动的，所以需要在入口断点后，去寻找 StartServiceCtrlDispatcher 函数的位置
StartServiceCtrlDispatcher 的入参是 SERVICE_TABLE_ ENTRY 结构体
typedef struct _SERVICE_TABLE_ENTRYA {
LPSTR lpServiceName;
LPSERVICE_MAIN_FUNCTIONA lpServiceProc;
} SERVICE_TABLE_ENTRYA, *LPSERVICE_TABLE_ENTRYA;
根据入参倒推，可以获取到 lpServiceProc 的地址，也就是主函数的地址
然后直接设置EIP跳转到该地址调试
虽然是进入main方法了，但因为不是服务启动的，所以他调用服务的函数的时候会报错，我们可以让调试器来接管异常，但如果因为报错引起的连锁反应的话，闪退还是迟早的事。。所以这个方法不完美
方法2：
1.先设置改进程的映像劫持，映像劫持可看我的另一个博客 通过 映像劫持 来调试程序 - 、有妖气 - 博客园 (cnblogs.com)
2.停止该服务
3.当调试服务.exe文件时，其实是在从服务启动时进行调试的，系统对启动服务设置了默认的超时时间，超过时间就会退出启动并报错：
系统默认启动服务的超时时间是30秒，但30秒远远不够对服务进行分析，所以要延长服务超时的时长。
打开注册表，在HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Control 键值下查找ServicesPipeTimeout参数，一般不存在，需要新建。新建DWORD值“ServicesPipeTimeout”，其值为欲设置的超时时间，先选择为十进制，数值单位是毫秒，如设置 24小时，则值为86400000毫秒：
在设置好貌似不能直接起到作用，需要重启才能有效果。
4. 设置要调试的服务与桌面交互
之有打开了桌面交互功能才能够在服务被加载的时候弹出OD/Windbg。首先是打开服务的桌面交互功能。在cmd中输入，services.msc，打开服务控制版面，找到要被调试的服务，然后勾选桌面交互选项：
实际上这等同于修改注册表中的要调试服务的type选项。选择“Type”，修改其值为：原值 OR 0x00000100（如原值为：0x00000010 OR 0x00000100 ＝0x00000110）：
除了要打开服务的桌面交互选项之外，还要开启服务的桌面交互检测服务，系统默认通常是关闭的，需要手动打开。如果不打开该服务，OD/windbg调试窗口就不会弹出：
启动该服务。
注意：很多电脑找不到桌面交互检测服务，尤其是win10 就算开启来也会有问题，建议虚拟机里装win7 调试
5. 启动服务
保证上面的步骤都设置好之后，启动要调试的服务，会弹出如下对话框：
点击查看信息，此时调试器会跳出，加载到服务起始处：
参考连接：[原创]使用Windbg&OllyDbg从头调试windows服务-软件逆向-看雪论坛-安全社区|安全招聘|bbs.pediy.com
