怎么快速定位Windows服务对应的磁盘文件存储路径-windows运维-PHP中文网

sc qc 是查询Windows服务可执行文件路径最直接的方法，通过读取SCM注册信息获取BINARY_PATH_NAME字段值，无需服务运行且轻量无依赖。

用 `sc qc` 查服务可执行文件路径最直接

windows 服务启动时加载的二进制文件路径，sc qc 是最轻量、无需额外工具的方案。它直接读取服务控制管理器（scm）注册信息，不依赖进程是否正在运行。

操作方式很简单：打开管理员权限的命令提示符或 PowerShell，执行：

sc qc

例如查 Windows Update 服务：

sc qc wuauserv

输出中关键字段是 BINARY_PATH_NAME，它的值就是服务对应的磁盘路径（含参数）。注意该路径可能带引号、空格或启动参数，实际文件是引号内第一个以 .exe 结尾的部分（如 "C:Windowssystem32svchost.exe" -k netsvcs 中真实文件是 C:Windowssystem32svchost.exe）。

服务名大小写不敏感，但必须准确（可用 sc query 列出所有服务名）
若返回 [SC] QueryServiceConfig FAILED 5:，通常是权限不足，务必用管理员身份运行
部分服务（如驱动类）可能显示为 driver 类型，BINARY_PATH_NAME 指向 .sys 文件

PowerShell 里用 `Get-Service` + `Get-WmiObject` 补全细节

Get-Service 本身不暴露二进制路径，但配合 WMI 查询能一次获取名称、状态和路径，适合批量处理或写脚本。

推荐组合命令：

Get-Service | Where-Object {$_.Status -eq 'Running'} | ForEach-Object { $svc = $_; Get-WmiObject -Class Win32_Service -Filter "Name='$svc.Name'" | Select-Object Name, State, PathName }

更简洁的单服务查法：

Get-WmiObject Win32_Service -Filter "Name='wuauserv'" | Select-Object Name, PathName, State

PathName 字段等价于 sc qc 的 BINARY_PATH_NAME，但 PowerShell 输出更易解析。

WMI 查询在老旧系统（如 Win7）上兼容性好，但速度略慢于 sc
如果服务名含空格或特殊字符，-Filter 中需用单引号包裹，双引号会导致变量展开错误
PathName 可能为空（如某些托管服务），此时需查其宿主进程（如 svchost.exe 加载的 DLL）

服务指向 `svchost.exe` 时，怎么定位具体 DLL？

大量系统服务共用 svchost.exe，BINARY_PATH_NAME 只显示 svchost.exe -k xxx，真正逻辑在 DLL 里。这时得结合服务配置里的 ServiceDLL 注册表项或进程加载视图。

最稳妥的方式是查注册表：

reg query "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionSvchost" /v

例如 -k netsvcs 对应组名 netsvcs，查到该键值后，再逐个检查每个服务在 HKLMSYSTEMCurrentControlSetServices\ParametersServiceDLL 下的字符串值。

不是所有 svchost 组都对应注册表子键；有些组名（如 LocalServiceNetworkRestricted）需查 HKLMSYSTEMCurrentControlSetServices\Parameters 下的 ServiceDll
用 Process Explorer（Sysinternals 工具）直接右键 svchost.exe 进程 → Properties → DLLs 标签页，能实时看到已加载的 DLL 路径，比注册表更直观
修改 ServiceDLL 值有风险，仅用于定位，切勿随意更改