通过服务管理器（services.msc）可直接查看服务对应exe路径；powershell用get-itemproperty读取注册表原始imagepath；process explorer验证实际运行进程的真实映像路径；最后用test-path确认文件存在且可访问。
通过服务管理器快速定位服务对应exe路径
当你在 Windows 11 中看到某个系统服务（如 “Windows Update” 或 “Print Spooler”）异常停止，又不确定它背后调用的是哪个可执行文件时，最直接的方法是利用内置的服务管理界面查看其启动配置。这一步不需要命令行，适合所有用户。
按下 Win + R，输入 services.msc 并回车，打开“服务”窗口。
在服务列表中找到目标服务（例如 Print Spooler），右键 → 选择“属性”。
切换到“常规”选项卡，向下滚动至“服务启动类型”下方，找到“可执行文件的路径”这一行——它显示的就是该服务注册时指定的真实路径，例如 C:\Windows\System32\spoolsv.exe。
注意：这个字段内容来自注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{服务名}\ImagePath，但服务管理器已帮你做了路径解析和格式化，避免了手动处理 REG_EXPAND_SZ 类型值时的变量展开错误。
用PowerShell精准提取ImagePath原始值（含环境变量）
某些服务（如 TrustedInstaller、WpnService）的 ImagePath 是以 %SystemRoot%、%windir% 等环境变量形式存储的，服务管理器会自动展开，但你有时需要看到原始注册值来排查变量是否被篡改或未定义。
按下 Win + X → 选择“终端（管理员）”，运行以下命令：
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\TrustedInstaller" -Name ImagePath | Select-Object -ExpandProperty ImagePath
输出类似 %SystemRoot%\servicing\TrustedInstaller.exe —— 这才是注册表里真实存的值，不是展开后的物理路径。
若需批量检查多个服务，可把服务名替换为变量，例如：Get-Service | Where-Object {$_.Status -eq 'Running'} | ForEach-Object { $p = (Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\$($_.Name)" -Name ImagePath -ErrorAction SilentlyContinue).ImagePath; if($p) { "$($_.Name): $p" } }。
使用Process Explorer确认正在运行的服务进程真实映像路径
服务管理器和注册表查到的是“计划启动路径”，而 Process Explorer 能告诉你此刻**实际加载的是哪个文件**，这对识别被劫持、替换或重定向的服务进程至关重要。
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
第一步：访问微软 Sysinternals 官网下载 Process Explorer：https://learn.microsoft.com/zh-cn/sysinternals/downloads/process-explorer，解压后双击 procexp64.exe 运行（无需安装）。
第二步：点击顶部菜单栏 View → Select Columns… → 切换至 Process Image 选项卡 → 勾选 Image Path 和 Command Line → 点击“确定”。
第三步：在主窗口按 Ctrl + F 打开搜索框，输入服务名关键词（如 wuauserv 或 spooler），回车后高亮匹配进程。
第四步：找到对应进程（如 svchost.exe），查看其 Image Path 列内容——如果是 C:\Windows\System32\svchost.exe -k netsvcs -p -s wuauserv，说明它确实是标准系统宿主；若显示 C:\Temp\svchost.exe 或路径中含 AppData，则该服务已被恶意替换。
【关键区别】 注册表 ImagePath 决定“该服务想启动谁”，而 Process Explorer 的 Image Path 显示“它现在正在运行谁”——两者不一致即存在运行时劫持风险。
验证服务路径是否存在且可访问
即使注册表和进程都显示路径，也得确认那个 .exe 文件真的能被系统读取，否则服务启动时仍会报“找不到指定的文件”。
在 PowerShell（管理员）中执行：Test-Path "C:\Windows\System32\spoolsv.exe" -PathType Leaf。
返回 True 表示文件存在且可被当前权限访问；若返回 False，再检查是否因权限限制无法读取（尤其是 WindowsApps 或受控文件夹中的路径）。
对于隐藏路径（如 C:\Windows\WinSxS 下的组件），不要双击进入资源管理器，而是复制完整路径 → 粘贴到地址栏 → 回车，绕过默认隐藏策略强制访问。
如果 Test-Path 失败但你知道文件物理存在，可能是 ACL 权限丢失——此时需用 icacls "路径" /reset /T 重置继承权限，否则服务无法加载。
