| 加固项 | 服务路径劫持面清理 |
|---|---|
| 适用平台 | Windows Server / Windows 10+ |
| 风险等级 | 中 |
| 检查点 | 无“含空格且未引号包裹”的服务 PathName（或中间目录不可写） |
审计
审计
Get-CimInstance Win32_Service | Where-Object { $_.PathName -match '\s' -and $_.PathName -notmatch '^\s*"' } | Select-Object Name, PathName, StartMode修复示例（先导出原值再改）
修复示例（先导出原值再改）
# 记下原 binPath，然后用 sc 改写为带引号形式：
sc.exe qc "MyService"
# sc.exe config "MyService" binPath= "\"C:\Program Files\App\svc.exe\" -arg"
# 改完 sc query 确认服务可启动并非所有候选路径都可利用：只有中间存在可写目录才形成劫持链；评估与修复都要逐服务验证。