什么是 Service 权限？
-
定义: Service 是一个特殊的 SID（S-1-5-6），表示以服务登录类型（Logon Type 5）运行的系统进程。它通常由 Windows 服务控制管理器（SCM）启动的服务使用。
-
作用: 用于标识和管理以服务身份运行的进程（如后台服务或系统组件），确保这些进程拥有适当的权限。
-
典型场景: 系统服务（如 Windows Update、DNS Client）启动时，使用 Service 登录类型。
Service 权限的具体能力
Service 的权限取决于运行服务的账户及其配置，默认包括：
-
文件和文件夹管理:
-
默认权限:
-
取决于服务运行的账户（如 SYSTEM、Local Service、Network Service）。
-
如果以 SYSTEM 运行，可访问几乎所有文件。
-
如果以 Local Service 或 Network Service 运行，仅限于读取和执行权限（除非明确授权）。
-
-
限制:
- 无独立的文件访问权限，权限继承自服务账户。
-
-
系统配置:
- 可通过服务影响系统功能，但具体权限由账户决定。
-
网络访问:
- 取决于服务账户（如 Network Service 可使用机器凭据访问网络）。
-
特权:
- 默认拥有 SeServiceLogonRight（以服务身份登录的权限），由系统分配给服务进程。
与 Local Service、Network Service 和其他登录类型的对比
-
与 Local Service 的对比:
-
Local Service: 以低权限运行，网络访问为匿名。
-
Service: 通用服务登录类型，权限由具体账户决定。
-
-
与 Network Service 的对比:
-
Network Service: 以机器凭据访问网络。
-
Service: 可使用任意账户运行服务（包括 Network Service）。
-
-
与 Administrators 的对比:
-
Administrators: 拥有完全控制权。
-
Service: 权限由服务账户决定，通常受限。
-
-
与 TrustedInstaller 的关系:
- Service 无权修改受 TrustedInstaller 保护的文件，除非以高权限账户运行。
Service 权限的特点
-
动态性: Service 不是固定组，而是登录类型的标识，权限随服务运行账户变化。
-
非交互性: 表示后台服务进程，不涉及用户交互。
-
广泛性: 适用于所有以服务方式启动的进程。
如何管理 Service 权限？
-
查看服务账户:
- 服务管理（services.msc）→ 找到目标服务 → 属性 → 登录选项 → 查看运行账户（如 SYSTEM、Local Service）。
-
配置服务:
-
修改服务账户：
-
右键服务 → 属性 → 登录 → 选择账户（或使用内置账户如 Network Service）。
-
命令行：sc config 服务名 obj= .\用户名 password= 密码。
-
-
-
分配特权:
-
本地安全策略（secpol.msc）→ 本地策略 → 用户权限分配 → “以服务身份登录”：
- 默认分配给 SYSTEM、Local Service、Network Service，可添加其他账户。
-
-
检查日志:
- 事件查看器（eventvwr.msc）→ Windows 日志 → 安全 → 查看登录类型（Logon Type 5 表示服务登录）。
实际应用场景
-
系统服务: Windows Update 以 SYSTEM 运行，拥有高权限。
-
网络服务: DNS Client 以 Network Service 运行，访问网络资源。
-
自定义服务: 企业应用以特定账户运行服务，权限由账户控制。
注意事项
-
权限依赖账户: Service 权限由运行服务的账户决定，无独立权限定义。
-
安全性: 高权限服务（如 SYSTEM）需谨慎配置，避免被恶意利用。
-
服务账户选择: 根据需求选择 SYSTEM、Local Service 或 Network Service。
总结
Service 权限是为以服务身份登录系统设计的权限状态，广泛用于后台服务进程。它的权限范围完全取决于运行服务的账户（如 SYSTEM、Local Service、Network Service），无独立权限定义。相比 TrustedInstaller，它权限较低；相比交互式登录（Console），它专注于非交互任务。管理上通过服务配置和安全策略控制，适用于系统和应用程序服务运行。