组件与工具

WMIC

WMIC（Windows Management Instrumentation Command-line）是Windows操作系统的命令行工具，属于Windows管理工具类别，主要功能为通过命令行接口执行系统管理任务及查询信息。

例如，运维人员在命令提示符中使用 WMIC 查询电脑型号、磁盘序列号、网卡信息或进程列表时，本质上就是在通过 WMIC 调用 Windows 管理信息接口来获取系统数据。

svchost

svchost.exe 的全称是 Service Host，即“服务宿主进程”。它是 Windows 操作系统中的系统进程，主要功能为承载和管理系统服务，尤其是以 DLL 形式运行的服务组件。

例如，Windows Update、DHCP Client、DNS Client、Themes 等系统服务，很多都是由一个或多个 svchost.exe 进程统一承载运行的，因此在任务管理器中经常能看到多个 svchost 实例。

conhost

conhost.exe 的全称是 Console Window Host，即“控制台窗口宿主进程”。它是 Windows 操作系统中的系统进程，主要功能为为命令行程序提供控制台窗口支持，并处理控制台界面的显示与交互。

例如，当用户打开 cmd、PowerShell，或者一些需要弹出命令行窗口的安装程序、打包工具时，conhost.exe 往往会随之启动，用来负责控制台窗口的显示、输入和输出。

DLL

DLL（Dynamic Link Library，动态链接库）是 Windows 中用于复用代码和资源的文件格式，通常以 .dll 为扩展名。它不是一个可以独立双击运行的完整程序，而是由 EXE、服务或其他 DLL 在需要时加载，并向调用方提供函数、类、资源或驱动支持。

可以把 DLL 理解为“供多个程序按需使用的功能模块”。例如 kernel32.dll、user32.dll、advapi32.dll 都向程序提供常见的 Windows 能力；许多软件也会把自己的功能拆分成多个 DLL，便于更新和复用。

加载方式

程序可以在启动时通过导入表自动加载 DLL，也可以在运行中按需加载。后者常见于插件、可选功能和硬件兼容模块。

应用程序（EXE）
↓
加载 DLL
↓
调用 DLL 导出的函数或使用其中的资源

DLL 的“存在”不代表它一定正在运行。只有某个进程将它映射到自己的地址空间并执行其中代码时，才会在该进程的模块列表中看到它。一个 DLL 也可以同时被多个进程加载；每个进程仍有自己的虚拟地址空间和运行上下文。

安全关注点

DLL 是正常的软件构成方式，但也经常出现在安全告警和恶意代码分析中。排查时可重点关注：

• 加载来源：系统或可信软件是否从预期目录加载模块；临时目录、下载目录、用户可写目录中的 DLL 值得进一步核实。
• 签名与版本：模块是否有可信签名，签名主体、文件版本和所属软件是否匹配。
• 加载链路：哪个进程加载了它、父进程和命令行是否合理、加载后是否出现异常网络或进程操作。
• 搜索路径风险：如果软件未使用明确路径，而是依赖 DLL 搜索顺序，攻击者可能将同名 DLL 放入可被优先搜索的位置。这类风险通常称为 DLL 搜索顺序劫持或 DLL 劫持。

单独发现一个非微软 DLL 并不足以定性恶意：浏览器、EDR、输入法、硬件驱动和企业客户端都会加载大量第三方模块。更可靠的判断应结合路径、签名、宿主进程、创建时间和后续行为。

COM

COM（Component Object Model，组件对象模型）是 Windows 的二进制组件标准。它规定了一个组件如何暴露对象、如何让其他程序创建并调用对象，以及如何在不同进程、甚至不同主机之间完成通信。

COM 关注的不是“一个文件”，而是“一个可被调用的对象及其接口”。例如资源管理器扩展、Office 自动化、浏览器控件、系统管理组件等，都可能以 COM 对象的形式被其他程序使用。COM 组件的实际实现经常位于 DLL 或 EXE 中，但 COM 本身并不等同于 DLL。

基本结构

COM 对象通常使用以下标识和注册信息被定位：

• CLSID：组件类标识符，用于唯一标识可创建的 COM 类。
• ProgID：更易读的程序化名称，例如某些自动化组件会使用它。
• IID：接口标识符，用于标识对象支持的某个接口。
• 注册表项：通常位于 HKCR\CLSID（实际由用户级和计算机级类注册信息合并呈现），描述 CLSID 对应的服务器位置和配置。

当程序请求创建一个 COM 对象时，系统会根据 CLSID 查找注册信息，再加载相应服务器或与之通信：

调用方
↓  CLSID / 接口
COM 运行库
↓  查询注册信息
组件服务器
├─ 进程内服务器：DLL（InprocServer32）
└─ 进程外服务器：EXE / 服务（LocalServer32 等）

进程内 COM 组件直接作为 DLL 加载到调用方进程中，调用效率高，但组件崩溃可能影响宿主；进程外 COM 组件运行在独立进程中，隔离性更好，跨进程调用通常会借助 RPC。跨主机使用的 COM 通常称为 DCOM。

安全关注点

COM 的注册、激活和跨进程调用机制都值得关注：

• 异常注册项：CLSID 指向用户可写目录、临时目录或未知 DLL/EXE 时，应检查其来源和签名。
• COM 劫持：攻击者可能在用户级注册表中为特定 CLSID 写入恶意服务器路径，使部分程序在创建该组件时加载攻击者的代码。这是一种常见持久化思路。
• 宿主关系：dllhost.exe、svchost.exe 或业务软件启动的 COM 服务器并不天然异常；需要结合其加载模块、启动参数、账户和注册表映射判断。
• 权限边界：组件激活与对象调用会受到当前用户、完整性级别、DCOM 配置和组件自身访问控制的影响，不能仅凭某个 CLSID 存在就推断可以被任意程序利用。

COM 与 DLL 对比

COM 和 DLL 常被混为一谈，是因为许多 COM 组件确实由 DLL 实现；但两者处于不同抽象层级。DLL 是代码的交付和加载形式，COM 是组件对象的接口、激活和通信规范。

维度	DLL	COM
核心概念	可被进程加载的动态链接库文件	可被创建和调用的组件对象模型
关注对象	导出函数、资源、模块加载	对象、接口、类注册与对象激活
常见载体	.dll 文件	DLL、EXE 或服务均可实现
调用方式	导入表或运行时解析函数地址	通过 CLSID 创建对象，再通过接口调用
运行位置	通常加载到调用方进程	可进程内，也可运行在独立进程或远程主机
跨进程能力	DLL 本身不提供	可通过 COM 代理和 RPC 完成
典型安全问题	恶意模块加载、DLL 劫持、侧载	COM 劫持、异常组件注册、DCOM 配置风险

可以用下面这句话概括两者关系：

DLL 可以是 COM 的实现载体，
但 DLL 不会天然成为 COM 组件；
COM 组件也不一定必须由 DLL 实现。