狗年伊始的空旷: 计算机与 Internet

乐天's profile狗年伊始的空旷PhotosBlogListsMore

Tools

Help

Blog

Summary

Listed by:

<< First < Previous Next > Last >>

April 10

word文档解密的方法（越来越难找到了，资料记录）

偶尔需要解密一个word,居然发现这篇文章越来越难找到了，留个资料吧！

德国著名电脑杂志《PC Welt》（PC世界）近日批露，微软最新版本Office软件Word 2003中存在安全隐患，可以轻易破解“保护文档”的密码！

熟悉MS Office的用户都知道，“保护文档”是Word的一项功能，让用户在菜单中选择“工具→保护文档”选项，“保护内容”选择“窗体”并设置一个密码，之后除非用户知道密码，并在菜单中选择“工具→解除文档保护”后正确输入密码，否则对此文档只能观看而不能修改。这项功能原本一直为大量有特殊需要的用户提供了方便，安全性也较高，直到Word 2003出现。某安全组织Guardeonic Solutions的成员 Thorsten Delbrouck Konetzko公布，他发现了一个简单的方法破解“保护文档”的密码，使用的主要工具竟然就是微软最新的Word 2003。

破解方法如下：

    1、首先用Word 2003打开已设置有密码的“保护文档”（原始DOC文件），此文档可由Word 2000/XP（2002）/2003创建（保护文档创建方法见上文）；
    2、在菜单中选择“文件→另存为Web页”，保存为HTML文件后关闭Word；
    3、用“记事本”或其他字处理软件打开上步中保存的HTML文件；
    4、查找“<w:UnprotectPassword>”标签，“<w:UnprotectPassword>”和“</w:UnprotectPassword>”之间的为你设置的密码加密后的十六进制格式，如下图：

    5、记录密码字符，例如本例中“3E36C48A”，关闭“记事本”；
    6、使用十六进制文件编辑器（例如WinHex或者UltraEdit）以十六进制（Hex）格式打开原始DOC文件；
    7、反序查找记录的十六进制密码字符，例如本例中查找“8A C4 36 3E”；
    8、将查找到的4个双字节均用“0”覆盖，保存文件，关闭十六进制文件编辑器；（相信即使破解经验极少的人对步骤6~8操作起来也是易如反掌）
    9、使用Word打开原始DOC文件，在菜单中选择“工具→解除文档保护”，密码为空。

至此，设置有密码的“保护文档”完全被破解，与没有经过保护的文档毫无区别。《PC Welt》还以次假设了一种更恶毒的情况：入侵者破解了文档并作了修改，之后再次利用十六进制文件编辑器将原始密码（如上例中“8A C4 36 3E”）写回，这样表面看起来“保护文档”好像是原封未动，实际上内容早已乾坤扭转了。

有意思的是，老版本的Word虽然也能将“保护文档”另存为HTML文件，但是其中却没有“UnprotectPassword”标签，不知为何微软要在Word 2003中添加入这个“强大的功能”。

Delbrouck在2003年11月就此漏洞通知了微软，但是直到上星期微软宣称不会发放补丁解决这个问题，于是Delbrouck于上星期在SecurityFocus网站公布了他的发现。微软随后更改了一篇名为“Overview of Office Features That Are Intended to Enable Collaboration and That Are Not Intended to Increase Security”的技术支持文档，并称此问题并非漏洞，而是新版本的一个“Feature”（特性），建议用户仅在可信赖的范围内使用“保护文档”功能，并且声称此项技术仅仅用来防止文档被同事无意中更改，不具备更高安全性。

看来微软是不打算彻底解决此问题，建议用户如有需要重点保护的敏感文件，使用“保护文档”则要慎之又慎。

March 09

[ArcEngine开发感想]转载

用AO开发已经有一段时间了,对AO开发的模式也有一定的了解了！AO是ESRI开发的一组COM的集合，利用它用户可以进行二次开发，以快速建立满足自己要求的GIS应用．

    AO开发就是利用一些类和这些类的接口进行开发．

    1、抽象类，类，和组件对象类

    抽象类是不能实例化的，抽象类中是一系列抽象的方法，故是不能实例化的，它只能被继承。不同的类可以继承同一个抽象类，但内部对同一方法的实现可能是不一样的。如AO中的接口都是抽象类。用户可以在类中实现这些接口，也就是继承这些接口。如用户可以在自己的类中实现ICommand接口，生成一个Command，或者实现ICommand、ITool接口，生成一个Tool.

    类是不能直接实例化的，它只能作为另一个类的属性或者被其它类的对象实例化。如Sde3Workspace Class、Sde4Workspace Class，FeatureClass,FeatureDataset它们是不能通过New直接实例化的，只能通过SdeWorkspaceFactory CoClass这个组件对象类所实现的IWorkspaceFactory接口里的Open方法来实例化。FeatureClass,FeatureDataset也是不能直接实例化的，他只能通过IFeatureWorkspace接口里的CreateFeatureClass，CreateFeatureDataset方法来实例化。

    组件对象类能够通过New来直接实例化。如 SdeWorkspaceFactory，QueryFilter它们是可以通过New来直接实例化的。

    2、继承

    3、类和接口的实现

    一些类可能实现多个接口，一个接口也可能被多个类所实现，但不同的类实现同一个接口可能内部并不是一样的，这就实现了多态性．如ILayer这个接口被多个接口实现，其中包括FeatureLayer和RasterLayer，但这两个类实现ILayer接口时内部实现肯定是不一样的！但在外部对ILayer的操作是一样的！

    4、接口之间的相互查询

    一个类可以实现多个接口，每一个接口可能包括一系列的属性和方法，但有时候一个接口里可能没有你想要的方法和属性，可能在这个类所实现接口的另一个接口里，这就涉及到从一个接口转到这个类所实现接口的另一个接口里，对于类所实现的一系列接口里，接口间是可以相互跳转的。如我想对一个feature的属性进行修改，给的就是这个feature的IFeature接口，我们知道对一个feature进行修改必须要把这个feature所在的featureclass的工作空间设为可编辑，且编辑结束后要结束编辑，这就要通过这个IFeatue接口来获得这个这个feature所在的IFeatureClass接口和IWorkspace接口，我们知道IFeatue接口里有一个object属性，这个属性返回的是IObjectClass,而FeatureClass这个类实现了IObjectClass和IFeatureClass这两个接口，这样就可以通过接口跳转从IObjectClass转换成IFeatureClass，这样就可以获得feature的IFeatureClass接口，其代码(c#)如下：

    IObjectClass i_objcls=I_FtrCur.Class;
    IFeatureClass i_ftrcls=(IFeatureClass)i_objcls;

    Feature所在的FeatureClass的IFeatureClass接口有了，还要这个FeatureClass所在的工作空间的IWorkspace接口，获取这个接口可以通过两个方法

    一、通过IFeatureClass接口里的FeatureDataset属性来获得IFeatureDataset接口。

    IFeatureDataset接口里有一个Workspace属性返回IWorkspace接口，但这种方法有一个特别说明就是这个FeatureClass必须是一个FeatureDataset的成员，如果这个FeatureClass是一个独立，这个FeatureDataset返回的就是一个空值。所以这种方法对FeatureClass是一个FeatureDataset的成员时是适用的，独立时就不适用了。

    二、通过接口转换。

    FeatureClass实现了多个接口，其中有IDataset接口和IFeatureClass接口，我们已经有了IFeatureClass接口，就可以通过接口跳转来获得IDataset接口，在IDataset接口里有一个Workspace属性返回IWorkspace接口，这种方法对于FeatureClass是一个FeatureDataset的成员和FeatureClass是独立的这两种情况都是可以的。代码如下：

    IDataset i_ftrDset=(IDataset)i_ftrcls   //接口跳转
    IFeatureWorkspace i_wks=(IFeatureWorkspace)i_ftrDset.Workspace

AO 入门秘籍[转帖]

我们现在绝大部分时候要做的---就是要利用ESRI提供的这些AO组件来进行积木式的组装任务。 AO已经提供了许多底层的基本功能，而你的任务是按照应用需求将这些底层功能组装集合成一个更强大的COM对象。我们现在知道AO是基于微软的COM技术来构建的，因此它的开放性和扩展性很强大。这儿的开放性是指在开发环境的选择上可以有VBA、VB、VC++、DEPHI等多种支持COM标准的开发工具，而扩展性是指AO组件没有提供的功能，如需要定义一种新的数据格式，你就可以利用COM技术来写自己的COM组件，对AO组件库进行扩展补充。
至于为什么AO会基于COM技术，就我个人而言，目前和以后GIS的发展会和主流IT技术融合的越来越紧密，毕竟任何一个软件产品最终是要拿来用的，所以除了提供专业的GIS功能外，从易用性和扩展性来说也是极其重要的，而COM技术提供了一个解决之道。
如何进入AO软件的领域开发？对于高级的AO程序设计人员我想必须跨越四大技术障碍：
1．面向对象技术思想；
2． COM技术；
3． AO各组件对象的层次组织和相互关系；
4．支持COM的各种开发工具及其环境（如VB、VC、DEPHI等）
真正属于ESRI自己的东西无非就是这套AO组件库。对于初次进入AO开发领域的人员来说，我个人觉得（至于COM还有其它暂时可以先放一边，照猫画虎完成许多任务还是没有问题的了）可以先从ArcGIS Desktop的应用开始，对AO的层次及相关概念有一个了解（如Map、Layer、View、Label、支持的数据格式等）

     Arcobjects Developer Kit
Help --- 包含开发帮助文件：AODev.chm, ArcObjects.chm等
Kits --- 附加的开发者素材诸如投影引擎头文件，类别ID文件和ESRI 示例命令的源代码（在最新的8.2版本中，该代码位置有所变化）
Object Model Diagrams --- 包括所有的PDF格式对象模型图
Samples --- 包含所有示例工程文件的源代码
Utilities --- 包含ESRI 对象浏览器等工具
1．5 AO开发资源
1．《ArcObjects Developer Help》 ----- 这是AO开发的首选资源，个人觉得一定程度上甚至可以和微软的MSDN相媲美。不管是AO的基础COM、AO的对象层次图都提供了说明，此外还提供了大量的开发示例。
2．《ArcObjects Online》 ----- 提供了最新的AO组件库文档，其中有一个关于AO的技术论坛相信会让大家有很多意外的收获；
3．《Exploring ArcObjects》 -----一本很不错的AO技术文档，对AO的开发进行了很好的组织，而且有大量的示例，可以随时复制利用；
4．《Building a Geodatabase》 -----应用都是围绕数据来展开的，这本书主要是用来设计和创建Geodatabase的，但理解和掌握Geodatabase的层次和建摸方法，对AO的开发是很好的补充。
5．《Microsoft MSDN》----即使你的AO开发工具不是微软的，也建议安装一套完整的MSDN，想多了解和应用COM进行设计开发，MSDN是个宝藏。
       终于开始COM了我想许多AO的开发者对此都会有不同的感受。COM是Microsoft的Component Object Model缩写，它不仅定义了组件程序之间进行交互的标准，而且也提供了组件程序运行所需要的环境（COM本身要实现一个称为COM库(COM library)的API，它提供诸如客户对组件的查询，以及组件的注册/反注册等一系列服务，一般来说，COM库由操作系统加以实现，我们不必关心其实现的细节，象大家经常看到的ActiveX，DirectX,OLEDB都是基于COM技术的），主要应用于Microsoft Windows操作系统平台上。COM通常的发布形式是：以win32动态链接库(DLL)或可执行文件（EXE）的形式发布。

    COM的目标和特性
Ÿ 建立在二进制代码级上的可重用性（通过包容和聚合）；
Ÿ 语言无关性，只要其能生成符合COM规范即可；
Ÿ 对使用COM对象的客户程序而言的进程透明性；
    对象是COM的基本要素之一，和C++中的对象不同的是其封装特性是真正意义上的封装，对于对象使用者（通常称为客户）而言是不可见的，此外，COM对象的可重用性表现在COM对象的包容和聚合，一个对象可以完全使用另一个对象的所有功能，而C++对象的可重用性表现在c++类的继承性。（强调了 COM 和C++的区别！！我忽视了这个东东一年）

     接口是指组件对象的接口，它是包含了一组函数的数据结构，通过这组数据结构，客户代码可以调用组件对象的功能，组件对象间的访问都是通过接口来进行的。接口设计必须满足：
1．必须直接或间接地从IUNKNOWN接口继承（该接口在AO中是省缺的）；
2．接口必须有唯一的标识符号；接口不变性，一旦分配和公布了IID，接口定义的任何因素都不能改变。
    用COM开发意味着使用接口，也可以称为基于接口的设计模型。对象间的所有通信都是通过它们的接口来进行的，COM接口是抽象的，意味着相关的接口没有实现，和接口相关的代码来自于一个类实现。如何实现接口对于不同对象是不同的，因此对象只是继承接口的类型，而不是它的实现，这称为类型继承。功能用接口被抽象地构造，并且用类去真正实现。在COM中类和接口通常被当作‘做什么’和‘怎么做’，接口定义一个对象能做什么，类定义它怎么去做。（这一段是理解COM的最实质的话）
    COM类提供了一个或多个接口相关的代码，因此功能实体封装在类中。几个类可以有同样的接口，但是它们的实现可能是极不相同的。通过实现这些接口，COM实现了面向对象的多态性，COM不支持多重继承概念，然而，这不是一个缺点因为一个类可以实现多个接口。

COM对象的接口可以是双接口，双接口不同于普通接口（Custom Interface）之处在于双接口是从Automation基本接口Idispatch继承的，而普通接口是从Iunknown接口直接继承来的，缺省的接口模型是双接口模型是双接口。（对这一段本人不很理解希望斑竹大哥解释一二）

     COM调用既可以是单向的（即客户程序创建组件对象，然后客户程序调用对象所提供的功能，在适当时候再把对象释放掉），通常称为入接口。
    如果一个COM对象支持一个或多个主动与客户程序进行通信的接口，则这种接口称为出接口，是因为这些接口并不由对象实现，而是由客户程序实现。
    类型库(Type Library) 一个类型库被作为一个接口定义语言（IDL）文件的二进制版本，是一系列COM对象和接口的集合，并被编译进一个形如OLB、DLL或OCX这样的二进制文件中。为了支持一个不依赖于开发语言工具的组件集，关于ArcObjects库所有相关的数据都被打包进esricore.olb的类型库，它就包括了一个所有coclasses的二进制描述，接口，方法和服务器类型。
    Microsoft提供了多个COM接口用于类型库，这两个接口是ITypeInfo 和ItypeLib。利用标准的COM接口，不同的开发工具和编译器能够获得由一个特定库支持的coclasses和接口有关信息。（这一段也需要斑竹大哥解释一下）
    在第二章中我们谈到了许多关于COM的概念，象类，对象，接口，方法等，那么一个实际的AO开发中是如何体现这些COM概念的呢---既然AO是基于COM的。在本节中，我将使用VB代码来说明如何使用AO的对象，并对如何阅读OMD（Object Model Diagram）进行介绍。
3．1 AO对象的使用
让我们直接用AO相关的代码来开始这段旅程吧，如果你觉得的是的话。：）
Dim pMap as IMap
Set pMap = New Map
PMap.name =”地图名称为-Tour”
…………………….
…………………….
Pmap.ClearLayers
Pmap.Clear //ERROR
如何运行这段代码是下一章的内容，先看看为什么代码会这么写吧，里面奥妙不少。
Dim pMap as Imap
我们知道在COM中对对象的访问是通过接口来完成，因此不能象许多可视化控件那样，可以直接通过其名称来调用属性或执行其方法。那么这句其实就是定义了一个接口变量（题外注释：其实准确地讲应该是一个指向接口的指针变量才对，好在VB把这一切都给演示了）。有了这个接口变量还不行，因为接口是定义在对象上的，那么下来的步骤应该是产生一个对象，而对象又是从那里来的呢---类。
于是就有了这样的代码Set pMap = New Map。
在这句中不单纯只是实例化出一个Map对象，并且将上句的pMap接口变量做为了该对象的缺省接口。OK，现在我们就可以通过这个接口来对地图名进行修改，或者调用ClearLayer方法来删除掉该地图中的所有图层了。再看看增加最后一句的执行情况—会出错，至于为什么，原因很简单，不同的接口中的方法或属性只能通过其接口来访问，而Clear方法属于Map类的另外一个接口IactiveView所有。可以通过查询接口（Query Interface）来’切换‘到IactiveView上。代码如下
Dim mView as IactiveView
set mview=pmap
mview.clear

在OMD中有三类class,分别是抽象类（AbstractClass）、组件类（CoClass）和普通类（Class）。抽象类的主要目的是为它的子类定义公共接口，一个抽象类将把它的部分或全部实现延迟到子类中，因此，一个抽象类不能被实例化。一个组件类对象可以被直接创建，普通类对象虽然不能直接创建，但它可以可以作为其它类的一个属性或者从其它类的实例化来创建。（终于明白了！！！！哈哈）

AO中的Dataset或Geometry classes是抽象类的示例，一个Geometry类型对象不能被创建，但是一个Polyline可以被创建。这个Polyline对象实际上在类的基础上实现了Geometry中定义的接口，因此在基类对象中被定义的接口可以从coclass来访问.

12:56 PM | Add a comment | Permalink | Blog it | 计算机与 Internet

October 30

主板芯片组

转贴一篇关于主板芯片组的文章

Intel芯片组：
一、845系列芯片组
包括：支持SDRAM的845芯片组、支持DDR266的845D芯片组、支持DDR266以及FSB533的845E/G/GL芯片组、支持DDR333以及FSB533的845PE/GE/GV芯片组等诸多子产品。
845系列芯片组的82845E/82845GL/82845G/82845GV/82845GE/82845PE，除82845GL以外都支持533MHz FSB（82845GL只支持400MHz FSB），支持内存方面，所有845系列北桥都支持最大2GB内存。82845GL/82845E支持DDR 266，其余都支持DDR 333。除82845GL/82845GV之外都支持AGP 4X规范。
所有的533Mhz 外频芯片组都将支持Hyper-Threading（超线程技术）。但对于845G 芯片组来说，即使升级BIOS也不能支持Hyper-Threading ，因为它的硬件架构不允许其支持Hyper-Threading。而i845E 和850E就可以通过升级BIOS来获得支持。Intel将发布845G B-step以取代845G A-step芯片组，而且之后的845GV、GE、PE和Springdale都将支持Hyper-Threading。
845E芯片组对于845D芯片组来说，其实并没有重大改变，仅仅是使用了支持USB2.0的ICH4和支持FSB533而已，但845D芯片组也同样能够支持FSB533，而且经过超频之后内存子系统性能更高，整体甚至超过了845PE芯片组。这也显示出了Intel芯片组更新速度快，但实际功能改进甚微。

二、875、865系列芯片组
自从英特尔FSB（前端总线）800M Hz的新一代Pentium 4处理器发布以后，能够完全支持FSB 800M Hz Pentium 4处理器便只有英特尔i875P芯片组。无论产品规格还是性能，英特尔i875P芯片组都在P4平台上所向披靡，具备了400MHz的双通道 DDR技术，还首度加入了一项Intel PAT技术（Intel Performance Acceleration Technology，不过近期似乎Intel并不认可PAT），支持ECC内存校验。i875P的强大性能在这里就不赘述，但是从这些高新技术上，我们不难看出875P这款芯片的是针对初级工作站和高端用户而设计。为了扩张产品线，英特尔推出取代845PE/GE的865P/PE/G，在发布前后短短一个月中，许多品牌的i865主板就已经出现在市场上。

芯　　片　　875P　　　　865G 　　865PE 　　　　865P
开发代号 Canterwood   Springdale-G　Springdale-PE　 Springdale-P
前端总线 800/533MHz 800/533/400MHz 800/533/400MHz   533/400MHz
总线带宽 6.4GB/Sec   　6.4GB/Sec 6.4GB/Sec 　　4.2GB/sec
支持内存 DDR400/333 DDR400/333/266　 DDR400/333/266　DDR333/266
内存模式　双通道　　双通道　　　   　双通道   　　双通道
AGP界面　　8X 　　 8X 　　　　　　8X 　　　　　8X
整合图形芯片   否　　是　　   　　否　　　　　否
CSA设置   支持　　支持　　   　　支持　　　　支持
ICH芯片　　 ICH5 　　ICH5 　　   　　ICH5 　　　ICH4/ICH5
SATA　　 SATA 150 　 SATA 150 　　　SATA 150 　　SATA 150

　　英特尔865系列一共分了三个类型，分别是自带显卡的865G，不带显卡的865PE和仅支持FSB 533的865P。
　　865芯片组不象875P一样针对高端市场，但同875P相比，它的功能却并没有缩水多少，它同样支持FSB 800MHz的P4 处理器，同时又支持现有的Northwood的P4处理器，以及未来的0.09微米工艺的Prescott处理器。内存方面支持DDR 266/333/400双通道内存，支持AGP 8X的显卡接口，并且还有英特尔全新的Communications Streaming Architecture（通信流架构）用于支持千兆以太网。865北桥芯片的针脚数目一共是932个，采用了 FCBGA的封装形式，外观就象以前的铜矿PIII处理器，而且需要对外露的核心进行散热处理，所以北桥上都会到看有散热片，甚至带散热风扇。i865支持双通道内存模式，不过工作频率就和CPU处理器的总线频率分开，就是说800MHz FSB的Pentium 4处理器，也可以搭配DDR266的内存。由于i865内部由两个不同的内存控制器组成双通道的模式，所以用户可以选择用一条内存，使用单通道模式，如果使用双通道模式的话，就要装上两条规格相同（频率，容量）的内存在不同的内存控制器插槽上，这样才会达到最佳的双通道性能。
　　在南桥方面，865和875P一样使用了ICH5（个别品牌会使用ICH4），加入了一个串行ATA功能，支持软RAID。在南桥上加入这些功能，还是前所未有的，这给不少RAID芯片厂商带来巨大的压力。考虑到目前还是新旧设备的交替时期，865系列主板上仍然会保留着IDE接口进行过渡。在接口上，USB2.0接口达到了8个，无论从480MB/S的传输速率或者从接口个数上来说，都完全满足个人电脑上设备的应用。

三、925、915系列芯片组
Intel的代号分别为Alderwood和Grantsdale系列芯片组，象征着这十年以来计算机平台的最大的转换工程：从LGA775的CPU插座到DDR2全新内存技术，还有革命性PCI Express显卡接口，而PCI Express规格更是将取代使用超过10年的PCI规格等等，计算机技术进入了一个新的纪元。
　　915/925系列芯片组我们可以认为是分别对应现有的865/875系列芯片组的升级版本。因此915芯片组将会一如865系列芯片组一样，有915P和915G两种，而其后还有915GV芯片组，一共是三款。如同命名一样，我们很清楚的可以知道，915G就是915P芯片组的内置显卡型号，而915GV跟915G的分别就是915GV省掉了915G上面的PCI Express x16显卡接口，从而使得价格更低廉。而925芯片组则相当于875芯片组的地位，只有925P一种。
Intel 925X、Intel 915G/P都具有一系列新功能，例如支持双通道DDR2内存、集成新型GPU Intel GMA 900、能够高速和GPU连接的PCI Express x16总线、更高保真度的HD Audio音频功能、支持RAID的4个串行ATA接口、IEEE 802.11b/g无线局域网功能等等。
　　在CPU支持上面，由于Intel同时推出了LGA775接口的全新Prescott处理器，使得这两款芯片组均会支持800MHz前端总线的LGA775接口的Intel处理器。但是在支持上面，925X只支持LGA775的奔腾4处理器，并不支持Socket478接口的奔腾4与赛扬处理器；而915系列芯片组则仍然支持现在的Socket478处理器，所以我们将会见到Socket478接口的915主板。在Intel的新一代主力芯片组上面，Intel的这两款产品理所当然的支持Intel的重要专利技术——Hyper-Threading处理器超线程技术。LGA775插槽与现在的Socket插槽有很大的不同，固定CPU的方式采用了顶盖固定方式，可以更稳妥的固定CPU的插槽上的位置。以前一直处于CPU底部的针脚将全部转移到主板的CPU插槽上面，但是这样的设计使得主板上面的CPU插槽显得“弱不禁风”，所以现在的LGA775 CPU插槽上面都特别安装了一个盖子，以免插槽上面的针脚损坏。
而在内存支持上面，两款芯片组都将支持双通道DDR2-533内存，可以提供搞到8.5GB/S的带宽。而在内存方面，两款芯片组的分别是比较大的，作为顶端平台芯片组的925X系列芯片组仅仅支持DDR2内存，而且将装备内存的PAT优化技术的升级版本Stalemete内存优化技术（俗称PAT2内存优化技术），而且支持内存的ECC校验功能；而作为中低端主力平台芯片组的i915系列芯片组则同时支持DDR2/DDR内存，并且不支持PAT/Stalemete内存优化技术和内存的ECC校验功能。目标是确保现有平台向PCI Express顺利过渡、减轻用户负担。
915/925系列芯片组的问世带来的一个重要的改变就是PCI Express插槽的出现。如图所示，两款芯片组都将支持一个PCI Express x16显卡插槽接口，另外还支持4个PCI Express x1插槽接口。而根据我们所知，915集成的显卡Intel Extreme Graphics3将会使用PCI Express x1。而在ICH6南桥将会使用"Digital Media Interface"技术与北桥连接，这样可以给南北桥之间提供2GB/s的带宽。ICH6将会提供最多4个PCI Express x1接口，带宽达到了500MB/S。这样的带宽对于集成的Gigabit LAN技术有很大的改进。图中的PCI Express插槽比较长的是PCI Express x16，短的两根则是PCI Express x1。而PCI Express的运用，使得数据带宽传输率得到了明显改善。其中PCI Express x16使用16对线路，单向传输速度高达4GB/s，双向传输则是达到了惊人的8GB/s，相对于目前的AGP 8X的2.1GB/s的速度，足足提高了接近4倍。PCIE的众多优势让它在硬件厂商中左右逢源：
在硬盘的支持上面，这两款芯片组仍然保存了已经使用了多年的标准IDE接口，但是只保留了一个Ultra ATA接口，仅仅支持2个PATA设备。而现在越来越流行的SATA接口，这两款芯片组则支持4个，是865/875主板芯片组提供的SATA接口的两倍。但是据我们所知，915/925系列芯片组支持的SATA仍然是SATA-150标准，并不支持更高端的SATA-300标准。
SATA在问世之初，就与RAID功能紧密的联系在一起了。而当芯片组进化到915/925的时候，RAID功能也得到了进一步的开发。通过Intel的Matrix Storage技术，芯片组在支持传统的RAID0与RAID 1这两种磁盘阵列类型外，还支持全新的类似于传统的RAID 0+1的Matrix RAID方式。但是在RAID方面，仍然不支持PATA与SATA硬盘混合建立磁盘阵列的方式。
　　值得一提的是Matrix RAID模式，它是英特尔独创的阵列模式，该模式可以解决RAID 0系列安全性较差和RAID 1模式性能不尽如人意的问题。我们可以将Matrix RAID当作RAID 0和RAID 1的结合体，同样只需要两块硬盘就能够创建RAID，这两块硬盘被划分成两个区域，一个区域组成RAID 0阵列而获得高性能，操作系统及应用程序等要求高性能但对安全性不甚敏感的数据可以存储在这个区域里；而另一个区域则组成RAID 1阵列，用来存储那些重要的数据。这样可以使得我们的系统性能与安全兼而有之。
音频系统的改进是这次915/925芯片组相对与865/875芯片组的又一大改进。915/925的音频系统名为Azalia，是一个高保真的音频解决方案。而ICH6南桥具备“Intel High Definition Audio”技术使得现在芯片组直接可以提供杜比7.1声道输出。此外，Azalia的音频功能还支持DVD-Audio、96KHz/24bit多声道和192kHz/24bit双声道的音效输出，用户以后完全可以在PC上利用集成声卡就享受到影院般的音响效果。
915-G/915-GV芯片组则搭配了Intel的第三代图形处理外核Intel Extreme Graphics 3（Intel GMA 900），915集成的显卡Intel Extreme Graphics3将会使用一个PCI Express x1接口这是Intel首次实现了在集成图形内核直接支持DX9与OpenGL 1.4，这个核心支持DX9的像素着色引擎（Pixel Shader 2），并且带有四条像素管道，但是顶点着色引擎（Vertex Shader）仍然必须由CPU通过软件处理。尽管如此，当与DDR2-533内存配合使用时，与现有Intel 865G芯片组相比仍然会由具大的性能提升。在性能改进外，集成的图形引擎还支持双头显示功能，但是估计大部分主板将不会在主板上面直接提供两个图形输出接口。
北桥芯片集成了875主板的CSA通讯架构，为用户提供超速的网络联接速度。CSA技术是为千兆网卡所特别设计，为主板上的PHY层网络通讯设备提供了直接和MCH相连的通道，其通道达到了266MB/s的带宽，完全满足千兆网卡的带宽要求。另外，CSA技术大大减少了CPU的占用率，还可以更好的管理突发的大容量数据等。相对于以往的32位 PCI插槽来说CSA有带宽大，不占插槽和不占用其他设备带宽的优点，在搭配上千兆网卡芯片后就能实现千兆网络。
915/925的又一改变是引入了全新的ICH6南桥芯片。ICH6南桥一共有四款不同的型号：ICH6、ICH6R、ICH6W、ICH6RW。末尾的“R”代表具有RAID功能，“W”代表具有无线局域网（IEEE 802.11b/g）功能，“RW”则代表同时具有以上两种功能。南桥芯片ICH6能够支持最多4个PCI Express x1接冢黾恿肆礁龃蠥TA接口，一共提供四个SATA接口。Ultra ATA接口则被缩减为了一个通道。
925芯片的一个重要卖点就是其整合了无线WI-FI网关技术，它能使一个普通的个人电脑随时变成一个能在网络中连接其他设备的网关。但是Intel最后决定取消在915系列芯片组上集成WI-FI无线网关技术。集成的无线网络连接器可以支持最新的802.11b/g无线局域网功能。具有以下特性和优势：
　　Wi-Fi认证：单频带支持，提供802.11b/g网络连接能力，并经过Wi-Fi认证。
　　Intel PROSet软件：具有先进的profile管理支持功能，允许多个profile 以连接到不同的 WLAN网络；支持自动WLAN切换，可支持有线和无线局域网连接之间的自动转换；可支持思科、Check Point、微软和英特尔VPN连接；通过持久IP连接支持连续漫游；具有ad hoc连接向导支持，为ad hoc网络的安装设置提供简单界面。
　　性能：Intel Wireless Coexistence系统支持可帮助降低Intel PRO/Wireless和某些蓝牙设备之间的干扰；Per-packet天线选择可支持优化WLAN性能。
　
四、i945、955X芯片组
为了对应双核心处理器的推出，除了先前发表的Intel 955X芯片组之外，近日英特尔针对Pentium D处理器再推出Intel 945系列芯片组，我们现在就来看945、955芯片组到底为我们带来了什么创新吧！

1、支持双核心与1066Mhz前端总线频率
　1066MHz FSB在2004年曾经是Intel的一个焦点，i925XE配合1066MHz的Pentium4 3.46EE这个堪称为桌面平台的豪华配置。转眼间，来到了2005年，Intel的新一代基于1066MHz前端总线的处理器也即将面世，因此i945/955X芯片组全面对1066MHz FSB提供支持是意料之中的事情。
　　由于市场定位不同，作为925X/XE接班人的955X 可以支持FSB800/1066的Pentium 4/Pentium D/Pentium X处理器，而I945相对Intel 955X则要灵活一些，除了1066/800 MHz FSB外还支持533 MHz的FSB，这意味了945系列芯片组可以支持到目前的Pentium4 Extreme Edition处理器应该是不成问题(注意：945并不支持双核心Pentium Extreme Edition)。另外FSB 1066Mhz也意味了未来新版本的Pentium D处理器也可能会支持，不过时间的切入点则由Intel来定夺。
　　需要说明的是，945、955X芯片组是针对英特尔最新双核处理器所制定的芯片组，虽然这是Intel官方所公布的讯息，不过根据主板厂商的说法915芯片组支持双核心应该也是没有问题的，不过在目前没有915芯片组主板支持的情况下，945芯片组依然是正式认可的双核心王位继承者。
　　由于Pentium D的两个内核需要通过外部FSB进行通信，因此945/955X北桥内整合了一个协作仲裁装置来协调Pentium D两个内核的工作，这个功能有点类似于ATHLON 64 X2内部整合的System Request Queue(SRQ)仲裁装备。Pentium D每一个内核将其请求发送到在945/955X北桥的协作仲裁装置中，当获得资源之后请求将会被送往相应的执行核心，所有的过程都在945/955X北桥之内完成。虽然缓存的数据并不巨大，但由于需要通过北桥作出处理，无疑带来一定的延迟，他们之间的通信就会变得缓慢，这将大大影响处理器性能的发挥。

2、DDR2-667内存与MPT技术
　　整合双通道DDR2内存控制器一直是915、925芯片组的卖点之一，当然这个成功理念也在i945、i955X芯片组中得到体现。随着JEDEC通过DDR2 667的规格，945、955芯片组也正式支持更高速的DDR2 667内存规格，配合双通道的加持下内存频宽可高达10.7GB/s。此前，925XE虽然支持1066MHz FSB，但并不支持DDR2-667内存，内存与系统总线并不是同步运行，影响了整体性能的发挥。
　　现在这个问题在945、955X芯片组中得到完美解决。需要注意的是，针对主流市场的i945系列终于放弃了对DDR内存的支持，内存规格上也提升到双通道DDR2-667的水准。与Intel 955X相比，i945最大的不足就是仅支持最大4GB内存，也不支持ECC技术。
　　此外945、955芯片组与915、925芯片也一样有支持Intel Flex Memory技术，这个鲜少媒体提到的技术，很类似SiS科技的内存弹性技术、来提高内存控制器的兼容性。在915、925芯片组所采用Flex Memory技术存在一个BUG，那就是需要配备相同容量、相同规格的内存条才可以实现双通道模式，而这个缺点在945、955中得到改进—即便用户安装不同内存容量但相同规格同样也实现支持双通道传输模式。换句话说使用者再也不用担心两边通道的内存容量不同，而造成无法启动双通道传输模式的窘境，可说为双通道内存的宽容度跨出了一小步。
　　i955X芯片组可以支持DDR2-677/533内存、ECC功能，结合对EM64T技术，最大内存容量可以达到8GB。除此之外，i955 X北桥的内存控制器还引入了类似925X中的Stalemete内存优化技术，官方称呼为“Intel Memory Pipeline Technology (简称Intel MPT )”。它的主要应用原理是通过加速处理器和系统内存的传输速度，以获得更高的内存使用效率---可以提高5%-7%的性能。该架构还支持同步、异步的数据传输，使用独立的内部管线和仲裁机制，这有点类似于NF4-Intel的DASP 3.0内存优化技术。

3、955X芯片组，迷一般的SLI功能
　　i945、955X都象其前辈一样全面对PCI Express提供支持。945、955X都提供1个PCI Express x16接口用来直接取代传统的AGP图形接口。不过作为顶级解决方案，i955X也提供了nForce4 SLI IE类似的SLI解决方案。
　　从目前的技术资料来看，英特尔i955X Express芯片组可以提供多达24条PCI Express信道，但i955X主板支持的SLI模式将可能采用16x＋4x模式，其中4条PCI Express 信道却是由ICH7南桥提供，类似于VIA PT894 PRO所提供的SLI解决方案。我们知道nVIDIA的nForce4 SLI Intel Editon芯片组最多可以提供20条PCI Express信道，但是它是采用x8＋x8模式支持SLI，从性能上来说更加理想。
　　相对NVIDIA 的“双8X”SLI方案来说，Intel的x16+x4方案当只使用一块显卡时，x4的接口往往是浪费的，毕竟目前SLI的潜在客户还是使用单显卡为主；当使用两块显卡时，如果其中一块显卡工作在x4模式下，对性能的制约又比较明显，也影响了x16接口的显卡的发挥。而nForce4 SLI IE的方案则灵活得多，当只有一块显卡时，它可以享受最大的带宽；当使用两块显卡时，它们都工作在PCI-E x8模式下，性能平衡，而且带宽的损失不大，都不亚于AGP8x的显卡。
　那么从数字上看差了一倍，会不会性能也差一倍？而且由于PCI-E X4接口是由ICH7南桥提供支持，南、北桥之间的双向DMI总线带宽仅仅达到2GB/S，相对于PCI-E X4的带宽要小许多，同时数据在传输之间存在一定程度的传输延迟问题，这一切都对SLI系统性能也会造成很大的负面影响。而相关测试也证明了955X的SLI方案的一足。
　　不过，目前955X是否支持SLI技术仍是一个迷。虽然ASUS已经推出配备两条PCI-E X16插槽的P5WD2 Premium 955X主板，然而这两条插槽中只有一条真正属于PCI-Ex16插槽，另一条则是“通用型”的PCI-E插槽。“通用型”的背后喻示着这根插槽虽然能支持PCI-Ex16显卡，但它也能支持PCI-E x1，x2，x4，或x8规格的适配器。
　　由于PCI-E属于一个可伸缩性(也可以说是延伸性)的接口，当低规格PCI-E适配器插入高规格PCI-E插槽之时，主板可以自动调整PCI-E的带宽。而且从相关测试来看，虽然两块显卡都能被检测到(一块运行在PCIe x16模式下，另一块运行在PCIe x4模式下)，但nVIDIA的Forceware驱动程序却不允许用户启用SLI模式---因为nVIDIA的驱动程序看起来会自动检测芯片组型号然后再确定是否提供SLI选项。
　　但令人费解的是，华硕P5WD2 Premium 955x主板附赠了一块SLI适配器，这很显示的表明华硕显然知道955X是支持SLI功能的，毕竟SLI适配器可不便宜(需要花费5—10美元)。如果955X不支持SLI，那么ASUS提供这款SLI适配器的确极让人怀疑！希望nVIDIA对其它的低端的芯片组和主板开放SLI技术只是一个时间问题。
　　据传，Intel正在研发与i955X北桥芯片组配套的一种芯片，通过这种芯片将提供更多的PCI Express信道，可以提供最佳的SLI配置，即双x16规格。此外，i945、955X所搭配的ICH7南桥也提供对PCI Express的支持。除了ICH7标准版支持4条PCI Express信道外，其他版本ICH7的PCI Express信道数也有增加，比如ICH7R能够提供6 条PCI Express信道，这样使主板PCI-E插槽的组合更具弹性。

October 10

Windows XP中CPU占用100%原因及解决方法（转帖）

转帖一篇，比较全，但是依然没有我遇到的那种情况。。。。。。我遇到的是在打魔兽的时候。。。。。。

我们在使用Windows XP操作系统的时候，用着用着系统就变慢了，一看“任务管理器”才发现CPU占用达到100%。这是怎么回事情呢?遇到病毒了，硬件有问题，还是系统设置有问题，在本文中笔者将从硬件，软件和病毒三个方面来讲解系统资源占用率为什么会达到100%。

　　经常出现CPU占用100%的情况，主要问题可能发生在下面的某些方面:

　　CPU占用率高的九种可能

　　1、防杀毒软件造成故障

　　由于新版的KV、金山、瑞星都加入了对网页、插件、邮件的随机监控，无疑增大了系统负担。处理方式:基本上没有合理的处理方式，尽量使用最少的监控服务吧，或者，升级你的硬件配备。

　　2、驱动没有经过认证，造成CPU资源占用100%

　　大量的测试版的驱动在网上泛滥，造成了难以发现的故障原因。处理方式:尤其是显卡驱动特别要注意，建议使用微软认证的或由官方发布的驱动，并且严格核对型号、版本。

　　3、病毒、木马造成

　　大量的蠕虫病毒在系统内部迅速复制，造成CPU占用资源率据高不下。解决办法:用可靠的杀毒软件彻底清理系统内存和本地硬盘，并且打开系统设置软件，察看有无异常启动的程序。经常性更新升级杀毒软件和防火墙，加强防毒意识，掌握正确的防杀毒知识。

　　4、控制面板—管理工具—服务—RISING REALTIME MONITOR SERVICE点鼠标右键，改为手动。

　　5、开始->；运行->；msconfig->；启动，关闭不必要的启动项，重启。

　　6、查看“svchost”进程。

　　svchost.exe是Windows XP系统的一个核心进程。svchost.exe不单单只出现在Windows XP中，在使用NT内核的Windows系统中都会有svchost.exe的存在。一般在Windows 2000中svchost.exe进程的数目为2个，而在Windows XP中svchost.exe进程的数目就上升到了4个及4个以上。

　　7、查看网络连接。主要是网卡。

　　8、查看网络连接

　　当安装了Windows XP的计算机做服务器的时候，收到端口 445 上的连接请求时，它将分配内存和少量地调配 CPU资源来为这些连接提供服务。当负荷过重的时候，CPU占用率可能过高，这是因为在工作项的数目和响应能力之间存在固有的权衡关系。你要确定合适的 MaxWorkItems 设置以提高系统响应能力。如果设置的值不正确，服务器的响应能力可能会受到影响，或者某个用户独占太多系统资源。

　　要解决此问题，我们可以通过修改注册表来解决:在注册表编辑器中依次展开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver ]分支，在右侧窗口中新建一个名为“maxworkitems”的DWORD值。然后双击该值，在打开的窗口中键入下列数值并保存退出:

　　如果计算机有512MB以上的内存，键入“1024”；如果计算机内存小于512 MB，键入“256”。

　　9、看看是不是Windows XP使用鼠标右键引起CPU占用100%

　　前不久的报到说在资源管理器里面使用鼠标右键会导致CPU资源100%占用，我们来看看是怎么回事？

　　征兆:

　　在资源管理器里面，当你右键点击一个目录或一个文件，你将有可能出现下面所列问题:

　　任何文件的拷贝操作在那个时间将有可能停止相应

　　网络连接速度将显著性的降低

　　所有的流输入/输出操作例如使用Windows Media Player听音乐将有可能是音乐失真成因:

　　当你在资源管理器里面右键点击一个文件或目录的时候，当快捷菜单显示的时候，CPU占用率将增加到100%，当你关闭快捷菜单的时候才返回正常水平。

Windows XP中CPU占用100%原因及解决方法　

　解决方法:

　　方法一:关闭“为菜单和工具提示使用过渡效果”

　　1、点击“开始”--“控制面板”

　　2、在“控制面板”里面双击“显示”

　　3、在“显示”属性里面点击“外观”标签页

　　4、在“外观”标签页里面点击“效果”

　　5、在“效果”对话框里面，清除“为菜单和工具提示使用过渡效果”前面的复选框接着点击两次“确定”按钮。

　　方法二:在使用鼠标右键点击文件或目录的时候先使用鼠标左键选择你的目标文件或目录。然后再使用鼠标右键弹出快捷菜单。

[SIZE="3"]CPU占用100%案例分析[/SIZE]

　　1、dllhost进程造成CPU使用率占用100%

　　特征:服务器正常CPU消耗应该在75%以下，而且CPU消耗应该是上下起伏的，出现这种问题的服务器，CPU会突然一直处100%的水平，而且不会下降。查看任务管理器，可以发现是DLLHOST.EXE消耗了所有的CPU空闲时间，管理员在这种情况下，只好重新启动IIS服务，奇怪的是，重新启动IIS服务后一切正常，但可能过了一段时间后，问题又再次出现了。

　　直接原因:

　　有一个或多个ACCESS数据库在多次读写过程中损坏，微软的MDAC系统在写入这个损坏的ACCESS文件时，ASP线程处于BLOCK状态，结果其它线程只能等待，IIS被死锁了，全部的CPU时间都消耗在DLLHOST中。

　　解决办法:

　　安装“一流信息监控拦截系统”，使用其中的“首席文件检查官IIS健康检查官”软件，

　　启用”查找死锁模块”，设置:

　　--wblock=yes
　　监控的目录，请指定您的主机的文件所在目录:
　　--wblockdir=d:\test

　　监控生成的日志的文件保存位置在安装目录的log目录中，文件名为:logblock.htm

　　停止IIS，再启动“首席文件检查官IIS健康检查官”，再启动IIS，“首席文件检查官IIS健康检查官”会在logblock.htm中记录下最后写入的ACCESS文件的。

　　过了一段时间后，当问题出来时，例如CPU会再次一直处100%的水平，可以停止IIS，检查logblock.htm所记录的最后的十个文件，注意，最有问题的往往是计数器类的ACCESS文件，例如:”**COUNT.MDB”，”**COUNT.ASP”，可以先把最后十个文件或有所怀疑的文件删除到回收站中，再启动IIS，看看问题是否再次出现。我们相信，经过仔细的查找后，您肯定可以找到这个让您操心了一段时间的文件的。

　　找到这个文件后，可以删除它，或下载下来，用ACCESS2000修复它，问题就解决了。

　　2、svchost.exe造成CPU使用率占用100%

　　在win.ini文件中，在[Windows]下面，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什幺都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得看清楚，因为好多“木马”，如“AOL Trojan木马”，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动文件。

　　在system.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那幺后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。

　　在注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至:“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这里切记:有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery v1.0木马”，它将注册表“HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”下的Explorer 键值改为Explorer=“C:\Windows\expiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如:“HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run”、“HKEY-USERS\****\Software\Microsoft\Windows\CurrentVersion\Run”的目录下都有可能，最好的办法就是在“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马该病毒也称为“Code Red II(红色代码2)”病毒，与早先在西方英文系统X L行“红色代码”病毒有点相反，在国际上被称为VirtualRoot(虚拟目录)病毒。该蠕虫病毒利用Microsoft已知的溢出漏洞，通过80端口来传播到其它的Web页服务器上。受感染的机器可由黑客们通过Http Get的请求运行脚本s/root.exe来获得对受感染机器的完全控制权。

　　当感染一台服务器成功了以后，如果受感染的机器是中文的系统后，该程序会休眠2天，别的机器休眠1天。当休眠的时间到了以后，该蠕虫程序会使得机器重新启动。该蠕虫也会检查机器的月份是否是10月或者年份是否是2002年，如果是，受感染的服务器也会重新启动。当Windows NT系统启动时，NT系统会自动搜索C盘根目录下的文件explorer.exe，受该网络蠕虫程序感染的服务器上的文件explorer.exe也就是该网络蠕虫程序本身。该文件的大小是8192字节，VirtualRoot网络蠕虫程序就是通过该程序来执行的。同时，VirtualRoot网络蠕虫程序还将cmd.exe的文件从Windows NT的system目录拷贝到别的目录，给黑客的入侵敞开了大门。它还会修改系统的注册表项目，通过该注册表项目的修改，该蠕虫程序可以建立虚拟的目录C或者D，病毒名由此而来。值得一提的是，该网络蠕虫程序除了文件explorer.exe外，其余的操作不是基于文件的，而是直接在内存中来进行感染、传播的，这就给捕捉带来了较大难度。

　　”程序的文件名，再在整个注册表中搜索即可。

　　我们先看看微软是怎样描述svchost.exe的。在微软知识库314056中对svchost.exe有如下描述:svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。

　　其实svchost.exe是Windows XP系统的一个核心进程。svchost.exe不单单只出现在Windows XP中，在使用NT内核的Windows系统中都会有svchost.exe的存在。一般在Windows 2000中svchost.exe进程的数目为2个，而在Windows XP中svchost.exe进程的数目就上升到了4个及4个以上。所以看到系统的进程列表中有几个svchost.exe不用那幺担心。

　　svchost.exe到底是做什幺用的呢?

　　首先我们要了解一点那就是Windows系统的中的进程分为:独立进程和共享进程这两种。由于Windows系统中的服务越来越多，为了节约有限的系统资源微软把很多的系统服务做成了共享模式。那svchost.exe在这中间是担任怎样一个角色呢?

　　svchost.exe的工作就是作为这些服务的宿主，即由svchost.exe来启动这些服务。svchost.exe只是负责为这些服务提供启动的条件，其自身并不能实现任何服务的功能，也不能为用户提供任何服务。svchost.exe通过为这些系统服务调用动态链接库(DLL)的方式来启动系统服务。

　　svchost.exe是病毒这种说法是任何产生的呢?

　　因为svchost.exe可以作为服务的宿主来启动服务，所以病毒、木马的编写者也挖空心思的要利用svchost.exe的这个特性来迷惑用户达到入侵、破坏计算机的目的。

　　如何才能辨别哪些是正常的svchost.exe进程，而哪些是病毒进程呢?

　　svchost.exe的键值是在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost”，如图1所示。图1中每个键值表示一个独立的svchost.exe组。

　　微软还为我们提供了一种察看系统正在运行在svchost.exe列表中的服务的方法。以Windows XP为例:在“运行”中输入:cmd，然后在命令行模式中输入:tasklist /svc。系统列出如图2所示的服务列表。图2中红框包围起来的区域就是svchost.exe启动的服务列表。如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为:“tlist -s”即可。如果你怀疑计算机有可能被病毒感染，svchost.exe的服务出现异常的话通过搜索svchost.exe文件就可以发现异常情况。一般只会找到一个在:“C:\Windows\System32”目录下的svchost.exe程序。如果你在其它目录下发现svchost.exe程序的话，那很可能就是中毒了。

　　还有一种确认svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径，所以要使用第三方的进程察看工具。

　　上面简单的介绍了svchost.exe进程的相关情况。总而言之，svchost.exe是一个系统的核心进程，并不是病毒进程。但由于svchost.exe进程的特殊性，所以病毒也会千方百计的入侵svchost.exe。通过察看svchost.exe进程的执行路径可以确认是否中毒。

3、Services.exe造成CPU使用率占用100%

　　症状

　　在基于 Windows 2000 的计算机上，Services.exe 中的 CPU 使用率可能间歇性地达到100 %，并且计算机可能停止响应(挂起)。出现此问题时，连接到该计算机(如果它是文件服务器或域控制器)的用户会被断开连接。您可能还需要重新启动计算机。如果 Esent.dll 错误地处理将文件刷新到磁盘的方式，则会出现此症状。

　　解决方案

　　Service Pack 信息

　　要解决此问题，请获取最新的 Microsoft Windows 2000 Service Pack。有关其它信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章:

　　260910 如何获取最新的 Windows 2000 Service Pack

　　修复程序信息

　　Microsoft 提供了受支持的修补程序，但该程序只是为了解决本文所介绍的问题。只有计算机遇到本文提到的特定问题时才可应用此修补程序。此修补程序可能还会接受其它一些测试。因此，如果这个问题没有对您造成严重的影响，Microsoft 建议您等待包含此修补程序的下一个 Windows 2000 Service Pack。

　　要立即解决此问题，请与“Microsoft 产品支持服务”联系，以获取此修补程序。有关“Microsoft 产品支持服务”电话号码和支持费用信息的完整列表，请访问 Microsoft Web 站点:

　　注意 :特殊情况下，如果 Microsoft 支持专业人员确定某个特定的更新程序能够解决您的问题，可免收通常情况下收取的电话支持服务费用。对于特定更新程序无法解决的其它支持问题和事项，将正常收取支持费用。

　　下表列出了此修补程序的全球版本的文件属性(或更新的属性)。这些文件的日期和时间按协调通用时间 (UTC) 列出。查看文件信息时，它将转换为本地时间。要了解 UTC 与本地时间之间的时差，请使用“控制面板”中的“日期和时间”工具中的时区选项卡。

　　状态

　　Microsoft 已经确认这是在本文开头列出的 Microsoft 产品中存在的问题。此问题最初是在 Microsoft Windows 2000 Service Pack 4 中更正的。

　　4、正常软件造成CPU使用率占用100%

　　首先，如果是从开机后就发生上述情况直到关机。那幺就有可能是由某个随系统同时登陆的软件造成的。可以通过运行输入“msconfig”打开“系统实用配置工具”，进入“启动”选项卡。接着，依次取消可疑选项前面的对钩，然后重新启动电脑。反复测试直到找到造成故障的软件。或者可以通过一些优化软件如“优化大师”达到上述目的。另:如果键盘内按键卡住也可能造成开机就出现上述问题。

　　如果是使用电脑途中出项这类问题，可以调出任务管理器(WINXP CTRL+ALT+DEL WIN2000 CTRL+SHIFT“ESC)，进入”进程“选项卡，看”CPU“栏，从里面找到占用资源较高的程序(其中SYSTEM IDLE PROCESS是属于正常，它的值一般都很高，它的作用是告诉当前你可用的CPU资源是多少，所以它的值越高越好)通过搜索功能找到这个进程属于哪个软件。然后，可以通过升级、关闭、卸载这个软件或者干脆找个同类软件替换，问题即可得到解决。

　　5、病毒、木马、间谍软件造成CPU使用率占用100%

　　出现CPU占用率100% 的故障经常是因为病毒木马造成的，比如震荡波病毒。应该首先更新病毒库，对电脑进行全机扫描。接着，在使用反间谍软件Ad—Aware，检查是否存在间谍软件。论坛上有不少朋友都遇到过svchost.exe占用CPU100%，这个往往是中毒的表现。

　　svchost.exe Windows中的系统服务是以动态链接库(DLL)的形式实现的，其中一些会把可执行程序指向svchost.exe，由它调用相应服务的动态链接库并加上相应参数来启动服务。正是因为它的特殊性和重要性，使它更容易成为了一些病毒木马的宿主。

　　6、explorer.exe进程造成CPU使用率占用100%

　　Explorer 键值改为Explorer=“C:\Windows\expiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如:“HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run”、“HKEY-USERS\****\Software\Microsoft\Windows\CurrentVersion\Run”的目录下都有可能，最好的办法就是在“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马”程序的文件名，再在整个注册表中搜索即可。
7、超线程导致CPU使用率占用100%

　　这类故障的共同原因就是都使用了具有超线程功能的P4 CPU。我查找了一些资料都没有明确的原因解释。据一些网友总结超线程似乎和天网防火墙有冲突，可以通过卸载天网并安装其它防火墙解决，也可以通过在BIOS中关闭超线程功能解决。

　　8、AVI视频文件造成CPU使用率占用100%

　　在Windows XP中，单击一个较大的AVI视频文件后，可能会出现系统假死现象，并且造成exploere.exe进程的使用率100%，这是因为系统要先扫描该文件，并检查文件所有部分，建立索引。如果文件较大就会需要较长时间并造成CPU占用率100%。解决方法:右键单击保存视频文件的文件夹，选择”属性—>常规—>高级“，去掉”为了快速搜索，允许索引服务编制该文件夹的索引“前面复选框的对钩即可。

　　9、杀毒软件CPU使用率占用100%

　　现在的杀毒软件一般都加入了，对网页、邮件、个人隐私的即时监空功能，这样无疑会加大系统的负担。比如:在玩游戏的时候，会非常缓慢。关闭该杀毒软件是解决得最直接办法。

　　10、处理较大的Word文件时CPU使用率过高

　　上述问题一般还会造成电脑假死，这些都是因为WORD的拼写和语法检查造成的，只要打开WORD的“工具—选项”，进入“拼写和语法”选项卡，将其中的“键入时检查拼写”和“键入时检查语法”两项前面的复选框中的钩去掉即可。

　　11、网络连接导致CPU使用率占用100%

　　当你的Windows2000/xp作为服务器时，收到来自端口445上的连接请求后，系统将分配内存和少量CPU资源来为这些连接提供服务，当负荷过重，就会出现上述情况。要解决这个问题可以通过修改注册表来解决，打开注册表，找到HKEY—LOCAL—MACHNE\SYSTEM\CurrentControlSet\Services\lanmanserver，在右面新建一个名为"；maxworkitems"；的DWORD值.然后双击该值，如果你的电脑有512以上内存，就设置为"；1024"；，如果小于512，就设置为256.

　　一些不完善的驱动程序也可以造成CPU使用率过高

　　经常使用待机功能，也会造成系统自动关闭硬盘DMA模式。这不仅会使系统性能大幅度下降，系统启动速度变慢，也会使是系统在运行一些大型软件和游戏时CPU使用率100%，产生停顿。
进程占用CPU 100%时可能中的病毒

　　system Idle Process

　　进程文件: [system process] or [system process]

　　进程名称: Windows内存处理系统进程

　　描述: Windows页面内存管理进程，拥有0级优先。

　　介绍:该进程作为单线程运行在每个处理器上，并在系统不处理其它线程的时候分派处理器的时间。它的CPU占用率越大表示可供分配的CPU资源越多，数字越小则表示CPU资源紧张。

　　Spoolsv.exe

　　进程文件: spoolsv or Spoolsv.exe

　　进程名称: Printer Spooler Service

　　描述: Windows打印任务控制程序，用以打印机就绪。

　　介绍:缓冲(spooler)服务是管理缓冲池中的打印和传真作业。

　　Spoolsv.exe→打印任务控制程序，一般会先加载以供列表机打印前的准备工作

　　Spoolsv.exe，如果常增高，有可能是病毒感染所致

　　目前常见的是:

　　Backdoor/Byshell(又叫隐形大盗、隐形杀手、西门庆病毒)

　　危害程度:中

　　受影响的系统: Windows 2000， Windows XP， Windows Server 2003

　　未受影响的系统: Windows 95， Windows 98， Windows Me， Windows NT， Windows 3.x， Macintosh， Unix， Linux，

　　病毒危害:

　　1. 生成病毒文件

　　2. 插入正常系统文件中

　　3. 修改系统注册表

　　4. 可被黑客远程控制

　　5. 躲避反病毒软件的查杀

　　简单的后门木马，发作会删除自身程序，但将自身程序套入可执行程序内(如:exe)，并与计算机的通口(TCP端口138)挂钩，监控计算机的信息、密码，甚至是键盘操作，作为回传的信息，并不时驱动端口，以等候传进的命令，由于该木马不能判别何者是正确的端口，所以负责输出的列表机也是其驱动对象，以致Spoolsv.exe的使用异常频繁......

　　Backdoor.Win32.Plutor

　　破坏方法:感染PE文件的后门程序

　　病毒采用VC编写。

　　病毒运行后有以下行为:

　　1、将病毒文件复制到%WINDIR%目录下，文件名为"；Spoolsv.exe"；，并该病毒文件运行。"；Spoolsv.exe"；文件运行后释放文件名为"；mscheck.exe"；的文件到%SYSDIR%目录下，该文件的主要功能是每次激活时运行"；Spoolsv.exe"；文件。如果所运行的文件是感染了正常文件的病毒文件，病毒将会把该文件恢复并将其运行。

　　2、修改注册表以下键值:

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run

　　增加数据项:"；Microsoft 脚本 Checker"；数据为:"；MSCHECK.EXE /START"；

　　修改该项注册表使"；MSCHECK.EXE"；文件每次系统激活时都将被运行，而"；MSCHECK.EXE"；用于运行"；Spoolsv.exe"；文件，从而达到病毒自激活的目的。

　　3、创建一个线程用于感染C盘下的PE文件，但是文件路径中包含"；winnt"；、"；Windows"；字符串的文件不感染。另外，该病毒还会枚举局域网中的共享目录并试图对这些目录下的文件进行感染。该病毒感染文件方法比较简单，将正常文件的前0x16000个字节替换为病毒文件中的数据，并将原来0x16000个字节的数据插入所感染的文件尾部。

　　4、试图与局域网内名为"；admin"；的邮槽联系，创建名为"；client"；的邮槽用于接收其控制端所发送的命令，为其控制端提供以下远程控制服务:

　　显示或隐藏指定窗口、屏幕截取、控制CDROM、关闭计算器、注销、破坏硬盘数据

那些病毒会造成CPU占有率过高

　　震荡波蠕虫

　　利用微软操作系统的LSASS缓冲区溢出漏洞进行远程主动攻击和传染，导致系统异常和网络严重拥塞，具有极强的危害性，病毒如果攻击成功，则会占用大量系统资源，使CPU占用率达到100%，出现电脑运行异常缓慢的现象。

　　如果中了这种病毒可采用下面的四种方法进行清除。

　　1、断网打补丁

　　如果不给系统打上相应的漏洞补丁，则连网后依然会遭受到该病毒的攻击，用户应该先下载相应的漏洞补丁程序，然后断开网络，运行补丁程序，当补丁安装完成后再上网。

　　2、清除内存中的病毒进程

　　要想彻底清除该病毒，应该先清除内存中的病毒进程，用户可以按CTRL+SHIFT+ESC三或者右键单击任务栏，在弹出菜单中选择“任务管理器”打开任务管理器界面，然后在内存中查找名为“avserve.exe”的进程，找到后直接将它结束。

　　3、删除病毒文件

　　病毒感染系统时会在系统安装目录(默认为C:\WINNT)下产生一个名为avserve.exe的病毒文件，并在系统目录下(默认为C:\WINNT\System32)生成一些名为<；随机字符串>；_UP.exe的病毒文件，用户可以查找这些文件，找到后删除，如果系统提示删除文件失败，则用户需要到安全模式下或DOS系统下删除这些文件。

　　4、删除注册表键值

　　该病毒会在电脑注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run项中建立名为“avserve.exe”，内容为:“%Windows%\avserve.exe”的病毒键值，为了防止病毒下次系统启动时自动运行，用户应该将该键值删除，方法是在“运行”菜单中键入“REGEDIT” 然后调出注册表编辑器，找到该病毒键值，然后直接删除。

　　bride病毒

　　此病毒可以在Windows 2000、Windows XP等操作系统环境下正常运行，病毒运行时会释放出一个FUNLOVE病毒并将之执行，而FUNLOVE病毒会在计算机中大量繁殖，造成系统变慢，网络阻塞。

　　病毒清除方法

　　此病毒可以用趋势、诺顿、瑞星、金山和江民等杀毒软件进行清除

本贴由南飘风云于2006年10月07日20:06:48在〖◆黑马乐园◆〗发表.

March 01

100%绝对安全的个人电脑是不存在的。不过转贴一篇比较好的防护文章。

[转帖]打造100％绝对安全的个人电脑

由于现在家用电脑所使用的操作系统多数为WinXP 和Win2000 pro（建议还在使用98的朋友换换系统，连微软都放弃了的系统你还用它干嘛？）所以后面我将主要讲一下基于这两个操作系统的安全防范。

　　个人电脑常见的被入侵方式

　　谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种：

　　(1) 被他人盗取密码；

　　(2) 系统被木马攻击；

　　(3) 浏览网页时被恶意的java scrpit程序攻击；

　　(4) QQ被攻击或泄漏信息；

　　(5) 病毒感染；

　　(6) 系统存在漏洞使他人攻击自己。

　　(7) 黑客的恶意攻击。

　　下面我们就来看看通过什么样的手段来更有效的防范攻击。

查本地共享资源
删除共享
删除ipc$空连接
账号密码的安全原则
关闭自己的139端口
445端口的关闭
3389的关闭
4899的防范
常见端口的介绍
如何查看本机打开的端口和过滤
禁用服务
本地策略
本地安全策略
用户权限分配策略
终端服务配置
用户和组策略
防止rpc漏洞
自己动手DIY在本地策略的安全选项
工具介绍
避免被恶意代码木马等病毒攻击

　　1.查看本地共享资源

　　运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。

2.删除共享(每次输入一个）

　　net share admin$ /delete
　　net share c$ /delete
　　net share d$ /delete（如果有e，f，……可以继续删除）

3.删除ipc$空连接

　　在运行内输入regedit，在_blank>注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。

4.关闭自己的139端口，ipc和RPC漏洞存在于此。

　　关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。

5．防止rpc漏洞

　　打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。

　　XP SP2和2000 pro sp4，均不存在该漏洞。

6．445端口的关闭

　　修改注册表，添加一个键值
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为0这样就ok了。

7．3389的关闭

　　XP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。

　　Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）

　　使用2000 pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。

8．4899的防范

　　网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。

　　4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。

　　所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。

9、禁用服务

　　若PC没有特殊用途，基于安全考虑，打开控制面板，进入管理工具——服务，关闭以下服务：

　　1.Alerter[通知选定的用户和计算机管理警报]
　　2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]
　　3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享
　　4.Distributed Link Tracking Server[适用局域网分布式链接]
　　6.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
　　7.Messenger[警报]
　　8.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
　　9.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]
　 10.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]
　 11.Remote Desktop Help Session Manager[管理并控制远程协助]
　 12.Remote Registry[使远程计算机用户修改本地注册表]
　 13.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
　 14.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
　 15.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络]
　 16.Telnet[允许远程用户登录到此计算机并运行程序]
　 17.Terminal Services[允许用户以交互方式连接到远程计算机]
　 18.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]

　　如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。

10、账号密码的安全原则

　　首先禁用guest帐号，将系统内建的administrator帐号改名～～（改的越复杂越好，最好改成中文的），然后设置一个密码，最好是8位以上字母数字符号组合。 (让那些该死的黑客慢慢猜去吧～）

　　如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置（关于密码安全设置，我上面已经讲了，这里不再罗嗦了。
　　
　　打开管理工具.本地安全设置.密码策略

　　　　 1.密码必须符合复杂要求性.启用
　　　　 2.密码最小值.我设置的是8
　　　　 3.密码最长使用期限.我是默认设置42天
　　　　 4.密码最短使用期限0天
　　　　 5.强制密码历史记住0个密码
　　　　 6.用可还原的_blank>加密来存储密码禁用
　　
11、本地策略:

　　这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。

　　(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)

　　打开管理工具
　　
　　找到本地安全设置.本地策略.审核策略

　　　　 1.审核策略更改成功失败
　　　　 2.审核登陆事件成功失败
　　　　 3.审核对象访问失败
　　　　 4.审核跟踪过程无审核
　　　　 5.审核目录服务访问失败
　　　　 6.审核特权使用失败
　　　　 7.审核系统事件成功失败
　　　　 8.审核帐户登陆时间成功失败
　　　　 9.审核帐户管理成功失败
　　　　 &nb sp;然后再到管理工具找到
　　　　事件查看器
　　　　应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件
　　　　安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件
　　　　系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件

12、本地安全策略:

　　打开管理工具
　　
　　找到本地安全设置.本地策略.安全选项
　　　　
　　　　 1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登陆的]
　　　　 2.网络访问.不允许SAM帐户的匿名枚举启用
　　　　 3.网络访问.可匿名的共享将后面的值删除
　　　　 4.网络访问.可匿名的命名管道将后面的值删除
　　　　 5.网络访问.可远程访问的注册表路径将后面的值删除
　　　　 6.网络访问.可远程访问的注册表的子路径将后面的值删除
　　　　 7.网络访问.限制匿名访问命名管道和共享
　　　　 8.帐户.（前面已经详细讲过拉）

13、用户权限分配策略:

　　打开管理工具
　　
　　找到本地安全设置.本地策略.用户权限分配
　　　　
　　　　 1.从网络访问计算机里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属于自己的ID
　　　　 2.从远程系统强制关机，Admin帐户也删除，一个都不留　　　　
　　　　 3.拒绝从网络访问这台计算机将ID删除
　　　　 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务
　　　　 5.通过远端强制关机。删掉

14、终端服务配置

　　打开管理工具
　　
　　终端服务配置

　　　　1.打开后，点连接，右键，属性，远程控制，点不允许远程控制
　　　　2.常规，加密级别，高，在使用标准Windows验证上点√!
　　　　3.网卡，将最多连接数上设置为0
　　　　4.高级，将里面的权限也删除.[我没设置]
　　　　再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话

15、用户和组策略

　　打开管理工具

　　计算机管理.本地用户和组.用户;

　　　　删除Support_388945a0用户等等
　　　　只留下你更改好名字的adminisrator权限　　

　　计算机管理.本地用户和组.组
　　　　
　　　　组.我们就不分组了，每必要把

16、自己动手DIY在本地策略的安全选项
　　　　
　　　　1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透.
　　　　2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户名.让他去猜你的用户名去吧.
　　　　3）对匿名连接的额外限制
　　　　4）禁止按 alt+crtl +del(没必要）
　　　　5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动]
　　　　6）只有本地登陆用户才能访问cd-rom
　　　　7）只有本地登陆用户才能访问软驱
　　　　8）取消关机原因的提示
　　　　 A、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签页面；
　　　　 B、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框；
　　　　 C、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能键，来实现快速关机和开机；
　　　　 D、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页面，并在其中将“启用休眠”选项选中就可以了。
　　　　9）禁止关机事件跟踪
　　开始“Start ->”运行“ Run ->输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止”（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口

17、常见端口的介绍
　　　　　　　　　　　　
　　TCP
21　　 FTP
22　　 SSH
23　　 TELNET
25　　 TCP SMTP
53　　 TCP DNS
80　　 HTTP
135　　epmap
138　　[冲击波]
139　　smb
445
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b
1026 DCE/12345778-1234-abcd-ef00-0123456789ac
1433 TCP SQL SERVER
5631 TCP PCANYWHERE
5632 UDP PCANYWHERE
3389　　 Terminal Services
4444[冲击波]

UDP
67[冲击波]
137 netbios-ns
161 An SNMP Agent is running/ Default community names of the SNMP Agent

关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运行本机使用4000这几个端口就行了

　　18、另外介绍一下如何查看本机打开的端口和tcp\ip端口的过滤

　　开始－－运行－－cmd

　　输入命令netstat -a

　　会看到例如（这是我的机器开放的端口）

Proto Local Address　　　　Foreign Address　　　　State
TCP　　yf001:epmap yf001:0　　　　 LISTE
TCP　　yf001:1025 yf001:0 LISTE
TCP　　(用户名）:1035　 yf001:0 LISTE
TCP　　yf001:netbios-ssn yf001:0　　　　　 LISTE
UDP　　yf001:1129　　　　　　*:*
UDP　　yf001:1183　　　　　　*:*
UDP　　yf001:1396　　　　　　*:*
UDP　　yf001:1464　　　　　　*:*
UDP　　yf001:1466　　　　　　*:*
UDP　　yf001:4000　　　　　　*:*
UDP　　yf001:4002　　　　　　*:*
UDP　　yf001:6000　　　　　　*:*
UDP　　yf001:6001　　　　　　*:*
UDP　　yf001:6002　　　　　　*:*
UDP　　yf001:6003　　　　　　*:*
UDP　　yf001:6004　　　　　　*:*
UDP　　yf001:6005　　　　　　*:*
UDP　　yf001:6006　　　　　　*:*
UDP　　yf001:6007　　　　　　*:*
UDP　　yf001:1030　　　　　　*:*
UDP　　yf001:1048　　　　　　*:*
UDP　　yf001:1144　　　　　　*:*
UDP　　yf001:1226　　　　　　*:*
UDP　　yf001:1390　　　　　　*:*
UDP　　yf001:netbios-ns *:*
UDP　　yf001:netbios-dgm *:*
UDP　　yf001:isakmp *:*

　　现在讲讲基于Windows的tcp/ip的过滤

　　控制面板——网络和拨号连接——本地连接——INTERNET协议（tcp/ip)--属性－－高级－－－选项－tcp/ip筛选－－属性!!

　　然后添加需要的tcp 和UDP端口就可以了～如果对端口不是很了解的话，不要轻易进行过滤，不然可能会导致一些程序无法使用。

19、关于浏览器

　　IE浏览器（或基于IE内核的浏览器）存在隐私问题，index.dat文件里记录着你上网的信息。所以我推荐大家换一款其他内核浏览器。
现在炒的很热的FireFox，就很不错，如果你想打造一款属于自己的个性化浏览器，那FireFox是首选。它有强大的扩展定制功能！
还有传说中那款最快的浏览器 Opera ，速度惊人，界面华丽，笔者正在使用。（就在3个小时前，OPERA公司10年庆祝送正式注册码，笔者申请了两个，^_^）
　　当然，由于国内一些网页并不是用WC3组织认证的标准HTML语言编写，所以IE还是不能丢，留作备用。

处理IE隐私可以用：Webroot WindowWasher -- www.hanzify.org 上有正式版+汉化补丁
Ccleaner -- GOOGLE一下，官方占上有，多国语言的。
RAMDISK 用内存虚拟出一块硬盘，将缓存文件写进去，不仅解决了隐私问题，理论上还能提高网速。（建议内存>=512M者使用）

20、最后一招，也是最关键的一招：安装杀软与防火墙
　　
杀毒软件要看实力，绝对不能看广告。笔者在霏凡的病毒区混了半年，把杀软几乎也装了个遍，以下是个人心得：

1：国产杀软：江民一出，谁与争峰？KV的败笔就是当年那个硬盘炸弹吧，呵呵。其实论实力，江民在国内绝对是一支独秀。先进的杀毒引擎，较完整的病毒库，
清除活体病毒能力强，杀壳能力强，可杀连环DLL，监控灵敏，占系统内存小。－－声明：我不是KV的枪手，因为国内的杀软公司普遍只会打广告，应该BS一下。
DB2005都到了2005了才杀两个壳？Rising的误报天下第一，可是随便下个毒包基本上没有它报的（不信的去霏凡病毒区试试：bbs.crsky.com)；费尔还不错，
可是与KV比还有差距；光华虽然是主动升级，但毒库也不是很全。

2：国外杀软：百家争鸣！
Kapersky：这款俄国的杀软在国内极度火热，其拥有世界第一的毒库，毒库3小时一升级，对系统提供最完善的保护。
McAfee：美国杀软，柔和而强劲的保护，适合有点资历的用户。规则指定得当，百毒不侵。
Norton: 唉！老了老了，对国内木马简直是白痴。本不想说它，可是又是国际三大杀软之一，唉！
NOD32：占资源超小，杀毒超快，监控灵敏，只是毒库似乎有些不全。
BitDefender：罗马尼亚不错的杀软，能力平衡。
GData AntiVirusKit：真正的强悍！它用Kapersky+BitDefender的双引擎，而且经优化处理，系统不会很卡。
F-Scure：竟然夸张到4引擎！不过除了Kapersky4.0的引擎，其他的很一般。虽然保护是很周到，但用它笔者觉得不如AVK（上一个）。

笔者建议：一般配置 KV2005 OR McAfee OR Kapersky OR GData AntiVirusKit；－配置稍好的可以用以上任一款（除KV2005)+ KV2004
老爷机配置 KV2004 OR NOD32
较好的机器 GData AntiVirusKit+KV2005 OR Kapersky+KV2005 OR McAfee+KV2005

防火墙，系统的最后一道防线。即使杀软再强大，一些最新变种的木马仍能见缝插针。没有防火墙，你的机器很可能成为Haker的代理服务器，呵呵。还有，如果你的
系统有漏洞，Haker也会轻而易举的Contral Your PC.
强大的防火墙推荐：Look 'n' Stop ：世界测评第一。占内存超小。启动超迅速。
ZoneAlarm ：性力强大，功能很多，全面且稳定。
Tiny ：这是一款专业到恐怖的防火墙，能力绝对强悍！适合较专业者使用。
天网：国内最强的了，只是和国外的比......

说一句，木马专杀的东西几乎没用，因为那些根本没有什么先进的引擎。如果一定要，就用ewido吧，这个还可以。