2005年07月05日

这几天重装计算机,碰到一系列的关于WINDOWS INSTALLER的出错信息,在网上查了一些相关资料,终于一一解决了.

问题一:

一、所有使用installer安装的程序,均不能正常安装,提示:“不能访问windows installer 服务。可能你在安全模式下运行 windows ,或者windows installer 没有正确的安装。请和你的支持人员联系以获得帮助”

二、察看windows installer服务,一般为停用。如果试图在service中启用,有时会发现,被系统禁用,再启动,提示:“指定的服务已标记为删除”

三、如果试图重新安装InstMsiW.exe,提示:“指定的服务已存在”

resolution:
The MSI Installer can be a real pain. It may be that one of the files required by it is corrupt. Here’s what you do. Run msiexec /unregserver again. Then delete msiexec.exe from the system32 directory. Potentially, you could rerun the install at this point but for some reason this doesn’t always work. Instead,  download a fresh copy of the windows installer, use an unzipping tool to extract it, go into the folder and manually install from the inf files. To do this, right click on it and select install. Make sure you do msi.inf first, and then mspatcha.inf or you get a missing file error (likely because msiexec.exe is missing). After all this run msiexec.exe /regserver to recreate the service.

一、先用msiexec /unregserver 停掉windows installer服务。

二、下载InstMsiW.exe,用winrar解压开。进入目录。

三、右击msi.inf ,点击安装,右击mspatcha.inf ,点击安装。

四、再用msiexec.exe /regserver 启用服务。

问题二:

以上的问题解决后,在我安装vpc的时候,又碰到这个问题:Error -1607: Unable to Install InstallShield Scripting Run Time

查了相关的资料后,发现我安装的系统里没有ISScript.exe.

所以我下载并更新了IkernelUpdate.exe and IsScript7x.zip…问题就解决了。

当然很多时候出错的原因不一定相同,解决的方法也不一定一样,我只是把我的解决方法拿出来,算是一个参考。

2005年06月06日

【简 介】
  我们在使用Windows XP操作系统的时候,用着用着系统就变慢了,一看“任务管理器”才发现CPU占用达到100%。这是怎么回事情呢?遇到病毒了,硬件有问题,还是系统设置有问题,在本文中笔者将从硬件,软件和病毒三个方面来讲解系统资源占用率为什么会达到100%。     
           
  我们在使用Windows XP操作系统的时候,用着用着系统就变慢了,一看“任务管理器”才发现CPU占用达到100%。这是怎么回事情呢?遇到
病毒
了,硬件有问题,还是系统设置有问题,在本文中笔者将从硬件,软件和病毒三个方面来讲解系统资源占用率为什么会达到100%。
  经常出现CPU占用100%的情况,主要问题可能发生在下面的某些方面:
  CPU占用率高的九种可能
  1、防杀毒软件造成故障
  由于新版的KV、金山、瑞星都加入了对网页、插件、邮件的随机监控,无疑增大了系统负担。处理方式:基本上没有合理的处理方式,尽量使用最少的监控服务吧,或者,升级你的硬件配备。
  2、驱动没有经过认证,造成CPU资源占用100%
  大量的测试版的驱动在网上泛滥,造成了难以发现的故障原因。 处理方式:尤其是
显卡
驱动特别要注意,建议使用微软认证的或由官方发布的驱动,并且严格核对型号、版本。
  
3、病毒、
木马
造成

  大量的蠕虫病毒在系统内部迅速复制,造成CPU占用资源率据高不下。解决办法:用可靠的杀毒软件彻底清理系统内存和本地硬盘,并且打开系统设置软件,察看有无异常启动的程序。经常性更新升级杀毒软件和防火墙,加强防毒意识,掌握正确的防杀毒知识。
  4、控制面板—管理工具—服务—RISING REALTIME MONITOR SERVICE点鼠标右键,改为手动。
  5、开始->;运行->;msconfig->;启动,关闭不必要的启动项,重启。
  6、查看“svchost”进程
  svchost.exe是Windows XP系统的一个核心进程。svchost.exe不单单只出现在Windows XP中,在使用NT内核的Windows系统中都会有svchost.exe的存在。一般在Windows 2000中svchost.exe进程的数目为2个,而在Windows XP中svchost.exe进程的数目就上升到了4个及4个以上。
  7、查看网络连接。主要是网卡。
  8、查看网络连接
  当安装了Windows XP的计算机做服务器的时候,收到端口 445 上的连接请求时,它将分配内存和少量地调配 CPU资源来为这些连接提供服务。当负荷过重的时候,CPU占用率可能过高,这是因为在工作项的数目和响应能力之间存在固有的权衡关系。你要确定合适的 MaxWorkItems 设置以提高系统响应能力。如果设置的值不正确,服务器的响应能力可能会受到影响,或者某个用户独占太多系统资源。
  要解决此问题,我们可以通过修改注册表来解决:在注册表编辑器中依次展开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver ]分支,在右侧窗口中新建一个名为“maxworkitems”的DWORD值。然后双击该值,在打开的窗口中键入下列数值并保存退出:
  如果计算机有512MB以上的内存,键入“1024”;如果计算机内存小于512 MB,键入“256”。
  9、看看是不是Windows XP使用鼠标右键引起CPU占用100%
  前不久的报到说在资源管理器里面使用鼠标右键会导致CPU资源100%占用,我们来看看是怎么回事?
  征兆:
  在资源管理器里面,当你右键点击一个目录或一个文件,你将有可能出现下面所列问题:
  任何文件的拷贝操作在那个时间将有可能停止相应
  网络连接速度将显著性的降低
  所有的流输入/输出操作例如使用Windows Media Player听音乐将有可能是音乐失真成因:
  当你在资源管理器里面右键点击一个文件或目录的时候,当快捷菜单显示的时候,CPU占用率将增加到100%,当你关闭快捷菜单的时候才返回正常水平。
  解决方法:
  方法一:关闭“为菜单和工具提示使用过渡效果”
  1、点击“开始”–“控制面板”
  2、在“控制面板”里面双击“显示”
  3、在“显示”属性里面点击“外观”标签页
  4、在“外观”标签页里面点击“效果”
  5、在“效果”对话框里面,清除“为菜单和工具提示使用过渡效果”前面的复选框接着点击两次“确定”按钮。
  方法二:在使用鼠标右键点击文件或目录的时候先使用鼠标左键选择你的目标文件或目录。然后再使用鼠标右键弹出快捷菜单。
CPU占用100%解决办法
  一般情况下CPU占了100%的话我们的电脑总会慢下来,而很多时候我们是可以通过做一点点的改动就可以解决,而不必问那些大虾了。
  当机器慢下来的时候,首先我们想到的当然是任务管理器了,看看到底是哪个程序占了较搞的比例,如果是某个大程序那还可以原谅,在关闭该程序后只要CPU正常了那就没问题;如果不是,那你就要看看是什幺程序了,当你查不出这个进程是什幺的时候就去google或者baidu搜。有时只结束是没用的,在xp下我们可以结合msconfig里的启动项,把一些不用的项给关掉。在2000下可以去下个winpatrol来用。
  一些常用的软件,比如浏览器占用了很搞的CPU,那幺就要升级该软件或者干脆用别的同类软件代替,有时软件和系统会有点不兼容,当然我们可以试下xp系统下给我们的那个兼容项,右键点该.exe文件选兼容性。
  svchost.exe有时是比较头痛的,当你看到你的某个svchost.exe占用很大CPU时你可以去下个aports或者fport来检查其对应的程序路径,也就是什幺东西在掉用这个svchost.exe,如果不是c:\Windows\system32(xp)或c:\winnt\system32(2000)下的,那就可疑。升级杀毒软件杀毒吧。
  右击文件导致100%的CPU占用我们也会遇到,有时点右键停顿可能就是这个问题了。官方的解释:先点左键选中,再右键(不是很理解)。非官方:通过在桌面点右键-属性-外观-效果,取消”为菜单和工具提示使用下列过度效果(U)“来解决。还有某些杀毒软件对文件的监控也会有所影响,可以关闭杀毒软件的文件监控;还有就是对网页,插件,邮件的监控也是同样的道理。
  一些驱动程序有时也可能出现这样的现象,最好是选择微软认证的或者是官方发布的驱动来装,有时可以适当的升级驱动,不过记得最新的不是最好的。
  CPU降温软件,由于软件在运行时会利用所以的CPU空闲时间来进行降温,但Windows不能分辨普通的CPU占用和降温软件的降温指令之间的区别,因此CPU始终显示100%,这个就不必担心了,不影响正常的系统运行。
  在处理较大的word文件时由于word的拼写和语法检查会使得CPU累,只要打开word的工具-选项-拼写和语法把”检查拼写和检查语法“勾去掉。
  单击avi视频文件后CPU占用率高是因为系统要先扫描该文件,并检查文件所有部分,并建立索引;解决办法:右击保存视频文件的文件夹-属性-常规-高级,去掉为了快速搜索,允许索引服务编制该文件夹的索引的勾。
CPU占用100%案例分析
  1、dllhost进程造成CPU使用率占用100%
  特征:服务器正常CPU消耗应该在75%以下,而且CPU消耗应该是上下起伏的,出现这种问题的服务器,CPU会突然一直处100%的水平,而且不会下降。查看任务管理器,可以发现是DLLHOST.EXE消耗了所有的CPU空闲时间,管理员在这种情况下,只好重新启动IIS服务,奇怪的是,重新启动IIS服务后一切正常,但可能过了一段时间后,问题又再次出现了。
  直接原因:
  有一个或多个ACCESS数据库在多次读写过程中损坏,微软的MDAC系统在写入这个损坏的ACCESS文件时,ASP线程处于BLOCK状态,结果其它线程只能等待,IIS被死锁了,全部的CPU时间都消耗在DLLHOST中。
  解决办法:
  安装“一流信息监控拦截系统”,使用其中的“首席文件检查官IIS健康检查官”软件,
  启用”查找死锁模块”,设置:
  –wblock=yes
  监控的目录,请指定您的主机的文件所在目录:
  –wblockdir=d:\test
  监控生成的日志的文件保存位置在安装目录的log目录中,文件名为:logblock.htm
  停止IIS,再启动“首席文件检查官IIS健康检查官”,再启动IIS,“首席文件检查官IIS健康检查官”会在logblock.htm中记录下最后写入的ACCESS文件的。
  过了一段时间后,当问题出来时,例如CPU会再次一直处100%的水平,可以停止IIS,检查logblock.htm所记录的最后的十个文件,注意,最有问题的往往是计数器类的ACCESS文件,例如:”**COUNT.MDB”,”**COUNT.ASP”,可以先把最后十个文件或有所怀疑的文件删除到回收站中,再启动IIS,看看问题是否再次出现。我们相信,经过仔细的查找后,您肯定可以找到这个让您操心了一段时间的文件的。
  找到这个文件后,可以删除它,或下载下来,用ACCESS2000修复它,问题就解决了。
  2、svchost.exe造成CPU使用率占用100%
  在win.ini文件中,在[Windows]下面,“run=”和“load=”是可能加载“
木马
”程序的途径,必须仔细留心它们。一般情况下,它们的等号后面什幺都没有,如果发现后面跟有路径与文件名不是你熟悉的启动文件,你的计算机就可能中上“木马”了。当然你也得看清楚,因为好多“木马”,如“AOL Trojan木马”,它把自身伪装成command.exe文件,如果不注意可能不会发现它不是真正的系统启动文件。
  在system.ini文件中,在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”,如果不是“explorer.exe”,而是“shell= explorer.exe 程序名”,那幺后面跟着的那个程序就是“木马”程序,就是说你已经中“木马”了。
  在注册表中的情况最复杂,通过regedit命令打开注册表编辑器,在点击至:“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”目录下,查看键值中有没有自己不熟悉的自动启动文件,扩展名为EXE,这里切记:有的“木马”程序生成的文件很像系统自身文件,想通过伪装蒙混过关,如“Acid Battery v1.0木马”,它将注册表“HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”下的Explorer 键值改为Explorer=“C:\Windows\expiorer.exe”,“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序,如:“HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run”、“HKEY-USERS\****\Software\Microsoft\Windows\CurrentVersion\Run”的目录下都有可能,最好的办法就是在“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马该
病毒
也称为“Code Red II(红色代码2)”病毒,与早先在西方英文系统下流行“红色代码”病毒有点相反,在国际上被称为VirtualRoot(虚拟目录)病毒。该蠕虫病毒利用Microsoft已知的溢出
漏洞
,通过80端口来传播到其它的Web页服务器上。受感染的机器可由黑客们通过Http Get的请求运行scripts/root.exe来获得对受感染机器的完全控制权。
  当感染一台服务器成功了以后,如果受感染的机器是中文的系统后,该程序会休眠2天,别的机器休眠1天。当休眠的时间到了以后,该蠕虫程序会使得机器重新启动。该蠕虫也会检查机器的月份是否是10月或者年份是否是2002年,如果是,受感染的服务器也会重新启动。当Windows NT系统启动时,NT系统会自动搜索C盘根目录下的文件explorer.exe,受该网络蠕虫程序感染的服务器上的文件explorer.exe也就是该网络蠕虫程序本身。该文件的大小是8192字节,VirtualRoot网络蠕虫程序就是通过该程序来执行的。同时,VirtualRoot网络蠕虫程序还将cmd.exe的文件从Windows NT的system目录拷贝到别的目录,给黑客的
入侵
敞开了大门。它还会修改系统的注册表项目,通过该注册表项目的修改,该蠕虫程序可以建立虚拟的目录C或者D,病毒名由此而来。值得一提的是,该网络蠕虫程序除了文件explorer.exe外,其余的操作不是基于文件的,而是直接在内存中来进行感染、传播的,这就给捕捉带来了较大难度。
  ”程序的文件名,再在整个注册表中搜索即可。
  我们先看看微软是怎样描述svchost.exe的。在微软知识库314056中对svchost.exe有如下描述:svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
  其实svchost.exe是Windows XP系统的一个核心进程。svchost.exe不单单只出现在Windows XP中,在使用NT内核的Windows系统中都会有svchost.exe的存在。一般在Windows 2000中svchost.exe进程的数目为2个,而在Windows XP中svchost.exe进程的数目就上升到了4个及4个以上。所以看到系统的进程列表中有几个svchost.exe不用那幺担心。
  svchost.exe到底是做什幺用的呢?
  首先我们要了解一点那就是Windows系统的中的进程分为:独立进程和共享进程这两种。由于Windows系统中的服务越来越多,为了节约有限的系统资源微软把很多的系统服务做成了共享模式。那svchost.exe在这中间是担任怎样一个角色呢?
  svchost.exe的工作就是作为这些服务的宿主,即由svchost.exe来启动这些服务。svchost.exe只是负责为这些服务提供启动的条件,其自身并不能实现任何服务的功能,也不能为用户提供任何服务。svchost.exe通过为这些系统服务调用动态链接库(DLL)的方式来启动系统服务。
  svchost.exe是病毒这种说法是任何产生的呢?
  因为svchost.exe可以作为服务的宿主来启动服务,所以病毒、木马的编写者也挖空心思的要利用svchost.exe的这个特性来迷惑用户达到入侵、破坏计算机的目的。
  如何才能辨别哪些是正常的svchost.exe进程,而哪些是病毒进程呢?
  svchost.exe的键值是在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost”,如图1所示。图1中每个键值表示一个独立的svchost.exe组。
  微软还为我们提供了一种察看系统正在运行在svchost.exe列表中的服务的方法。以Windows XP为例:在“运行”中输入:cmd,然后在命令行模式中输入:tasklist /svc。系统列出如图2所示的服务列表。图2中红框包围起来的区域就是svchost.exe启动的服务列表。如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为:“tlist -s”即可。如果你怀疑计算机有可能被病毒感染,svchost.exe的服务出现异常的话通过搜索svchost.exe文件就可以发现异常情况。一般只会找到一个在:“C:\Windows\System32”目录下的svchost.exe程序。如果你在其它目录下发现svchost.exe程序的话,那很可能就是中毒了。
  还有一种确认svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径,所以要使用第三方的进程察看工具。
3、Services.exe造成CPU使用率占用100%
  症状
  在基于 Windows 2000 的计算机上,Services.exe 中的 CPU 使用率可能间歇性地达到100 %,并且计算机可能停止响应(挂起)。出现此问题时,连接到该计算机(如果它是文件服务器或域控制器)的用户会被断开连接。您可能还需要重新启动计算机。如果 Esent.dll 错误地处理将文件刷新到磁盘的方式,则会出现此症状。
  解决方案
  Service Pack 信息
  要解决此问题,请获取最新的 Microsoft Windows 2000 Service Pack。有关其它信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
  260910 如何获取最新的 Windows 2000 Service Pack
  修复程序信息
  Microsoft 提供了受支持的修补程序,但该程序只是为了解决本文所介绍的问题。只有计算机遇到本文提到的特定问题时才可应用此修补程序。此修补程序可能还会接受其它一些测试。因此,如果这个问题没有对您造成严重的影响,Microsoft 建议您等待包含此修补程序的下一个 Windows 2000 Service Pack。
  要立即解决此问题,请与“Microsoft 产品支持服务”联系,以获取此修补程序。有关“Microsoft 产品支持服务”电话号码和支持费用信息的完整列表,请访问 Microsoft Web 站点:
  注意 :特殊情况下,如果 Microsoft 支持专业人员确定某个特定的更新程序能够解决您的问题,可免收通常情况下收取的电话支持服务费用。对于特定更新程序无法解决的其它支持问题和事项,将正常收取支持费用。
  下表列出了此修补程序的全球版本的文件属性(或更新的属性)。这些文件的日期和时间按协调通用时间 (UTC) 列出。查看文件信息时,它将转换为本地时间。要了解 UTC 与本地时间之间的时差,请使用“控制面板”中的“日期和时间”工具中的 时区 选项卡。
  状态
  Microsoft 已经确认这是在本文开头列出的 Microsoft 产品中存在的问题。此问题最初是在 Microsoft Windows 2000 Service Pack 4 中更正的。
  4、正常软件造成CPU使用率占用100%
  首先,如果是从开机后就发生上述情况直到关机。那幺就有可能是由某个随系统同时登陆的软件造成的。可以通过运行输入“msconfig”打开“系统实用配置工具”,进入“启动”选项卡。接着,依次取消可疑选项前面的对钩,然后重新启动电脑。反复测试直到找到造成故障的软件。或者可以通过一些优化软件如“优化大师”达到上述目的。另:如果键盘内按键卡住也可能造成开机就出现上述问题。
  如果是使用电脑途中出项这类问题,可以调出任务管理器(WINXP CTRL+ALT+DEL WIN2000 CTRL+SHIFT“ESC),进入”进程“选项卡,看”CPU“栏,从里面找到占用资源较高的程序(其中SYSTEM IDLE PROCESS是属于正常,它的值一般都很高,它的作用是告诉当前你可用的CPU资源是多少,所以它的值越高越好)通过搜索功能找到这个进程属于哪个软件。然后,可以通过升级、关闭、卸载这个软件或者干脆找个同类软件替换,问题即可得到解决。
  
5、
病毒

木马
、间谍软件造成CPU使用率占用100%

  出现CPU占用率100% 的故障经常是因为病毒木马造成的,比如
震荡波
病毒。应该首先更新病毒库,对电脑进行全机扫描 。接着,在使用反间谍软件Ad—Aware,检查是否存在间谍软件。论坛上有不少朋友都遇到过svchost.exe占用CPU100%,这个往往是中毒的表现。
  svchost.exe Windows中的系统服务是以动态链接库(DLL)的形式实现的,其中一些会把可执行程序指向svchost.exe,由它调用相应服务的动态链接库并加上相应参数来启动服务。正是因为它的特殊性和重要性,使它更容易成为了一些病毒木马的宿主。
  6、explorer.exe进程造成CPU使用率占用100%
  在system.ini文件中,在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”,如果不是“explorer.exe”,而是“shell= explorer.exe 程序名”,那幺后面跟着的那个程序就是“木马”程序,就是说你已经中“木马”了。
  在注册表中的情况最复杂,通过regedit命令打开注册表编辑器,在点击至:“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”目录下,查看键值中有没有自己不熟悉的自动启动文件,扩展名为EXE,这里切记:有的“木马”程序生成的文件很像系统自身文件,想通过伪装蒙混过关,如“Acid Battery v1.0木马”,它将注册表“HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”下的
  Explorer 键值改为Explorer=“C:\Windows\expiorer.exe”,“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序,如:“HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run”、“HKEY-USERS\****\Software\Microsoft\Windows\CurrentVersion\Run”的目录下都有可能,最好的办法就是在“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马”程序的文件名,再在整个注册表中搜索即可。
 7、超线程导致CPU使用率占用100%
  这类故障的共同原因就是都使用了具有超线程功能的P4 CPU。我查找了一些资料都没有明确的原因解释。据一些网友总结超线程似乎和天网防火墙有冲突,可以通过卸载天网并安装其它防火墙解决,也可以通过在BIOS中关闭超线程功能解决。
  8、AVI视频文件造成CPU使用率占用100%
  在Windows XP中,单击一个较大的AVI视频文件后,可能会出现系统假死现象,并且造成exploere.exe进程的使用率100%,这是因为系统要先扫描该文件,并检查文件所有部分,建立索引。如果文件较大就会需要较长时间并造成CPU占用率100%。解决方法:右键单击保存视频文件的文件夹,选择”属性—>常规—>高级“,去掉”为了快速搜索,允许索引服务编制该文件夹的索引“前面复选框的对钩即可。
  9、杀毒软件CPU使用率占用100%
  现在的杀毒软件一般都加入了,对网页、邮件、个人隐私的即时监空功能,这样无疑会加大系统的负担。比如:在玩游戏的时候,会非常缓慢。关闭该杀毒软件是解决得最直接办法。
  10、处理较大的Word文件时CPU使用率过高
  上述问题一般还会造成电脑假死,这些都是因为WORD的拼写和语法检查造成的,只要打开WORD的“工具—选项”,进入“拼写和语法”选项卡,将其中的“键入时检查拼写”和“键入时检查语法”两项前面的复选框中的钩去掉即可。
  11、网络连接导致CPU使用率占用100%
  当你的Windows2000/xp作为服务器时,收到来自端口445上的连接请求后,系统将分配内存和少量CPU资源来为这些连接提供服务,当负荷过重,就会出现上述情况。要解决这个问题可以通过修改注册表来解决,打开注册表,找到HKEY—LOCAL—MACHNE\SYSTEM\CurrentControlSet\Services\lanmanserver,在右面新建一个名为";maxworkitems";的DWORD值.然后双击该值,如果你的电脑有512以上内存,就设置为";1024";,如果小于512,就设置为256.
  一些不完善的驱动程序也可以造成CPU使用率过高
  经常使用待机功能,也会造成系统自动关闭硬盘DMA模式。这不仅会使系统性能大幅度下降,系统启动速度变慢,也会使是系统在运行一些大型软件和游戏时CPU使用率100%,产生停顿。
进程占用CPU 100%时可能中的
病毒

  system Idle Process
  进程文件: [system process] or [system process]
  进程名称: Windows内存处理系统进程
  描 述: Windows页面内存管理进程,拥有0级优先。
  介 绍:该进程作为单线程运行在每个处理器上,并在系统不处理其它线程的时候分派处理器的时间。它的CPU占用率越大表示可供分配的CPU资源越多,数字越小则表示CPU资源紧张。
  Spoolsv.exe
  进程文件: spoolsv or Spoolsv.exe
  进程名称: Printer Spooler Service
  描 述: Windows打印任务控制程序,用以打印机就绪。
  介 绍:缓冲(spooler)服务是管理缓冲池中的打印和传真作业。
  Spoolsv.exe→打印任务控制程序,一般会先加载以供列表机打印前的准备工作
  Spoolsv.exe,如果常增高,有可能是病毒感染所致
  目前常见的是:
  Backdoor/Byshell(又叫隐形大盗、隐形杀手、西门庆病毒)
  危害程度:中
  受影响的系统: Windows 2000, Windows XP, Windows Server 2003
  未受影响的系统: Windows 95, Windows 98, Windows Me, Windows NT, Windows 3.x, Macintosh, Unix, Linux,
  病毒危害:
  1. 生成病毒文件
  2. 插入正常系统文件中
  3. 修改系统注册表
  4. 可被黑客
远程控制

  5. 躲避反病毒软件的查杀
  简单的后门
木马
,发作会删除自身程序,但将自身程序套入可执行程序内(如:exe),并与计算机的通口(TCP端口138)挂钩,监控计算机的信息、密码,甚至是键盘操作,作为回传的信息,并不时驱动端口,以等候传进的命令,由于该木马不能判别何者是正确的端口,所以负责输出的列表机也是其驱动对象,以致Spoolsv.exe的使用异常频繁……
  Backdoor.Win32.Plutor
  破坏方法:感染PE文件的后门程序
  病毒采用VC编写。
  病毒运行后有以下行为:
  1、将病毒文件复制到%WINDIR%目录下,文件名为";Spoolsv.exe";,并该病毒文件运行。";Spoolsv.exe";文件运行后释放文件名为";mscheck.exe";的文件到%SYSDIR%目录下,该文件的主要功能是每次激活时运行";Spoolsv.exe";文件。如果所运行的文件是感染了正常文件的病毒文件,病毒将会把该文件恢复并将其运行。
  2、修改注册表以下键值:
  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
  增加数据项:";Microsoft Script Checker"; 数据为:";MSCHECK.EXE /START";
  修改该项注册表使";MSCHECK.EXE";文件每次系统激活时都将被运行,而";MSCHECK.EXE";用于运行";Spoolsv.exe";文件,从而达到病毒自激活的目的。
  3、创建一个线程用于感染C盘下的PE文件,但是文件路径中包含";winnt";、";Windows";字符串的文件不感染。另外,该病毒还会枚举
局域网
中的共享目录并试图对这些目录下的文件进行感染。该病毒感染文件方法比较简单,将正常文件的前0×16000个字节替换为病毒文件中的数据,并将原来0×16000个字节的数据插入所感染的文件尾部。
  4、试图与局域网内名为";admin";的邮槽联系,创建名为";client";的邮槽用于接收其控制端所发送的命令,为其控制端提供以下远程控制服务:
  显示或隐藏指定窗口、屏幕截取、控制CDROM、关闭计算器、注销、破坏硬盘数据。
 
那些
病毒
会造成CPU占有率过高

  

震荡波
蠕虫

  利用微软操作系统的LSASS缓冲区溢出
漏洞
进行远程主动攻击和传染,导致系统异常和网络严重拥塞,具有极强的危害性,病毒如果攻击成功,则会占用大量系统资源,使CPU占用率达到100%,出现电脑运行异常缓慢的现象。
  如果中了这种病毒可采用下面的四种方法进行清除。
  1、断网打补丁
  如果不给系统打上相应的漏洞补丁,则连网后依然会遭受到该病毒的攻击,用户应该先下载相应的漏洞补丁程序,然后断开网络,运行补丁程序,当补丁安装完成后再上网。
  2、清除内存中的病毒进程
  要想彻底清除该病毒,应该先清除内存中的病毒进程,用户可以按CTRL+SHIFT+ESC三或者右键单击任务栏,在弹出菜单中选择“任务管理器”打开任务管理器界面,然后在内存中查找名为“avserve.exe”的进程,找到后直接将它结束。
  3、删除病毒文件
  病毒感染系统时会在系统安装目录(默认为C:\WINNT)下产生一个名为avserve.exe的病毒文件,并在系统目录下(默认为C:\WINNT\System32)生成一些名为;_UP.exe的病毒文件,用户可以查找这些文件,找到后删除,如果系统提示删除文件失败,则用户需要到安全模式下或DOS系统下删除这些文件。
  4、删除注册表键值
  该病毒会在电脑注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run项中建立名为“avserve.exe”,内容为:“%Windows%\avserve.exe”的病毒键值,为了防止病毒下次系统启动时自动运行,用户应该将该键值删除,方法是在“运行”菜单中键入“REGEDIT” 然后调出注册表编辑器,找到该病毒键值,然后直接删除。
  bride病毒
  此病毒可以在Windows 2000、Windows XP等操作系统环境下正常运行,病毒运行时会释放出一个FUNLOVE病毒并将之执行,而FUNLOVE病毒会在计算机中大量繁殖,造成系统变慢,网络阻塞。
  病毒清除方法
  此病毒可以用趋势、诺顿、瑞星、金山和江民等杀毒软件进行清除。
小知识:系统进程
  一款好的防火墙并不能发现所有
病毒
;一个好的杀毒软件并不能歼灭所有的带毒程序!遇到这些情况我们该做何处理呢?很简单——手工杀毒。而要论到手工杀毒,就不能不提到系统进程了。
  进程、病毒?
  书上说:“进程为应用程序的运行实例,是应用程序的一次动态执行。”看似高深,我们可以简单地理解为:它是操作系统当前运行的执行程序。在系统当前运行的执行程序里包括:系统管理计算机个体和完成各种操作所必需的程序;用户开启、执行的额外程序,当然也包括用户不知道,而自动运行的非法程序(它们就有可能是病毒程序)。
  危害较大的可执行病毒同样以“进程”形式出现在系统内部(一些病毒可能并不被进程列表显示,如“宏病毒”),那幺及时查看并准确杀掉非法进程对于“手工杀毒有起着关键性的作用。
  如何打开系统进程列表?
  要通过进程列表查看系统是否染毒,必须打开当前的执行程序进程列表,Microsoft的每种系统都有相应的打开方法,但能够显示的能力却因(系统)不同,有所差异:
  1.Windows 98 /Me系统
  打开系统进程的方式很简单,快捷键“Ctrl+Alt+Delete”(如图1),这个窗口大家应该比较熟悉,使用Windows系统的用户都知道用这个方法来关闭程序,不过它同样用于显示系统进程,只是Windows 98系统较初级,对进程的显示局限于名称,且里面所显示的还有打开的文件及目录名,查看时易混淆。Windows Me的进程打开方式和Windows 98相同。
  Windows 9x系统打开的进程列表混乱且不完全,显然不便于查看系统的具体进程状况,所以建议使用一些工具程序来为Windows 9x系统显示进程,如“Windows优化大师”,在“优化大师”的“系统安全优化”项内打开“进程管理”,在图2所示的“Windows 进程管理”窗口内,可以详细查看当前计算机所运行的所有进程,及具体程序所在的位置,这样更方便完成后面要介绍的如何利用进程进行查毒、杀毒。
  2.Windows 2000/ XP/2003系统
  Windows 2000、Windows XP、Windows 2003打开进程窗口的方式与Windows 9x系统相同,只是三键后打开的是“Windows 任务管理器”窗口,需要选择里面的“进程”项。Windows 2000系统只显示具体进程的全名,占用的内存量;Windows XP、Windows 2003系统相比Windows 2000会显示该进程归属于那个用户下,如操作系统所必须的基础程序,会在后面的“用户名”内显示为“SYSTEM”,由用户另外开启的程序则用户名为当前的系统登录用户名。
  经进程发现病毒
  在介绍具体的查毒和杀毒前,笔者先回答开篇提出的两个问题。为什幺杀毒软件并不能全面的查找和杀掉病毒?首先,病毒防火墙是通过对程序进行反汇编,然后与自己的病毒库进行对比来查找病毒,如果病毒较新,而杀毒软件又未能及时升级便不能识别病毒。其次,杀毒软件在发现病毒后,如果是独立的可执行病毒程序,会选择直接删除的处理方式,而病毒如果被当作进程执行了,杀毒软件就无能为力了,因为它没有功能和权限先停止掉系统的这些进程,被当作进程执行的程序是不能被删除的(这也是大家在删除一个程序时,提示该程序正在被使用不能删除的原因)。所以在使用杀毒软件杀毒时,才会有杀毒完成后,又出现病毒提示的原因。   回到原来话题上!通过进程如何发现和杀掉病毒呢?由前面的知识介绍可知,Windows 9X和Windows 2000系统只能显示进程的名称,这对判断该进程是否是病毒还不够,如果要准确的断定病毒,最好使用前面介绍的“Windows优化大师”来查看进程程序的源路径,如果是“C:\Windows\system”下的一些未知的“EXE”那便极有病毒的可能性了。Windows XP和Windows 2003系统,进程后会有“用户名”的显示,病毒是不可能获得“SYSTEM”权限的,所以应注意“用户名”是当前登录用户的进程,一旦发现是病毒,可以立即“杀掉”。这里介绍两个技巧:
  1.发现可疑进程后,利用Windows的查找功能,查找该进程所在的具体路径,通过路径可以知道该进程是否合法,譬如由路径“C:\Program Files\3721\assistse.exe”知道该程序是3721的进程,是合法的。
  2.在对进程是否病毒拿不定主意时,可以复制该进程的全名,如:“xxx.exe”到googl.com或baidu.com这样的全球搜查引擎上进行搜查,如果是病毒会有相关的介绍网页。
  确定了该进程是病毒,首先应该杀掉该进程,对于Windows 9x系统,选中该进程后,点击下面的“结束任务”按钮,Windows 2000、Windows XP、Windows 2003系统则在进程上单击右键在弹出菜单上选择“结束任务”。“杀掉”进程后找到该进程的路径删除掉即可,完成后最好在进行一次杀毒,这样就万无一失了。
  一次利用进程杀毒的具体过程是这样的:“通过进程名及路径判断是否病毒——杀掉进程——删除病毒程序”,为了让读者更好的判断进程,在这里补充一些Windows的进程资料给大家:
  进程名描述
  smss.exe Session Manager
  csrss.exe 子系统服务器进程
  winlogon.exe 管理用户登录
  services.exe 包含很多系统服务
  lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。
  svchost.exe  Windows 2000/XP 的文件保护系统
  Spoolsv.exe  将文件加载到内存中以便迟后打印。
  explorer.exe 资源管理器
  internat.exe 托盘区的拼音图标
  mstask.exe允许程序在指定时间运行。
  regsvc.exe允许远程注册表操作。(系统服务)→remoteregister
  tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。
  llssrv.exe证书记录服务
  ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。
  RsSub.exe 控制用来远程储存数据的媒体。
  locator.exe  管理 RPC 名称服务数据库。
  clipsrv.exe  支持“剪贴簿查看器”,以便可以从远程剪贴簿查阅剪贴页面。
  msdtc.exe 并列事务,是分布于两个以上的数据库,消息队列,文件系统或其它事务保护资源管理器。
  grovel.exe扫描零
备份
存储(SIS)卷上的重复文件,并且将重复文件指向一个数据存储点,以节省磁盘空间(只对 NTFS 文件系统有用)。
  snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
  以上这些进程都是对计算机运行起至关重要的,千万不要随意“杀掉”,否则可能直接影响系统的正常运行。
  微软还为我们提供了一种察看系统正在运行在svchost.exe列表中的服务的方法。
  以Windows XP为例:在“运行”中输入:cmd,然后在命令行模式中输入:tasklist /svc。系统列出服务列表。如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为:“tlist -s”即可。
  如果你怀疑计算机有可能被病毒感染,svchost.exe的服务出现异常的话通过搜索svchost.exe文件就可以发现异常情况。一般只会找到一个在:“C:\Windows\System32”目录下的svchost.exe程序。如果你在其它目录下发现svchost.exe程序的话,那很可能就是中毒了。
  还有一种确认svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径,所以要使用第三方的进程察看工具。
  上面简单的介绍了svchost.exe进程的相关情况。总而言之,svchost.exe是一个系统的核心进程,并不是病毒进程。但由于svchost.exe进程的特殊性,所以病毒也会千方百计的
入侵
svchost.exe。通过察看svchost.exe进程的执行路径可以确认是否中毒。

【简 介】
  Windows XP现在大家都在用了,不过,隐藏在它其中的秘密武器可不是人人都找得到,下面就让我带大家来寻找Win XP中的28个秘密武器。
  1、免费的系统教程(system32文件夹下)
  安装完windows xp后很想马上学习并体验一下它的魅力吗?我们无需再东奔西走去找烦人的文字教材。只要选择“开始”→“漫游windows xp”,就会出现界面,它将引导我们游历windows xp的新功能。
  小提示:windows xp中自带的教程非常形象,是图形界面的,而且制作得相当精美,微软的权威性可想而知。如果你的“开始”菜单上没有“漫游windows xp”项目,则可以运行c:\windows\system32\tourstart.exe进入。
  2、辅助功能向导——Accwiz(system32文件夹下)
  我们知道,微软在windows中为残疾人士提供了辅助功能,使他们也能操作计算机。该程序可以根据用户的视觉、听力和行动来配置我们的windows,使残疾人士能根据自身情况更好地使用windows。
  3、字符映射表——Charmap(system32文件夹)
  是不是觉得word的“插入符号”功能非常方便?我们在其他windows程序中也常常要插入一些特殊符号,而一个个地找又麻烦,这时可使用“字符映射表”程序帮忙。通过“字符映射表”可查看选定字体中有哪些字符,选中后单击“选定”和“复制”按钮,即可把选定字符复制到windows剪贴板中,供字处理软件粘贴使用。
  小提示:用它来复制特殊字体中的特殊符号特别有用。
  4、仓颉拼音输入法——Cintsetp(system32\ime\cintlgnt文件夹下)
  微软新仓颉输入法98b的安装程序,微软把它放在简体中文版windows xp中,但埋藏得较深。不过它很有用,安装后就会在windows中新增一个“中文(台湾)”的仓颉输入法,利用它可以在简体中文windows xp上通过输入繁体汉字。这对于从中国港澳台地区至内地工作的人提供了方便。
  5、磁盘清理大师——Cleanmgr(system32文件夹下)
  尽管现在的硬盘越来越大,但它总有容量的限制。在你不经意地安装这个或那个软件的过程中,可能会因为硬盘空间已频频告急而影响了正常windows程序的执行。不要急,请打开此程序,它会自动地释放出一部分硬盘空间,并会智能化地进行删除操作,保证你的系统万无一失。这比从资源管理器中删除要安全多了。
  6、剪贴板查看器——Clipbrd(system32文件夹下)
  windows剪贴板为我们在各个windows程序间的信息交流提供了一个桥梁。但这部分数据一般情况下无法看到。不过,使用剪贴板查看器就可看到当前剪贴板中的“新大陆”。windows xp中的剪贴板查看器程序较原先windows 9x/me的旧版本多出了共享功能,通过设置权限允许其他网上用户将该剪贴板装入使用。
  7、控制面板启动器——Control.exe(system32文件夹下)
  控制面板是windows的一个重要组成部分,许多设置都通过他完成。而双击这个文件就是最快打开系统控制面板的方法,可省去从“开始”菜单上层层点击的麻烦。
8、Windows xp的诊断医生——Drwtsn32(system32文件夹下)
  drwtsn32是一个程序错误调试器。drwatson程序会获得并记录运行windows的计算机上的程序错误的信息。只要检测到错误,就会创建一个文本文件(drwtsn32.log),提供错误原因的详细说明,并给出解决问题的建议性操作,在与microsoft技术支持联系并请求帮助时,drwatson将会起到很大作用。
  9、DVD播放器——Dvdplay(system32文件夹下)
  随着dvd驱动器和dvd光盘价格的下降,在普通家庭电脑上配置一个dvd播放器已不是一件奢侈的事情。而要播放dvd需要播放器的支持,windows xp提供了一个“免费”的dvd播放器,有了它我们可以省去一笔购买第三方dvd播放软件的费用。
  10、自解压文件制作工具——Iexpress(system32文件夹下)
  用过压缩软件的读者一定对自解压文件不陌生,自解压文件可在没有相应解压缩程序的情况下直接将压缩包文件解压缩到相应的文件夹下,极大地方便了用户。利用iexpress可制作两种自解压文件,一种是标准自解压文件(standard self-extractor),另一种是安装程序式自解压文件(self-extractor for software installation),这样我们在发布程序时就方便多了。另外大家要注意,尽管使用iexpress的运行界面是英文的,但利用它生成的自解压文件却是中文的,省去了繁琐的本地化工作。
  11、文件转移向导——Migwiz(system32\usmt文件夹下)
  windows系统的易用性总是和不稳定性共存的,因此在系统健康之时把当前设置保存下来,供系统崩溃后重新安装时使用是个不错的主意。微软已把这个工具集成到“文件和设置转移向导”程序上。通过它,我们就可以实现系统状态的
备份
与恢复。
  12、系统配置程序——Msconfig(windows\pchealth\helpctr\binaries文件夹下)
  和windows中的系统配置程序一样,通过这个程序,我们可对系统的一般、system.ini、win.ini、boot.ini、服务和启动项目进行修改。
  小提示:用它来去除系统自启动程序特别有效。
  13、备份工具——Ntbackup(system32文件夹下)
  数据是计算机中最为宝贵的资料,因此经常备份你的资料也应该成为一个好习惯。现在许多人都寻求第三方的备份工具,其实大可不必。使用windows xp中内置的备份工具就可以非常方便地将资料进行备份,而且由于你使用的是微软产品,所以根本不存在兼容性问题。
  14、ODBC数据源管理器——Odbcad32(system32文件夹下)
  在windows中访问odbc数据源必须要有其驱动程序,该工具可以查看在windows中已安装的驱动程序及相关信息。


  15、IP地址侦测器——Nslookup(system32文件夹下)

  在联入互联网的每台电脑都有一个ip地址,同样,每个网站也有它的ip地址,而且是唯一的。通过这个ip侦测工具ping就可以轻而易举地得到它们的真正ip地址。如笔者要想知
www.xxx.com的ip地址,dos窗口下输入ping http://www.xxx.com即可看到。

  16、屏幕键盘——Osk(system32文件夹下)

  屏幕键盘是一种实用工具,它在屏幕上显示虚拟键盘,允许那些有移动障碍的用户用指针设备或游戏杆输入数据。屏幕键盘旨在为存在移动障碍的用户提供最低级别的功能。这对于不知道如何键入的用户也很有用。它还可以用于最基本的键盘教学。

  17、对象包装程序——Packager(system32文件夹下)

  通过对象包装程序我们可以打开一个文件,并引入其中的图标,将它们插入到一般windows程序中使用,可用于制作计算机类教学课件或文档。

  18、注册表编辑器增强版——Regedit32(system32文件夹下)

  注册表编辑器是用来更改系统注册表设置的高级工具。注册表中包含了有关计算机如何运行的信息。在windows xp中有一个名为regedit的程序,可编辑注册表,但此程序却是它的增强版本,除可编辑注册表外,还可设置权限、清除重复项、删除已被卸载或删除的程序项等高级操作。

  19、Activex注册和反注册工具——Regsvr32

  使用过activex的人都知道,activex不注册是不能够被系统识别和使用的,一般安装程序都会自动地把它所使用的activex控件注册,但如果你拿到的一个控件需要手动注册怎么办呢?如果修改注册表那就太麻烦了,在windows的system文件夹下有一个regsvr32.exe的程序,它就是windows自带的activex注册和反注册工具。它的用法为:

  “regsvr32 [/s] [/n] [/i(:cmdline)] dllname”。其中dllname为activex控件文件名,建议在安装前拷贝到system文件夹下。

  参数有如下意义:

  /u——反注册控件

  /s——不管注册成功与否,均不显示提示框

  /c——控制台输出

  /i——跳过控件的选项进行安装(与注册不同)

  /n——不注册控件,此选项必须与/i选项一起使用

  如笔者要注册一amovie.ocx控件,则打入regsvr32 amovie.ocx即可,要反注册它时只需使用regsvr32 /u amovie.ocx就行了。

  20、动态链接库函数启动器——Rundll32

  在windows中使用了许多动态链接库,这样就使得所有windows程序都可共享这些动态链接库中的函数。一般情况下,许多应用程序都通过windows api来操作这些函数,但归根结底是通过windows文件夹下的rundll32.exe程序来启动相应的函数。它的用法是:“rundll32.exe动态链接库名,函数名,参数名”。如笔者需要实现一键关机,则在桌面上建立一快捷方式,命令行为“rundll32.exe user.exe,exitwindows”,并设置其快捷键为f4即可。再如,笔者要打开控制面板,则只需要输入命令“rundll32.exe shell32.dll,control_rundll”即可,要打开桌面属性,只需要使用“rundll32.exe shell32.dll,control_rundll desk.cpl”,其余的以此类推。

  21、系统文件检查器——Sfc(system32文件夹下)

  使用windows难免不会出现系统文件损坏或丢失的毛病,而如果为了几个小小的文件就去重装系统,又显得稍微麻烦了一些。通过系统文件检查器sfc.exe,一切都会变得非常简单。

  22、共享文件夹设置工具——Shrpubw(system32文件夹下)

  同一工作组的同事在一起工作,有时必须与同事们共享文件夹,这时我们可以利用此工具轻松搞定。它的作用与右击一文件夹,选择“共享”基本上等价。

 23、Microsoft签字验证工具——Sigverif(system32文件夹下)
  所谓“签署的文件”,就是被授予microsoft数字签署的文件。该签署表明,该文件是原始文件的一模一样的副本。通过microsoft签字验证工具,我们可在计算机上查找已签署和未签署的文件,也可查看签署文件的身份验证,以确认该文件还没有被篡改。使用起来非常方便,和查找窗口几乎没有什么不同,只要给出搜索范围,就可搜索出指定范围内的已签署文件和未签署文件。
  24、音量控制程序——Sndvol32
  我们在windows任务栏上可见到一个可爱的小喇叭,当我们双击它时就会弹出音量控制面板,其实这时我们就是启动了一个windows文件夹下的sndvol32.exe文件。不信,请你进入windows文件夹,再打开sndvol32.exe文件看看,熟悉的“音量控制”面板是否已经在你眼前了?另外还要告诉大家,它还有一个隐藏的参数“/r”,利用此参数可快速地打开录音控制面板,这样我们只要在桌面上建立一指向c:\windows\sndvol32.exe的快捷方式,并令它的参数为/r(即在目标中填入“c:\windows\sndvol32.exe /r”),就可以快速打开录音控制面板选择输入设备了。如果设备过多,在面板上容纳不下时,试着按“ctrl+s”键,不管有多少设备都能够完全显示。
  25、任务管理器——Taskmgr(system32文件夹下)
  任务管理器提供正在你的计算机上运行的程序和进程的相关信息,使用任务管理器可快速查看正在运行的程序的状态,或终止已停止响应的程序。也可使用多达15个的参数评估正在运行的进程的活动,以及查看cpu和内存使用情况的图形和数据。当计算机发生锁死时使用它最方便和有效。
  26、远程连接程序——Telnet(system32文件夹下)
  在internet上有无数的计算机,而要访问它们都必须通过建立远程连接才行,进行两个计算机的远程连接可用专门软件实现,但通过windows自带的远程连接程序telnet.exe也能完成这一操作,而且它还是纯中文界面软件。
  27、远程FTP工具——Tftp(system32文件夹下)
  ftp是一个网络传输的协议,通过这个程序可非常方便地连接到对方的服务器上进行文件的存取操作,省得再找如第三方的ftp软件了,可惜的是它是字符界面。
  28、Windows升级程序——Wupdmgr(system32文件夹下)
  安装完windows后,在开始菜单的上方会有windows update菜单项,通过它能自动登录到microsoft公司的网站上完成自己windows的升级工作。但时间一长,可能会把这个快捷方式误删除了,这时我们就可以通过打开windows下的wupdmgr.exe文件来完成这个功能。
  Windows xp实为一个功能强大的操作系统,但只有充分地发挥其内置功能,才能更好地使用它。这也符合“基础的未必是最坏的,回到基础还是好的”的道理。

2005年06月02日

Windows xp的任务管理器,大家一定不会陌生。通过“Ctrl+Alt+Del”组合键,选择“任务管理器”就可以查看到本机完整的进程列表,而且可以通过手工定制进程列表的方式获的更多的进程信息,如会话ID、用户名等,但遗憾的是,我们查看不到这些进程到底提供了哪些系统服务。在Windows XP中新增了一个命令行工具“tasklist.exe”能实现上面的功能。
   
    “Tasklist”命令是一个用来显示运行在本地或远程计算机上的所有进程的命令行工具,带有多个执行参数。
它的使用格式为:
 TASKLIST [/S system [/U username [/P [password]]]]
         [/M [module] | /SVC | /V] [/FI filter] [/FO format] [/NH]
   参数列表:
   /S     system           指定连接到的远程系统。
/U     [domain\]user    指定使用哪个用户执行这个命令。
/P     [password]       为指定的用户指定密码。
/M     [module]         列出调用指定的 DLL 模块的所有进程。
                         如果没有指定模块名,显示每个进程加载的所有模块。
/SVC                    显示每个进程中的服务。
/V                      指定要显示详述信息。
/FI    filter           显示一系列符合筛选器指定的进程。
/FO    format           指定输出格式,有效值: "TABLE"、"LIST"、"CSV"。
/NH                     指定栏标头不应该在输出中显示。
                           只对 "TABLE" 和 "CSV" 格式有效。

1、      使用“Tasklist”命令查看本机进程
 运行“命令提示符”程序,在提示符窗口中输入:“tasklist”命令(图一),这样就显示本机的所有进程。本机的显示结果由五部分组成:图像名(进程名)、PID、会话名、会话#、内存使用。

2、      查看远程系统的进程
 在命令提示符下输入(图二):
   “tasklist  /s  218.22.123.26  /u  jtdd  /p  12345678”(不包括引号)
其中/s参数后的“218.22.123.26”指要查看的远程系统的IP地址,/u后的“jtdd”指tasklist命令使用的用户帐号,它是远程系统上的一个合法帐号,/p后的“12345678”指jtdd帐号的密码,。
  这样,通过上面的命令,我们就可以查看到远程系统的进程了。
 小提示:使用tasklist命令查看远程系统的进程时,需要远程机器的RPC 服务器的支持,否则,该命令就不能正常使用。

3、      查看系统进程提供的服务
 tasklist命令不但可以查看系统进程,而且还可以查看每个进程提供的服务。
 如查看本机的进程“SVCHOST.EXE”提供的服务,在命令提示符下输入:
 
“tasklist  /svc”命令即可(图三),你会惊奇的发现,有四个“SVCHOST.EXE”进程,原来有二十几项服务使用这个进程,对于远程系统来说,查看系统服务也很简单,使用” tasklist  /s  218.22.123.26  /u  jtdd  /p  12345678  /svc”命令,就可以查看IP地址为“218.22.123.26”的远程系统进程所提供的服务。

4、      查看调用DLL模块文件的进程列表
例如,我们要查看本地系统中哪些进程调用了“shell32.dll” DLL模块文件。
(图四)在命令提示符下输入:
  tasklist  /m  shell32.dll
这时系统将显示调用进程列表。
 
5、      使用筛选器查找指定的进程
在命令提示符下输入:
“TASKLIST   /FI    "USERNAME ne NT AUTHORITY\SYSTEM"     /FI "STATUS eq running“
  这样就列出了系统中正在运行的非“SYSTEM“状态的所有进程(图五)。
 其中“/FI“为筛选器参数,” ne“和”eq“为关系运算符”不相等“和”相等“。

 补充:
 谈到“Tasklist”命令,我们就不得不提它得孪生兄弟“taskkill”命令,顾名思义,它是用来杀死进程的。
  如要杀死本机的“notepad.exe”进程。
首先,使用Tasklist查找它的PID,系统显示本机“notepad.exe”进程的PID值为“1132“,然后运行“taskkill  /pid 1132”即可,或则运行” taskkill  /IM  notepad.exe“也可,
其中” /pid “参数后面跟要终止进程的PID值,“/IM“参数后面为进程的图像名。


“Tasklist”命令的用法还有很多,由于篇幅关系,就不详细介绍了,有兴趣的朋友可以参考有关技术资料,进行深入研究。
,

2005年05月23日

这几天在学习软件汉化,这是我的第一个汉化修改作品,虽然有点简单,还是有点成就感。这里先谢谢霏凡论坛的BD540!!

软件简介:
系统启动项管理工具,可以查看和删除跟随系统或浏览器一同启动的程序,并可以自动删除间谍程序。非常方便。
软件本身很小,绿色软件,附有注册机。

下载RunViewer1.2

http://bbs.crsky.com/job.php?action=download&pid=tpc&tid=180463&aid=68663

2005年05月22日

         进程名 描述

smss.exeSessionManager
csrss.exe 子系统服务器进程
winlogon.exe管理用户登录
services.exe包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。
svchost.exe Windows 2000/XP 的文件保护系统
SPOOLSV.EXE 将文件加载到内存中以便迟后打印。)
explorer.exe资源管理器
internat.exe托盘区的拼音图标)
mstask.exe允许程序在指定时间运行。
regsvc.exe允许远程注册表操作。(系统服务)->remoteregister
winmgmt.exe 提供系统管理信息(系统服务)。
inetinfo.exemsftpsvc,w3svc,iisadmn
tlntsvr.exe tlnrsvr
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。
termsrv.exe termservice
dns.exe 应答对域名系统(DNS)名称的查询和更新请求。
tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional 的能力。
ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。
ups.exe 管理连接到计算机的不间断电源(UPS)。
wins.exe为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。
llssrv.exe证书记录服务
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。
RsSub.exe 控制用来远程储存数据的媒体。
locator.exe 管理 RPC 名称服务数据库。
lserver.exe 注册客户端许可证。
dfssvc.exe管理分布于局域网或广域网的逻辑卷。
clipsrv.exe 支持“剪贴簿查看器”,以便可以从远程剪贴簿查阅剪贴页面。
msdtc.exe 并列事务,是分布于两个以上的数据库,消息队列,文件系统或其它事务保护护资源管理器。
faxsvc.exe帮助您发送和接收传真。
cisvc.exe 索引服务
dmadmin.exe 磁盘管理请求的系统管理服务。
mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。
netdde.exe提供动态数据交换 (DDE) 的网络传输和安全特性。
smlogsvc.exe配置性能日志和警报。
rsvp.exe为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功功能。
RsEng.exe 协调用来储存不常用数据的服务和管理工具。
RsFsa.exe 管理远程储存的文件的操作。
grovel.exe扫描零备份存储(SIS)卷上的重复文件,并且将重复文件指向一个数据存储点,以节省磁盘空间(只对 NTFS 文件系统有用)。
SCardSvr.ex 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。
snmp.exe包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
snmptrap.exe接收由本地或远程 SNMP 代理程序产生的陷阱(trap)消息,然后将消息传递到运行在这台计算机上 SNMP 管理程序。
UtilMan.exe 从一个窗口中启动和配置辅助工具。
msiexec.exe依据 .MSI 文件中包含的命令来安装、修复以及删除软件。
最基本的系统进程(也就是说,这些进程是系统运行的基本条件,有了这些进程,系统就能正常运行)   

smss.exe Session Manager   

csrss.exe 子系统服务器进程   

winlogon.exe 管理用户登录   

services.exe 包含很多系统服务   

lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务)   

svchost.exe 包含很多系统服务   

svchost.exe   SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务)   explorer.exe 资源管理器   

internat.exe 托盘区的拼音图标  

附加的系统进程(这些进程不是必要的,你可以根据需要通过服务管理器来增加或减少)   

mstask.exe 允许程序在指定时间运行。(系统服务)   

regsvc.exe 允许远程注册表*作。(系统服务)   

winmgmt.exe 提供系统管理信息(系统服务)。   

inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务)   

tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务)   允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务)   

tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务)   

termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000 Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务)

dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)   

以下服务很少会用到,上面的服务都对安全有害,如果不是必要的应该关掉   tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional 的能力。(系统服务) 支持以下 TCP/IP 服务:Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务)

ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务)   

ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务)   

wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。(系统服务)   

llssrv.exe License Logging Service(system service)   

ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务)  

RsSub.exe 控制用来远程储存数据的媒体。(系统服务)   

locator.exe 管理 RPC 名称服务数据库。(系统服务)   

lserver.exe 注册客户端许可证。(系统服务)   

dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务)   

clipsrv.exe 支持“剪贴簿查看器”,以便可以从远程剪贴簿查阅剪贴页面。(系统服务)   

msdtc.exe 并列事务,是分布于两个以上的数据库,消息队列,文件系统,或其它事务保护资源管理器。(系统服务)   

faxsvc.exe 帮助您发送和接收传真。(系统服务)   

cisvc.exe Indexing Service(system service)   

dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务)   

mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务)   

netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务)  

smlogsvc.exe 配置性能日志和警报。(系统服务)   

rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务)   

RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务)

RsFsa.exe 管理远程储存的文件的操作。(系统服务)   

grovel.exe 扫描零备份存储(SIS)卷上的重复文件,并且将重复文件指向一个数据存储点,以节省磁盘空间。(系统服务)   

SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务)   

snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务)   

snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息,然后将消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务)   

UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务)   

msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务)

2005年05月21日

Alerter
微软: 通知选取的使用者及计算机系统管理警示。如果停止这个服务,使用系统管理警示的程序将不会收到通知。如果停用这个服务,所有依存于它的服务将无法启动。
补充: 一般家用计算机根本不需要传送或接收计算机系统管理来的警示(Administrative Alerts),除非你的计算机用在局域网络上
依存: Workstation
建议: 已停用

Application Layer Gateway Service
微软: 提供因特网联机共享和因特网联机防火墙的第三方通讯协议插件的支持
补充: 如果你不使用因特网联机共享 (ICS) 提供多台计算机的因特网存取和因特网联机防火墙 (ICF) 软件你可以关掉
依存: Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)
建议: 已停用
Application Management (应用程序管理)
微软: 提供指派、发行、以及移除的软件安装服务。
补充: 如上说的软件安装变更的服务
建议: 手动

Automatic Updates
微软: 启用重要 Windows 更新的下载及安装。如果停用此服务,可以手动的从 Windows Update 网站上更新xx作系统。
补充: 允许 Windows 于背景自动联机之下,到 Microsoft Servers 自动检查和下载更新修补程序
建议: 已停用

Background Intelligent Transfer Service
微软: 使用闲置的网络频宽来传输数据。
补充: 经由 Via HTTP1.1 在背景传输资料的?#124;西,例如 Windows Update 就是以此为工作之一
依存: Remote Procedure Call (RPC) 和 Workstation
建议: 已停用

ClipBook (剪贴簿)
微软: 启用剪贴簿检视器以储存信息并与远程计算机共享。如果这个服务被停止,剪贴簿检视器将无法与远程计算机共享信息。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 把剪贴簿内的信息和其它台计算机分享,一般家用计算机根本用不到
依存: Network DDE
建议: 已停用
COM+ Event System (COM+ 事件系统)
微软: 支持「系统事件通知服务 (SENS)」,它可让事件自动分散到订阅的 COM 组件。如果服务被停止,SENS 会关闭,并无法提供登入及注销通知。如果此服务被停用,任何明显依存它的服务都无法启动。
补充: 有些程序可能用到 COM+ 组件,像 BootVis 的 optimize system 应用,如事件检视器内显示的 DCOM 没有启用
依存: Remote Procedure Call (RPC) 和 System Event Notification
建议: 手动

COM+ System Application
微软: 管理 COM+ 组件的设定及追踪。如果停止此服务,大部分的 COM+ 组件将无法适当?#092;作。如果此服务被停用,任何明确依存它的服务将无法启动。
补充: 如果 COM+ Event System 是一台车,那么 COM+ System Application 就是司机,如事件检视器内显示的 DCOM 没有启用
依存: Remote Procedure Call (RPC)
建议: 手动

Computer Browser (计算机浏览器)
微软: 维护网络上更新的计算机清单,并将这个清单提供给做为浏览器的计算机。如果停止这个服务,这个清单将不会被更新或维护。如果停用这个服务,所有依存于它的服务将无法启动。
补充: 一般家庭用计算机不需要,除非你的计算机应用在区网之上,不过在大型的区网上有必要开这个拖慢速度吗?
依存: Server 和 Workstation
建议: 已停用

Cryptographic Services
微软: 提供三个管理服务: 确认 Windows 档案签章的 [类别目录数据库服务]; 从这个计算机新增及移除受信任根凭证授权凭证的 [受保护的根目录服务]; 以及协助注册这个计算机以取得凭证的 [金钥服务]。如果这个服务被停止,这些管理服务将无法正确工作。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 简单的说就是 Windows Hardware Quality Lab (WHQL)微软的一种认证,如果你有使用 Automatic Updates ,那你可能需要这个
依存: Remote Procedure Call (RPC)
建议: 手动

DHCP Client (DHCP 客户端)
微软: 透过登录及更新 IP 地址和 DNS 名称来管理网络设定。
补充: 使用 DSL/Cable 、ICS 和 IPSEC 的人都需要这个来指定动态 IP
依存: AFD 网络支持环境、NetBT、SYMTDI、TCP/IP Protocol Driver 和 NetBios over TCP/IP
建议: 手动

Distributed Link Tracking Client (分布式连结追踪客户端)
微软: 维护计算机中或网络网域不同计算机中 NTFS 档案间的连结。
补充: 维护区网内不同计算机之间的档案连结
依存: Remote Procedure Call (RPC)
建议: 已停用

Distributed Transaction Coordinator (分布式交易协调器)
微软: 协调跨越多个资源管理员的交易,比如数据库、讯息队列及档案系统。如果此服务被停止,这些交易将不会发生。如果服务被停用,任何明显依存它的服务将无法启动。
补充: 如上所说的,一般家庭用计算机用不太到,除非你启用的 Message Queuing
依存: Remote Procedure Call (RPC) 和 Security Accounts Manager
建议: 已停用

DNS Client (DNS 客户端)
微软: 解析并快取这台计算机的网域名称系统 (DNS) 名称。如果停止这个服务,这台计算机将无法解析 DNS 名称并寻找 Active Directory 网域控制站的位置。如果停用这个服务,所有依存于它的服务将无法启动。
补充: 如上所说的,另外 IPSEC 需要用到
依存: TCP/IP Protocol Driver
建议: 手动

Error Reporting Service
微软: 允许对执行于非标准环境中的服务和应用程序的错误报告。
补充: 微软的应用程序错误报告
依存: Remote Procedure Call (RPC)
建议: 已停用
Event Log (事件记录文件)
微软: 启用 Windows 为主的程序和组件所发出的事件讯息可以在事件检视器中检视。这个服务不能被停止。
补充: 允许事件讯息显示在事件检视器之上
依存: Windows Management Instrumentation
建议: 自动

Fast User Switching Compatibility
微软: 在多使用者环境下提供应用程序管理。
补充: 另外像是注销画面中的切换使用者功能
依存: Terminal Services
建议: 手动

Help and Support
微软: 让说明及支持中心能够在这台计算机上执行。如果这个服务停止,将无法使用说明及支持中心。如果这个服务被停用,它的所有依存服务将无法启动。补充: 如果不使用就关了吧
依存: Remote Procedure Call (RPC)
建议: 已停用

Human Interface Device Access
微软: 启用对人性化接口装置 (HID) 的通用输入存取,HID 装置启动并维护对这个键盘、远程控制、以及其它多媒体装置上事先定义的快捷纽的使用。如果这个服务被停止,这个服务控制的快捷纽将不再起作用。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 如上所提到的
依存: Remote Procedure Call (RPC)
建议: 已停用

IMAPI CD-Burning COM Service
微软: 使用 Image Mastering Applications Programming Interface (IMAPI) 来管理光盘录制。如果这个服务被停止,这个计算机将无法录制光盘。如果这个服务被停用,任何明确地依赖它的服务将无法启动。补充: XP 整合的 CD-R 和 CD-RW 光驱上拖放的烧录功能,可惜比不上烧录软件,关掉还可以加快 Nero 的开启速度
建议: 已停用

Indexing Service (索引服务)
微软: 本机和远程计算机的索引内容和档案属性; 透过弹性的查询语言提供快速档案存取。补充: 简单的说可以让你加快搜查速度,不过我想应该很少人和远程计算机作搜寻吧依存: Remote Procedure Call (RPC) 建议: 已停用 Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS) 微软: 为您的家用网络或小型办公室网络提供网络地址转译、寻址及名称解析服务和/或防止干扰的服务。
补充: 如果你不使用因特网联机共享(ICS)或是 XP 内含的因特网联机防火墙(ICF)你可以关掉
依存: Application Layer Gateway Service、Network Connections、Network Location Awareness(NLA)、Remote Access Connection Manager
建议: 已停用

IPSEC Services (IP 安全性服务)
微软: 管理 IP 安全性原则并启动 ISAKMP/Oakley (IKE) 及 IP 安全性驱动程序。
补充: 协助保护经由网络传送的数据。IPSec 为一重要环节,为虚拟私人网络 (VPN) 中提供安全性,而 VPN 允许组织经由因特网安全地传输数据。在某些网域上也许需要,但是一般使用者大部分是不太需要的
依存: IPSEC driver、Remote Procedure Call (RPC)、TCP/IP Protocol Driver
建议: 手动

Logical Disk Manager (逻辑磁盘管理员)
微软: 侦测及监视新硬盘磁盘,以及传送磁盘区信息到逻辑磁盘管理系统管理服务以供设定。如果这个服务被停止,动态磁盘状态和设定信息可能会过时。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 磁盘管理员用来动态管理磁盘,如显示磁盘可用空间等和使用 Microsoft Management Console(MMC)主控台的功能
依存: Plug and Play、Remote Procedure Call (RPC)、Logical Disk Manager Administrative Service
建议: 自动

Logical Disk Manager Administrative Service (逻辑磁盘管理员系统管理服务)
微软: 设定硬盘磁盘及磁盘区,服务只执行设定程序然后就停止。
补充: 使用 Microsoft Management Console(MMC)主控台的功能时才用到
依存: Plug and Play、Remote Procedure Call (RPC)、Logical Disk Manager
建议: 手动

Messenger (信差) 微软: 在客户端及服务器之间传输网络传送及 [Alerter] 服务讯息。这个服务与 Windows Messenger 无关。如果停止这个服务,Alerter 讯息将不会被传输。如果停用这个服务,所有依存于它的服务将无法启动。
补充: 允许网络之间互相传送提示讯息的功能,如 net send 功能,如不想被骚扰话可关了
依存: NetBIOS Interface、Plug and Play、Remote Procedure Call (RPC)、Workstation
建议: 已停用

MS Software Shadow Copy Provider
微软: 管理磁盘区阴影复制服务所取得的以软件为主的磁盘区阴影复制。如果停止这个服务,就无法管理以软件为主的磁盘区阴影复制。如果停用这个服务,任何明确依存于它的服务将无法启动。
补充: 如上所说的,用来备份的?#124;西,如 MS Backup 程序就需要这个服务
依存: Remote Procedure Call (RPC)
建议: 已停用

Net Logon
微软: 支持网域上计算机的账户登入事件的 pass-through 验证。
补充: 一般家用计算机不太可能去用到登入网域审查这个服务
依存: Workstation
建议: 已停用

NetMeeting Remote Desktop Sharing (NetMeeting 远程桌面共享) 微软: 让经过授权的使用者可以使用 NetMeeting 透过公司近端内部网络,由远程访问这部计算机。如果这项服务停止的话,远程桌面共享功能将无法使用。如果服务停用的话,任何依赖它的服务将无法启动。
补充: 如上说的,让使用者可以将计算机的控制权分享予网络上或因特网上的其它使用者,如果你重视安全性不想多开后门,就关了吧
建议: 已停用

Network Connections (网络联机)
微软: 管理在网络和拨号联机数据夹中的对象,您可以在此数据夹中检视局域网络和远程联机。
补充: 控制你的网络联机
依存: Remote Procedure Call (RPC)、Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)
建议: 手动

Network DDE (网络 DDE)
微软: 为动态数据交换 (DDE) 对在相同或不同计算机上执行的程序提供网络传输和安全性。如果这个服务被停止,DDE 传输和安全性将无法使用。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 一般人好像用不到
依存: Network DDE DSDM、ClipBook
建议: 已停用

Network DDE DSDM (网络 DDE DSDM)
微软: 讯息动态数据交换 (DDE) 网络共享。如果这个服务被停止,DDE 网络共享将无法使用。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 一般人好像用不到
依存:Network DDE
建议: 已停用

Network Location Awareness (NLA)
微软: 收集并存放网络设定和位置信息,并且在这个信息变更时通知应用程序。
补充: 如果不使用 ICF 和 ICS 可以关了它
依存: AFD网络支持环境、TCP/IP Procotol Driver、Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)
建议: 已停用

NT LM Security Support Provider (NTLM 安全性支持提供者)
微软: 为没有使用命名管道传输的远程过程调用 (RPC) 程序提供安全性。
补充: 如果不使用 Message Queuing 或是 Telnet Server 那就关了它
依存: Telnet
建议: 已停用

Performance Logs and Alerts (效能记录文件及警示)
微软: 基于事先设定的排程参数,从本机或远程计算机收集效能数据,然后将数据写入记录或?#124;发警讯。如果这个服务被停止,将不会收集效能信息。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 没什么价值的服务
建议: 已停用

Plug and Play (即插即用)
微软: 启用计算机以使用者没有或很少的输入来识别及适应硬件变更,停止或停用这个服务将导致系统不稳定。
补充: 顾名思义就是 PNP 环境
依存: Logical Disk Manager、Logical Disk Manager Administrative Service、Messenger、Smart Card、Telephony、Windows Audio
建议: 自动

Portable Media Serial Number
微软: Retrieves the serial number of any portable music player connected to your computer
补充: 透过联机计算机重新取得任何音乐拨放序号?没什么价值的服务
建议: 已停用

Print Spooler (打印多任务缓冲处理器)
微软: 将档案加载内存中以待稍后打印。
补充: 如果没有打印机,可以关了
依存: Remote Procedure Call (RPC)
建议: 已停用

Protected Storage (受保护的存放装置)
微软: 提供受保护的存放区,来储存私密金钥这类敏感数据,防止未授权的服务、处理、或使用者进行存取。
补充: 用来储存你计算机上密码的服务,像 Outlook、拨号程序、其它应用程序、主从架构等等
依存: Remote Procedure Call (RPC)
建议: 自动

QoS RSVP (QoS 许可控制,RSVP)
微软: 提供网络讯号及区域流量控制安装功能给可识别 QoS 的程序和控制小程序项。
补充: 用来保留 20% 频宽的服务,如果你的网络卡不支持 802.1p 或在你计算机的网域上没有 ACS server ,那么不用多说,关了它
依存: AFD网络支持环境、TCP/IP Procotol Driver、Remote Procedure Call (RPC)
建议: 已停用

Remote Access Auto Connection Manager (远程访问自动联机管理员)
微软: 当程序参照到远程 DNS 或 NetBIOS 名称或地址时,建立远程网络的联机。
补充: 有些 DSL/Cable 提供者,可能需要用此来处理登入程序
依存: Remote Access Connection Manager、Telephony
建议: 手动

Remote Access Connection Manager (远程访问联机管理员)
微软: 建立网络联机。
补充: 网络联机用
依存: Telephony、Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)、Remote Access Auto Connection Manager
建议: 手动

Remote Desktop Help Session Manager
微软: 管理并控制远程协助。如果此服务停止的话,远程协助将无法使用。停止此服务之前,请先参阅内容对话框中的 [依存性]标签。
补充: 如上说的管理和控制远程协助,如果不使用可以关了
依存: Remote Procedure Call (RPC) 建议: Disable

Remote Procedure Call (RPC) (远程过程调用,RPC)
微软: 提供结束点对应程序以及其它 RPC 服务。
补充: 一些装置都依存它,别去动它依存: 太多了,自己去看看
建议: 自动

Remote Procedure Call (RPC) Locator (远程过程调用定位程序)
微软: 管理 RPC 名称服务数据库。
补充: 如上说的,一般计算机上很少用到,可以尝试关了
依存: Workstation
建议: Disable

Remote Registry (远程登录服务)
微软: 启用远程使用者修改这个计算机上的登录设定。如果这个服务被停止,登录只能由这个计算机上的使用者修改。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 基于安全性的理由,如果没有特别的需求,建议最好关了它,除非你需要远程协助修改你的登录设定
依存: Remote Procedure Call (RPC)
建议: 已停用

Removable Storage (卸除式存放装置) 微软: None
补充: 除非你有 Zip 磁盘驱动器或是 USB 之类可携式的硬件或是 Tape 备份装置,不然可以尝试关了
依存: Remote Procedure Call (RPC)
建议: Disable

Routing and Remote Access (路由和远程访问)
微软: 提供连到局域网络及广域网络的公司的路由服务。
补充: 如上说的,提供拨号联机到区网或是 VPN 服务,一般用户用不到
依存: Remote Procedure Call (RPC)、NetBIOSGroup
建议: 已停用

Secondary Logon
微软: 启用在其它认证下的起始程序。如果这个服务被停止,这类的登入存取将无法使用。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 允许多个使用者处理程序,执行分身等
建议: 关闭

Security Accounts Manager (安全性账户管理员) 微软: 储存本机账户的安全性信息。
补充: 管理账号和群组原则(gpedit.msc)应用
依存: Remote Procedure Call (RPC)、Distributed Transaction Coordinator
建议: 自动

Server (服务器)
微软: 透过网络为这台计算机提供档案、打印、及命名管道的共享。如果停止这个服务,将无法使用这些功能。如果停用这个服务,所有依存于它的服务将无法启动。
补充: 简单的说就是档案和打印的分享,除非你有和其它计算机分享,不然就关了
依存: Computer Browser
建议: 已停用

Shell Hardware Detection
微软: 为自动播放硬件事件提供通知。
补充: 一般使用在记忆卡或是CD装置、DVD装置上
依存: Remote Procedure Call (RPC)
建议: 自动

Smart Card (智慧卡)
微软: 管理这个计算机所读取智能卡的存取。如果这个服务被停止,这个计算机将无法读取智能卡。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 如果你不使用 Smart Card ,那就可以关了
依存: Plug and Play
建议: 已停用

Smart Card Helper (智能卡协助程序)
微软: 启用对这个计算机使用的旧版非随插即用智能卡读取头的支持。如果这个服务被停止,这个计算机将不支持旧版读取头。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 如果你不使用 Smart Card ,那就可以关了
建议: 已停用

SSDP Discovery Service
 微软: 在您的家用网络上启用通用随插即用装置的搜索。
补充: 如上说的,通用随插即用服务 (Universal Plug and Play, UPnP) 让计算机可以找到并使用网络上的装置,经由网络联机透过 TCP/IP 来搜索装置,像网络上的扫瞄器、数字相机或是打印机,亦即使用 UPnP 的功能,基于安全性没用到的大可关了
依存: Universal Plug and Play Device Host
建议: 已停用

System Event Notification (系统事件通知)
微软: 追踪诸如 Windows 登入、网络、和电源事件的系统事件。通知这些事件的 COM+ 事件系统订阅者。
补充: 如上所说的
依存: COM+ Event System
建议: 自动

System Restore Service
微软: 执行系统还原功能。若要停止服务,从我的计算机->内容,[系统还原] 中关闭系统还原
补充: 将计算机回复至先前的状态,不使用就关了
依存: Remote Procedure Call (RPC)
建议: 已停用

Task Scheduler (工作排程器)
微软: 让使用者能够在这个计算机上设定和排定自动的工作。如果停止这个服务,这些工作在它们排定的时间时将不会执行。如果停用这个服务,任何明确依存于它的服务将无法启动。
补充: 设定排定自动的工作,像一些定时磁盘扫瞄、病毒定时扫瞄、更新等等
依存: Remote Procedure Call (RPC)
建议: 关闭

TCP/IP NetBIOS Helper (TCP/IP NetBIOS 协助程序)
微软: 启用 [NetBIOS over TCP/IP (NetBT)] 服务及 NetBIOS 名称解析的支持。
补充: 如果你的网络不使用 NetBios 或是 WINS ,你大可关闭依存: AFD 网络支持环境、NetBt
建议: 已停用

Telephony (电话语音)
微软: 为本机计算机上及经由局域网络连接到正在执行此服务的服务器上,控制电话语音装置和 IP 为主语音联机的程序,提供电话语音 API (TAPI) 支持。
补充: 一般的拨号调制解调器或是一些 DSL/Cable 可能用到依存: Plug and Play、Remote Procedure Call (RPC)、Remote Access Connection Manager、Remote Access Auto Connection Manager
建议: 手动

Telnet
微软: 启用一个远程使用者来登入到这台计算机和执行应用程序,以及支持各种 TCP/IP Telnet 客户端,包含以 UNIX 为基本和以 Windows 为基本的计算机。如果服务停止了,远程使用者可能无法存取应用程序。如果服务停用了,任何明确地依存于这项服务的其它服务将会启动失败。
补充: 允许远程使用者用 Telnet 登入本计算机,一般人会误解关了就无法使用BBS,这其实和BBS无关,基于安全性的理由,如果没有特别的需求,建议最好关了
依存: NT LM Security Support Provider、Remote Procedure Call (RPC)、TCP/IP Protocol Driver
建议: 已停用

Terminal Services (终端机服务)
微软: 允许多位使用者互动连接到同一部计算机、桌面的显示器及到远程计算机的应用程序。远程桌面的加强 (包含系统管理员的 RD)、快速切换使用者、远程协助和终端机服务器。
补充: 远程桌面或是远程协助的功能,不需要就关了
依存: Remote Procedure Call (RPC)、Fast User Switching Compatibility、InteractiveLogon
建议: 已停用

Themes
微软: 提供使用者经验主题管理。
补充: 很多人使用布景主题,不过如果没有使用的人,那就可以关闭
建议: 自动

Uninterruptible Power Supply (不断电供电系统) 微软: 管理连接到这台计算机的不断电电源供应 (UPS)。
补充: 不断电电源供应 (UPS)一般人有用到吗?除非你的电源供应器有具备此功能,不然就关了
建议: 已停用

Universal Plug and Play Device Host
微软: 提供主机通用随插即用装置的支持。补充: 用来侦测安装通用随插即用服务 (Universal Plug and Play, UPnP)装置,像是数字相机或打印机
依存: SSDP Discovery Service
建议: 已停用

Volume Shadow Copy
微软: 管理及执行用于备份和其它目的的磁盘区卷影复制。如果这个服务被停止,卷影复制将无法用于备份,备份可能会失败。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 如上所说的,用来备份的?#124;西,如 MS Backup 程序就需要这个服务
依存: Remote Procedure Call (RPC)
建议: 已停用

WebClient
微软: 启用 Windows 为主的程序来建立、存取,以及修改因特网为主的档案。如果停止这个服务,这些功能将无法使用。如果停用这个服务,任何明确依存于它的服务将无法启动。
补充: 使用 WebDAV 将档案或数据夹上载到所有的 Web 服务,基于安全性的理由,你可以尝试关闭
依存: WebDav Client Redirector
建议:已停用

Windows Audio
微软: 管理用于 Windows 为主程序的音讯装置。如果这个服务被停止,音讯装置和效果将无法正常?#092;作。如果这个服务被停用,任何明确依存于它的服务将无法启动。
补充: 如果你没有声卡可以关了他
依存: Plug and Play、Remote Procedure Call (RPC)
建议: 自动

Windows Image Acquisition (WIA) (Windows影像取得程序)
微软: 为扫描仪和数字相机提供影像撷取服务。
补充: 如果扫描仪和数字相机内部具有支持WIA功能的话,那就可以直接看到图档,不需要其它的驱动程序,所以没有扫描仪和数字相机的使用者大可关了
依存: Remote Procedure Call (RPC)
建议: 已停用

Windows Installer (Windows 安装程序)
微软: 根据包含在 .MSI 档案内的指示来安装,修复以及移除软件。
补充: 是一个系统服务,协助使用者正确地安装、设定、追踪、升级和移除软件程序,可管理应用程序建立和安装的标准格式,并且追踪例如档案群组、登录项目及快捷方式等组件
依存: Remote Procedure Call (RPC)
建议: 手动

Windows Management Instrumentation (WMI)
微软: 提供公用接口及对象模型,以存取有关xx作系统、装置、应用程序及服务的管理信息。如果这个服务已停止,大多数的 Windows 软件将无法正常?#092;作。如果这个服务已停用,所有依存于它的服务都将无法启动。
补充: 如上说的,是一种提供一个标准的基础结构来监视和管理系统资源的服务,由不得你动他依存: Event Log、Remote Procedure Call (RPC)
建议: 自动
 
Windows Management Instrumentation Driver Extensions (Windows Management Instrumentation 驱动程序延伸)
微软: 提供系统管理信息给予/取自驱动程序。
补充: Windows Management Instrumentation 的延伸,提供信息用的
建议: 手动
 
Windows Time (Windows 时间设定)
微软: 维护在网络上所有客户端及服务器的数据及时间同步处理。如果这个服务停止,将无法进行日期及时间同步处理。如果这个服务被停用,所有依存的服务都会停止。
补充: 网络对时校准用的,没必要就关了
建议: 已停用


Wireless Zero Configuration
微软: 为 802.11 适配卡提供自动设定
补充: 自动配置无线网络装置,言下之意就是说,除非你有在使用无线网络适配卡装置,那么你才有必要使用这个网络零管理服务
依存: NDIS Usermode I/O Protocol、Remote Procedure Call (RPC)
建议: 已停用
 
WMI Performance Adapter
微软: 提供来自 WMIHiPerf 提供者的效能链接库信息。
补充: 如上所提
依存: Remote Procedure Call (RPC)
建议: 已停用

Workstation (工作站)
微软: 建立并维护到远程服务器的客户端网络联机。如果停止这个服务,这些联机将无法使用。如果停用这个服务,所有依存于它的服务将无法启动。
补充: 因特网联机中所必要的一些功能
依存: Alerter、Background Intelligent Transfer Service、Computer Browser、Messenger、Net Logon、Remote Procedure Call (RPC) Locator
建议: 自动

2004年12月01日

因为需要,谣言就产生了。但可能是太需要了,有些谣言越传越真,越传越广。网络发达了,什么样的信息都有,直接翻译的、自己编译修改的、自己发明创造的…… 最近,在网上,甚至在一些媒体中已经让不少谣言使一些电脑初学者陷于深深的误区中,甚至步入了迷途……现在,电脑使用中的“谣言”一般都来源于一些优化系统、免费增强系统性能等技巧。但用多了以后就发现,有些技巧看似有用,但用起来又感觉不出什么效果,有些甚至导致你的系统“死亡”。

谣言之一:妙用Ghost,硬盘容量就翻倍

诱惑指数:9 危险指数:8

你只需要准备两块硬盘和一款Ghost 2003软件,就可以把硬盘容量成倍地扩充。甚至在一些网站上还给出了在Windows下的磁盘增加容量截图和上述方法的详细流程(具体操作不在这里描述)。这篇来自国外网站的翻译文章,引起不少网友的猜测和兴趣。把硬盘免费增容这是谁都愿意做的事情,80GB的硬盘突然变成120GB或者更多,谁都想吃这份免费的午餐。但最终的试验结果让不少网友纷纷遭殃。

就这个问题,我们特意咨询了赛门铁克(Symantec)相关技术人员。他们看了上述方法后,表示因这种做法而产生的一个新分区肯定是不可用的,如果向该分区写数据还可能会损坏其他正常分区。出现这种现象的原因主要在于,不少硬盘分区表文件是没有经过微软技术认证的,这就导致Ghost可能会因为某种操作,在Windows操作系统中对硬盘分区发生误认,而产生对硬盘分区表的误识别问题。这样的问题,最有可能发生在两块不同品牌硬盘之间的镜像备份与恢复操作上,但这是一种比较偶然的现象。

谣言之二:有SVCHOST.EXE就删,因为那是病毒

诱惑指数:5 危险指数:7

冲击波,一种在去年8月份出现的病毒,一度给计算机用户造成了极度的恐慌。进入2004年,冲击波少了很多,但是冲击波“惊魂”却没有减少。据不少报道称,很多人一看见系统有SVCHOST.EXE进程,就说自己感染了冲击波,甚至很多人开始认为,SVCHOST.EXE就是木马程序的伪装外壳。

但SVCHOST.EXE本身却是Windows操作系统中一个正常的进程。它是基于NT内核的Windows操作系统中用于管理系统服务的一个程序。在Windows 2000中,一般有两个该进程;Windows XP中肯定会有四个该进程。Server级别的操作系统里面,SVCHOST.EXE进程数目更多。通常,SVCHOST.EXE文件存在于%systemroot%\system32目录下和dllcache目录下面。其他目录出现SVCHOST.EXE就可能不正常了。

所以,面对这个进程大可不必谈虎色变。在正确的目录下也别去强行删除这个文件。大家如果要鉴别是不是系统提供的SVCHOST.EXE的方法也很简单,只需要查看SVCHOST.EXE的原始路径即可(具体方法参照本期E8版文章)。

谣言之三:去掉QoS的20%,网速快起来

诱惑指数:8 危险指数:4

安装完Windows XP Professional以后,运行gpedit.msc,打开Windows XP的组策略,然后找到“计算机配置→管理模板→网络→QoS数据包调度程序”一项,修改为0%,这样就可以解除Windows XP保留的20%的网络带宽。这个“技巧”可能是Windows XP面世以来,传播得最为广泛的谣言。

但问题真的如上所述那样,Windows XP一直保留了20%的带宽了吗?答案是否定的,被保留的带宽是用于一种在Windows 2000里面引入的新技术——QoS(即:联网服务质量),而且,不是说这20%的带宽就一定会被占用,事实上,只有在使用了QoS 应用程序编程接口 API 编写应用程序需要访问网络的时候,才会利用到这20%的带宽。如果这些使用了QoS API的应用程序没有访问网络时,所保留的带宽仍然能够被其他应用程序所采用。

微软专门针对这个问题,在代号为KB316666(
http://support.microsoft.com/?id=316666 )的知识库里面作了详细说明。而组策略里面修改的数值指的是当使用了QoS API编写程序需要访问网络时能够使用的最大带宽量,如果我们设置为0%,那就意味着使用QoS API编写的应用程序不得不和其他应用程序争夺有限的带宽,可能产生的后果就是需要优先通信的数据没有得到优先权。当然,QoS这个本来用于改善网络质量的新技术也就丧失了意义。

谣言之四:改个参数,加个软件,启动速度就变快

诱惑指数:6 危险指数:2

我们经常可以看到所谓的对Boot.ini优化来加快Windows启动速度的措施:把每一个启动项末尾的fastdetect修改为nodetect。从字面上来看,是把启动的快速检测改为了不检测,但是最大的问题在于Boot.ini里面的参数列表中没有nodetect这个参数,在微软公布的技术资料里面,从Windows NT到最新的Windows Server 2003,nodetect这个参数都不存在,使用这个杜撰出来的参数,也许不会出现问题,但是是否能够加快启动速度还是一个未知数。

对于fastdetect这个参数,微软倒是给出了详细的解释:关闭Ntdetect.com对串口鼠标在启动时的检测。

但为加快系统启动速度,有些人还是痴心不改。碰巧的是,微软发布了一个叫做Bootvis.exe的程序,而且里面有一个菜单下面有一个“Optimize System”的选项,于是就出现了一种优化启动的技巧:使用Bootvis.exe能够加快Windows XP的启动速度。事实上呢,Bootvis.exe是一个微软提供给系统设计师和软件开发人员的可视化性能追踪工具,开发人员能够用这个工具追踪系统启动或唤醒上出现的问题。但很遗憾的是,该工具被用在了很不恰当的场合。

微软也在
http://www.microsoft.com/whdc/hwdev…ot/bootvis.mspx上提到,Bootvis.exe是不能改变系统的启动或唤醒性能的。

编后:因为篇幅有限,我们这次不能把所有的“谣言”一一澄清。但从上述的例子中,已经可以看出,现在的谣言几乎都隐藏在看似正确的操作或者理论中,或者便是道听途说,而忽略了更深层的含义。现在,我们需要做的就是尽可能深入地去了解某种技术的用途。了解并不难,看看系统自带的帮助一般都能够知道。对于层次稍高的用户,可以借助厂商提供的各种资料,获取详细的信息。

碰到谣言不可怕,可怕的是不能识别谣言。所以,我们在这里希望所有的读者能够掌握更多的知识,以避免因为误解而导致出现更严重的问题

2004年11月27日

自动代理脚本Proxy Auto-Config(PAC)是一种很有用的功能,它是一种javascript脚本,任何一个浏览器软件都有这种功能,但实际使用中用的人并不多。
我们都知道某些网址不使用代理的解决方法是选中“对于本地地址不使用代理服务器”,并把这些不使用代理的地址加入到本地地址中去。可是有两个问题(或者说是一个问题)是用代理上网的人经常遇到的:
1、只有部分地址使用代理服务器的情况。
2、数个代理,其中一部分地址走代理A,另一部分走代理B,……
解决的方法,就是不停的换代理,重新设置,用到哪个代理就设置那个,不用就取消。但是用自动代理脚本,完全就可以一劳永逸的解决这个问题。
自动代理脚本可以根据你要访问的网址(或是IP地址)来自动的选择代理地址,当然会有一点点性能上的损失,但是不大。


PAC脚本中必须定义一个名为FindProxyForURL的函数,这个函数会被浏览器自动调用。其格式如下:


function FindProxyForURL(url, host)


{


……



下面举例来说明:
function FindProxyForURL(url, host)
{
 if(isPlainHostName(host))  return “DIRECT”;
 
 else if(
  (shExpMatch(host, “*.microsoft.com”)) ||
  (shExpMatch(host, “*.passport.com”)) ||
  (shExpMatch(host, “*.passport.net”)) ||
  (shExpMatch(host, “*.passportimages.com”)) ||
  (shExpMatch(host, “*.windowsupdate.com”)) ||
  (shExpMatch(host, “*.hotmail.com”)) ||
  (shExpMatch(host, “*.msn.com”)) ||
  (shExpMatch(host, “*.msdnaa.net”)) ||
  (shExpMatch(host, “*.interactservices.com”)) ||
  (shExpMatch(host, “*.thespoke.net”)) ||
  (shExpMatch(host, “*.gotdotnet.com”)) ||
  (shExpMatch(host, “*.asp.net”)) ||
  (shExpMatch(host, “*.wimdows.net”)) ||
  (shExpMatch(host, “*.worldofdotnet.net”)) ||
  (shExpMatch(host, “*.wimdows.net”)) ||
  (shExpMatch(host, “*.c-sharpcorner.com”)) ||
  (shExpMatch(host, “*.imaginecup.com”))
  
 ) return “PROXY 202.194.15.124:8080; DIRECT”;//表示当前一个代理无效时,直接连接
 
 else if(
  (shExpMatch(host, “gmail.google.com”))||
  (shExpMatch(host, “*.spymac.com))||
  (shExpMatch(host, “*.mymallop.com”))


 ) return “PROXY 61.179.12.210:80″;//代理服务器地址


 else return “DIRECT”;
}


上面的脚本中,一些微软的网站,使用专用代理202.194.15.124:8080,而其他的网站比如gmail、mymallop等,使用61.179.12.210:80的代理服务器,你还可以根据自己的需要进行修改和添加。
然后保存为.pac文件,如proxy.pac。在浏览器里面选中使用自动配置脚本,使用file://协议键入file://c:/proxy.pac格式的地址就可以了。