瑞星卡卡安全论坛

电脑主板各部件详细图解(一)
大家知道，主板是所有电脑配件的总平台，其重要性不言而喻。而下面我们就以图解的形式带你来全面了解主板。

一、主板图解　　
一块主板主要由线路板和它上面的各种元器件组成

1.线路板

　　PCB印制电路板是所有电脑板卡所不可或缺的东东。它实际是由几层树脂材料粘合在一起的，内部采用铜箔走线。一般的PCB线路板分有四层，最上和最下的两层是信号层，中间两层是接地层和电源层，将接地和电源层放在中间，这样便可容易地对信号线作出修正。而一些要求较高的主板的线路板可达到6-8层或更多。





主板(线路板)是如何制造出来的呢？PCB的制造过程由玻璃环氧树脂(Glass
Epoxy)或类似材质制成的PCB“基板”开始。制作的第一步是光绘出零件间联机的布线，其方法是采用负片转印(Subtractive
transfer)的方式将设计好的PCB线路板的线路底片“印刷”在金属导体上。

　　这项技巧是将整个表面铺上一层薄薄的铜箔，并且把多余的部份给消除。而如果制作的是双面板，那么PCB的基板两面都会铺上铜箔。而要做多层板可将做好的两块双面板用特制的粘合剂“压合”起来就行了。

　　接下来，便可在PCB板上进行接插元器件所需的钻孔与电镀了。在根据钻孔需求由机器设备钻孔之后，孔璧里头必须经过电镀(镀通孔技术，Plated-
Through-Hole technology，PTH)。在孔璧内部作金属处理后，可以让内部的各层线路能够彼此连接。

　　在开始电镀之前，必须先清掉孔内的杂物。这是因为树脂环氧物在加热后会产生一些化学变化，而它会覆盖住内部PCB层，所以要先清掉。清除与电镀动作都会在化学过程中完成。接下来，需要将阻焊漆(阻焊油墨)覆盖在最外层的布线上，这样一来布线就不会接触到电镀部份了。

　　然后是将各种元器件标示网印在线路板上，以标示各零件的位置，它不能够覆盖在任何布线或是金手指上，不然可能会减低可焊性或是电流连接的稳定性。此外，如果有金属连接部位，这时“金手指”部份通常会镀上金，这样在插入扩充槽时，才能确保高品质的电流连接。

　　最后，就是测试了。测试PCB是否有短路或是断路的状况，可以使用光学或电子方式测试。光学方式采用扫描以找出各层的缺陷，电子测试则通常用飞针探测仪(Flying-Probe)来检查所有连接。电子测试在寻找短路或断路比较准确，不过光学测试可以更容易侦测到导体间不正确空隙的问题。

　　线路板基板做好后，一块成品的主板就是在PCB基板上根据需要装备上大大小小的各种元器件—先用SMT自动贴片机将IC芯片和贴片元件“焊接上去，再手工接插一些机器干不了的活，通过波峰/回流焊接工艺将这些插接元器件牢牢固定在PCB上，于是一块主板就生产出来了。





另外，线路板要想在电脑上做主板使用，还需制成不同的板型。其中AT板型是一种最基本板型，其特点是结构简单、价格低廉，其标准尺寸为
33.2cmX30.48cm，AT主板需与AT机箱电源等相搭配使用，现已被淘汰。而ATX板型则像一块横置的大AT板，这样便于ATX机箱的风扇对
CPU进行散热，而且板上的很多外部端口都被集成在主板上，并不像AT板上的许多COM口、打印口都要依靠连线才能输出。另外ATX还有一种Micro
ATX小板型，它最多可支持4个扩充槽，减少了尺寸，降低了电耗与成本。
2.北桥芯片

　　芯片组(Chipset)是主板的核心组成部分，按照在主板上的排列位置的不同，通常分为北桥芯片和南桥芯片，如Intel的i845GE芯片组由
82845GE GMCH北桥芯片和ICH4(FW82801DB)南桥芯片组成；而VIA
KT400芯片组则由KT400北桥芯片和VT8235等南桥芯片组成(也有单芯片的产品，如SIS630/730等)，其中北桥芯片是主桥，其一般可以和不同的南桥芯片进行搭配使用以实现不同的功能与性能。





北桥芯片一般提供对CPU的类型和主频、内存的类型和最大容量、ISA/PCI/AGP插槽、ECC纠错等支持，通常在主板上靠近CPU插槽的位置，由于此类芯片的发热量一般较高，所以在此芯片上装有散热片。

3.南桥芯片



　　南桥芯片主要用来与I/O设备及ISA设备相连，并负责管理中断及DMA通道，让设备工作得更顺畅，其提供对KBC(键盘控制器)、RTC(实时时钟控制器)、USB(通用串行总线)、Ultra

DMA/33(66)EIDE数据传输方式和ACPI(高级能源管理)等的支持，在靠近PCI槽的位置。

4.CPU插座

　　CPU插座就是主板上安装处理器的地方。主流的CPU插座主要有Socket370、Socket 478、Socket 423和Socket

A几种。其中Socket370支持的是PIII及新赛扬，CYRIXIII等处理器；Socket
423用于早期Pentium4处理器，而Socket
478则用于目前主流Pentium4处理器。



　　而Socket
A(Socket462)支持的则是AMD的毒龙及速龙等处理器。另外还有的CPU插座类型为支持奔腾/奔腾MMX及K6/K6-2等处理器的Socket7插座；支持PII或PIII的SLOT1插座及AMD

ATHLON使用过的SLOTA插座等等。
5.内存插槽






内存插槽是主板上用来安装内存的地方。目前常见的内存插槽为SDRAM内存、DDR内存插槽，其它的还有早期的EDO和非主流的RDRAM内存插槽。需要说明的是不同的内存插槽它们的引脚，电压，性能功能都是不尽相同的，不同的内存在不同的内存插槽上不能互换使用。对于168线的SDRAM内存和184线的DDR
SDRAM内存，其主要外观区别在于SDRAM内存金手指上有两个缺口，而DDR
SDRAM内存只有一个。
6.PCI插槽



PCI(peripheral
component
interconnect)总线插槽它是由Intel公司推出的一种局部总线。它定义了32位数据总线，且可扩展为64位。它为显卡、声卡、网卡、电视卡、MODEM等设备提供了连接接口，它的基本工作频率为33MHz，最大传输速率可达132MB/s。

7.AGP插槽




AGP图形加速端口(Accelerated Graphics
Port)是专供3D加速卡(3D显卡)使用的接口。它直接与主板的北桥芯片相连，且该接口让视频处理器与系统主内存直接相连，避免经过窄带宽的PCI总线而形成系统瓶颈，增加3D图形数据传输速度，而且在显存不足的情况下还可以调用系统主内存，所以它拥有很高的传输速率，这是PCI等总线无法与其相比拟的。AGP接口主要可分为AGP1X/2X/PRO/4X/8X等类型。
8.ATA接口

　　ATA接口是用来连接硬盘和光驱等设备而设的。主流的IDE接口有ATA33/66/100/133，ATA33又称Ultra

DMA/33，它是一种由Intel公司制定的同步DMA协定，传统的IDE传输使用数据触发信号的单边来传输数据，而Ultra

DMA在传输数据时使用数据触发信号的两边，因此它具备33MB/S的传输速度。




而ATA66/100/133则是在Ultra
DMA/33的基础上发展起来的，它们的传输速度可反别达到66MB/S、100M和133MB/S，只不过要想达到66MB/S左右速度除了主板芯片组的支持外，还要使用一根ATA66/100专用40PIN的80线的专用EIDE排线。





此外，现在很多新型主板如I865系列等都提供了一种Serial
ATA即串行ATA插槽，它是一种完全不同于并行ATA的新型硬盘接口类型，它用来支持SATA接口的硬盘，其传输率可达150MB/S。

9.软驱接口




软驱接口共有34根针脚，顾名思义它是用来连接软盘驱动器的，它的外形比IDE接口要短一些。

10.电源插口及主板供电部分

　　电源插座主要有AT电源插座和ATX电源插座两种，有的主板上同时具备这两种插座。AT插座应用已久现已淘汰。而采用20口的ATX电源插座，采用了防插反设计，不会像AT电源一样因为插反而烧坏主板。除此而外，在电源插座附近一般还有主板的供电及稳压电路。




　　主板的供电及稳压电路也是主板的重要组成部分，它一般由电容，稳压块或三极管场效应管，滤波线圈，稳压控制集成电路块等元器件组成。此外，P4主板上一般还有一个4口专用12V电源插座。

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; Trident/4.0; QQDownload 598; SLCC1; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; TheWorld)

11.BIOS及电池

　　BIOS(BASIC INPUT/OUTPUT
SYSTEM)基本输入输出系统是一块装入了启动和自检程序的EPROM或EEPROM集成块。实际上它是被固化在计算机ROM(只读存储器)芯片上的一组程序，为计算机提供最低级的、最直接的硬件控制与支持。除此而外，在BIOS芯片附近一般还有一块电池组件，它为BIOS提供了启动时需要的电流。




　　常见BIOS芯片的识别主板上的ROM
BIOS芯片是主板上唯一贴有标签的芯片，一般为双排直插式封装(DIP)，上面一般印有“BIOS”字样，另外还有许多PLCC32封装的BIOS。




早期的BIOS多为可重写EPROM芯片，上面的标签起着保护BIOS内容的作用，因为紫外线照射会使EPROM内容丢失，所以不能随便撕下。现在的
ROM BIOS多采用Flash ROM( 可擦可编程只读存储器)，通过刷新程序，可以对Flash ROM进行重写，方便地实现BIOS升级。

　　目前市面上较流行的主板BIOS主要有Award BIOS、AMI BIOS、Phoenix BIOS三种类型。Award
BIOS是由Award
Software公司开发的BIOS产品，在目前的主板中使用最为广泛。Award
BIOS功能较为齐全，支持许多新硬件，目前市面上主机板都采用了这种BIOS。
　　AMI
BIOS是AMI公司出品的BIOS系统软件，开发于80年代中期，它对各种软、硬件的适应性好，能保证系统性能的稳定，在90年代后AMI

BIOS应用较少；Phoenix BIOS是Phoenix公司产品，Phoenix
BIOS多用于高档的原装品牌机和笔记本电脑上，其画面简洁，便于操作，现在Phoenix已和Award公司合并，共同推出具备两者标示的BIOS产品。

12.机箱前置面板接头

　　机箱前置面板接头是主板用来连接机箱上的电源开关、系统复位、硬盘电源指示灯等排线的地方。一般来说，ATX结构的机箱上有一个总电源的开关接线(Power

SW)，其是个两芯的插头，它和Reset的接头一样，按下时短路，松开时开路，按一下，电脑的总电源就被接通了，再按一下就关闭。

　　而硬盘指示灯的两芯接头，一线为红色。在主板上，这样的插针通常标着IDE LED或HD
LED的字样，连接时要红线对一。这条线接好后，当电脑在读写硬盘时，机箱上的硬盘的灯会亮。电源指示灯一般为两或三芯插头，使用1、3位，1线通常为绿色。




在主板上，插针通常标记为Power
LED，连接时注意绿色线对应于第一针(+)。当它连接好后，电脑一打开，电源灯就一直亮着，指示电源已经打开了。而复位接头(Reset)要接到主板上
Reset插针上。主板上Reset针的作用是这样的：当它们短路时，电脑就重新启动。而PC喇叭通常为四芯插头，但实际上只用1、4两根线，一线通常为红色，它是接在主板Speaker插针上。在连接时，注意红线对应1的位置。

13.外部接口
ATX主板的外部接口都是统一集成在主板后半部的。现在的主板一般都符合PC'99规范，也就是用不同的颜色表示不同的接口，以免搞错。一般键盘和鼠标都是采用PS/2圆口，只是键盘接口一般为蓝色，鼠标接口一般为绿色，便于区别。而USB接口为扁平状，可接MODEM，光驱，扫描仪等USB接口的外设。而串口可连接MODEM和方口鼠标等，并口一般连接打印机。

14.主板上的其它主要芯片　　

除此而外主板上还有很多重要芯片：
AC97声卡芯片
　　AC'97的全称是Audio
CODEC＇97，这是一个由Intel、Yamaha等多家厂商联合研发并制定的一个音频电路系统标准。主板上集成的AC97声卡芯片主要可分为软声卡和硬声卡芯片两种。所谓的AC'97软声卡，只是在主板上集成了数字模拟信号转换芯片(如ALC201、ALC650、AD1885等)，而真正的声卡被集成到北桥中，这样会加重CPU少许的工作负担。





所谓的AC'97硬声卡，是在主板上集成了一个声卡芯片(如创新CT5880和支持6声道的CMI8738等)，这个声卡芯片提供了独立的声音处理，最终输出模拟的声音信号。这种硬件声卡芯片相对比软声卡在成本上贵了一些，但对CPU的占用很小。
网卡芯片





现在很多主板都集成了网卡。在主板上常见的整合网卡所选择的芯片主要有10/100M的RealTek公司的8100(8139C/8139D芯片)系列芯片以及威盛网卡芯片等。除此而外，一些中高端主板还另外板载有Intel、3COM、Alten和Broadcom的千兆网卡芯片等，如Intel的
i82547EI、3COM
3C940等等。(见图18-3COM 3C940千兆网卡芯片)
IDE阵列芯片




一些主板采用了额外的IDE阵列芯片提供对磁盘阵列的支持，其采用IDE
RAID芯片主要有HighPoint、Promise等公司的产品的功能简化版本。例如Promise公司的PDC20276/20376系列芯片能提供支持0，1的RAID配置，具自动数据恢复功能。美国高端HighPoint公司的RAID芯片如HighPoint
HPT370/372/374系列芯片，SILICON SIL312ACT114芯片等等。

I/O控制芯片
　　I/O控制芯片(输入/输出控制芯片)提供了对并串口、PS2口、USB口，以及CPU风扇等的管理与支持。常见的I/O控制芯片有华邦电子
(WINBOND)的W83627HF、W83627THF系列等，例如其最新的W83627THF芯片为I865/I875芯片组提供了良好的支持，除可支持键盘、鼠标、软盘、并列端口、摇杆控制等传统功能外，更创新地加入了多样新功能，例如，针对英特尔下一代的Prescott内核微处理器，提供符合
VRD10.0规格的微处理器过电压保护，如此可避免微处理器因为工作电压过高而造成烧毁的危险。



此外，W83627THF内部硬件监控的功能也同时大幅提升，除可监控PC系统及其微处理器的温度、电压和风扇外，在风扇转速的控制上，更提供了线性转速控制以及智能型自动控转系统，相较于一般的控制方式，此系统能使主板完全线性地控制风扇转速，以及选择让风扇是以恒温或是定速的状态运转。这两项新加入的功能，不仅能让使用者更简易地控制风扇，并延长风扇的使用寿命，更重要的是还能将风扇运转所造成的噪音减至最低。
频率发生器芯片
　　频率也可以称为时钟信号，频率在主板的工作中起着决定性的作用。我们目前所说的CPU速度，其实也就是CPU的频率，如P4
1.7GHz，这就是CPU的频率。电脑要进行正确的数据传送以及正常的运行，没有时钟信号是不行的，时钟信号在电路中的主要作用就是同步；因为在数据传送过程中，对时序都有着严格的要求，只有这样才能保证数据在传输过程不出差错。
　　时钟信号首先设定了一个基准，我们可以用它来确定其它信号的宽度，另外时钟信号能够保证收发数据双方的同步。对于CPU而言，时钟信号作为基准，CPU内部的所有信号处理都要以它作为标尺，这样它就确定CPU指令的执行速度。




时钟信号频率的担任，会使所有数据传送的速度加快，并且提高了CPU处理数据的速度，这就是我们为什么超频可以提高机器速度的原因。要产生主板上的时钟信号，那就需要专门的信号发生器，也称为频率发生器。
　　但是主板电路由多个部分组成，每个部分完成不同的功能，而各个部分由于存在自己的独立的传输协议、规范、标准，因此它们正常工作的时钟频率也有所不同，如CPU的FSB可达上百兆，I/O口的时钟频率为24MHz，USB的时钟频率为48MHz，因此这么多组的频率输出，不可能单独设计，所以主板上都采用专用的频率发生器芯片来控制。




　　频率发生器芯片的型号非常繁多，其性能也各有差异，但是基本原理是相似的。例如ICS
950224AF时钟频率发生器，是在I845PE/GE的主板上得到普遍采用时钟频率发生器，通过BIOS内建的“AGP/PCI频率锁定”功能，能够保证在任何时钟频率之下提供正确的PCI/AGP分频，有了起提供的这“AGP/PCI频率锁定”功能，使用多高的系统时钟都不用担心硬盘里面精贵的数据了，也不用担心显卡、声卡等的安全了，超频，只取决于CPU和内存的品质而已了

二、总结

　　最后再让我们通过一张详细的大图来对主板来个彻底注释。



1是整合音效芯片，
2是I/O控制芯片，
3是光驱音源插座，
4是外接音源辅助插座，
5是SPDIF插座，
6是USB插头，
7是机箱被开启接头，
8是PCI插槽，
9是AGP4X插槽，
10是机箱前端通用USB接口，
11是BIOS，
12是机箱面板接头，
13是南桥芯片，
14是IDE1插口，
15是IDE2插口，
16是电源指示灯接头，
17是清除CMO
S记忆跳线，
18是风扇电源插座，
19是电池，
20是软驱插座，
21是ATX电源插座，
22是内存插槽，
23是风扇电源插座，
24是北桥芯片，
25是CPU风扇支架，
26是CPU插座，
27是12VATX电源插座，
28是第二组音源插座，
29是PS/2键盘及鼠标插座，
30是USB插座，
31是并串口，
32是游戏控制器及音源插座，
33是SUP_CEN插座。

两招恢复误GHOST的硬盘(一)
平时遇到的误情况有两种，一种是误用了带功能的XP安装盘，这种安装盘会重建分区表，把你的硬盘分为四个区，然后把XP系统到C盘；第二种是利用备份还原系统，本应把备份还原到C分区，但一不小心还原到整个硬盘上了。这两种操作的实质是一样的，都改写了硬盘的分区表，而且向硬盘覆盖了一些数据。从数据恢复的角度来看，C分区被覆盖了数据，国内由于没有深层恢复技术，基本被覆盖的数据是回不来的，但C分区之后的数据基本是可以完全恢复的。

        举个例子加以说明，一块硬盘原来有三个分区，分别是C，D，E，D盘和E盘有重要数据。原打算用在C盘装上一个XP系统，但操作时不小心，把备份还原到了整个硬盘，这下子硬盘上只有一个C分区了。如下图所示意，这个硬盘共有16G，原先C盘8G，D和E各是4G，现在只有一个C盘，大小是16G。

 
        从上图可以看出，作了两件事情，一是覆盖了C盘的一部分空间，二是重写了分区表。除了被覆盖了一部分数据，其余的数据都毫发无损，我们只要能重建分区表，原来的D盘和E盘的数据就可以重见天日了。要重建分区表，关键是要知道第一个扩展分区起始的位置，找到了这个位置，所有的问题就都解决了。平时我解决这个问题，一般用Winhex或Diskgen，现把两种方法都写出来供大家参考。


一 Winhex

        Winhex是个五星级的扇区编辑工具，虽然只有2M大小，但功能及其强大，什么分析分区表，分析DBR，计算偏移，簇链追踪都不在话下，是数据恢复工程师的保留武器。我们先请它出场，但使用Winhex要求对数据存储原理有一定了解（今天俺就不详细介绍原理了），要不然看了Winhex的界面就崩溃的也不在少数。

        我们把要恢复的硬盘挂到另外一台计算机上，如下图所示，磁盘1就是要目标硬盘，现在它只有一个分区，我们要把它的分区恢复原状。
   
 
        启动Winhex，在工具菜单中选择“磁盘编辑器”，如下图所示，选择打开第二块物理硬盘HD1（wmware搭的实验环境）。
 

          Winhex打开了物理硬盘，如下图所示就是0扇区的内容，0扇区内容分为三部分，引导程序，分区表和55AA的结束标志。图中绿色部分就是分区表，由于现在硬盘中只有一个分区，因此分区表中只有一项。
   
 
        好，现在我们要重建正确的分区表，分区表中要有两项，一项是对主分区C的描述，另一项是对扩展分区的描述。现在的关键是要找出扩展分区的起点，由于原硬盘的C分区大约是8000M，每个柱面的大小是255×63×512=8225280字节=7.8M，因此原扩展分区的起点大约是8000÷7.8＝1025，也就是说扩展分区的起点在1025柱面附近。考虑到误差因素，我们放宽范围，让Winhex从950柱面开始搜索扩展分区的起始扇区。扩展分区的起始扇区有扩展分区表，而且扇区以55AA结束，我们根据这个特征可以指定搜索条件，具体思路是每个扇区512个字节，编号从0到511，我们让Winhex检索哪个扇区的510和511字节是55和AA，这个扇区就有可能是我们要找的扩展分区起始扇区。当然了，也有可能某个不相干的扇区也是以55AA结尾，那就要作进一步的筛选。一般情况下，扩展分区的起始扇区总是位于某个柱面的0磁头1扇区，这些条件我们都要加以利用。

        好了，首先定位到950柱面0磁头1扇区，我们准备从这里开始搜索，在Winhex的“位置”菜单中选择“转到扇区”，如下图所示，填入参数是950/0/1。再次声明，950柱面只是一个凭经验估算的结果。
   

        在Winhex“搜索”菜单中，选择“查找16进制数值”，如下图所示。
   
 
        如下图所示，我们输入了搜索参数，搜索的16进制数值为55AA，搜索方向是向下，这是告诉Winhex从950柱面向后搜索。条件设为从偏移510开始，因为1个扇区有512字节，编号从0字节到511，55在510位置，AA在511位置。
   

   
    搜索开始了，一会就找到了一个符合条件的扇区，到底是不是我们要照的扩展分区起始扇区呢？我们在Winhex的“查看”菜单中选择显示“详细资料面板“，这样就可以显示出扇区的LBA和CHS参数，如下图所示，这个扇区位于1019柱面254磁头63扇区。显然是一个NTFS分区的结束扇区，很有可能就是原C盘的最后一个扇区。这个扇区不是我们需要的，继续搜索！
   

          再向下找到的扇区就很象我们的目标了，如下图所示，这个扇区中有一个分区表，而且位置在1020柱面0磁头1扇区，和我们估算的1025柱面相差无几，凭经验基本可以认定这就是我们要找的目标。
   
 
        好了，假定我们找到的1020柱面0磁头1扇区就是扩展分区的起点，那我们就可以判断原先的C分区是从0柱面1磁头1扇区开始，到1019柱面254磁头63扇区结束。那扩展分区结束在什么地方呢？从分区表中的第二项可以知道答案，分区表的第二项描述了第二个扩展分区的起点和终点，第二个扩展分区的终点就是我们要找的扩展分区的结束位置。从分区表来看，第二个扩展分区的起点距当前扇区有7D 04 7E个扇区，大小是88 C8 AE个扇区。经过计算，扩展分区的终点是2087柱面254磁头63扇区。说到这儿，要对一些朋友说声抱歉了，这些计算涉及到分区原理,如果以前没有接触过，确实不容易看懂。现在大家如果理解起来有问题，可以参考第二种方法。

          经过计算，我们算出C分区从 0/1/1－1019/254/63，扩展分区从 1020/0/1－2087/254/63。有了这些参数，我们在硬盘0扇区的分区表中写出两项分区表，分别描述C分区和扩展分区就可以了。如下图所示，两项分区表的参数分别是 80 01 01 00 07 FE FF FF 3F 00 00 00 BD 08 FA 00和00 00 C1 FF 0F FE FF FF FC 08 FA 00 2C CD 05 01。修改完分区表后，保存设置，重启计算机。
   
     
        重启计算机后，我们发现磁盘1中已经有了三个分区，如下图所示，其中F和G就是原先硬盘中的D和E，现在这两个分区应该可以正常访问，数据应该被100%恢复。
   

        打开F盘看看，如下图所示，数据都回来了，用同样方法可以验证第三个分区的内容也被恢复了。现在硬盘中的第一个分区肯定不能访问了，但我们只要用备份对第一个分区执行一次恢复操作就可以了。至此，数据恢复成功完成！
   

 
      以上这种方法适合了解分区原理的用户，如果您不了解分区表的参数含义，不用担心，您可以选择下一种方法。

        二 Diskgen

        Diskgen是国内一款著名的分区恢复软件，它可以快速地进行分区表的重建，备份，恢复等工作，是进行分区恢复时的好帮手。尤其是它查找分区表时进行了优化，每个磁头只检查第一个扇区，因此查找速度很快，不过它的这个特性有时也会遇到麻烦。Diskgen有DOS版本和Windows版本，用哪个都可以，我一般用的是深山红叶光盘中带的DOS版Diskgen，我感觉已经够用了，记住，我们可以依靠工具但决不能依赖工具，工具不过是工程师思路的延伸而已。

        把硬盘恢复到故障状态，在计算机中放入深山红叶的启动光盘，如下图所示，出现了深山红叶的启动界面，我们选择第二项“万用MS-DOS工具箱“。
   

   
      进入DOS工具箱后，运行Diskgen，如下图所示。
   

 
      启动Diskgen后，我们首先在“硬盘”菜单中选择第2硬盘，因为我们准备恢复的硬盘是计算机中的第二块硬盘。如下图所示，第二块硬盘中只有一个分区。我们准备重建分区表，在“工具”菜单中选择“重建分区表”。
   

        Diskgen提醒要先对分区表进行备份，我们选择“继续”。
   

        接下来选择工作方式，一定要选择“交互方式”，这样才能对恢复过程了然于胸。当然，如果实在不了解原理，用自动模式碰碰运气也未尝不可。
   

 
        Diskgen首先找到了目前的第一个分区，这个分区结果是误后形成的，不是我们所希望的，因此选择“跳过”。
   

        Diskgen继续向下搜索，速度很快，如果Diskgen找到了一些分区，但都离1025柱面较远，很有可能是以前分区遗留下来的，我们通通选择“跳过”。直到如下图所示，Diskgen找到了1020柱面的扩展分区，这是我们需要的，点击“保留”。这样，Diskgen在重建分区表时就会为这个扩展分区自动创建一个分区项。
   
 
        扩展分区之前的8G空间还没有分区，我们点击硬盘的前8G未分区空间，在“分区”菜单中选择“新建分区”，如下图所示。
   

        Diskman询问是否将扩展分区之前的空间都划给此分区，点击“确定”。
   

 
        Diskgen询问是否将分区类型设为FAT，由于我们用还原时分区的文件系统应该是NTFS，因此选择“否”。
   

如下图所示，Diskgen要求手工输入分区类型，我们输入NTFS的代码07。
 

        如下图所示，分区重建完毕，新建了一个分区，找回了原来的扩展分区，存盘退出后重启计算机。



          如下图所示，重启计算机后分区恢复了正常，第二个和第三个分区的数据都被恢复了。
   
 
      总结：误形成的分区错误还是比较好处理的，只要将分区表正确重建，基本上C分区之后的数据都可以100%恢复。如果大家熟悉分区表参数，使用Winhex就可以完成任务，否则使用Diskgen辅助处理也是不错的。千万不要用Easyrecovery等工具扫描恢复，一是要花很长时间，另外扫描恢复的效果并不理想，至少不是100%恢复。恢复误只涉及分区，一般不涉及文件系统，除非你C盘有数据被覆盖了，那样的话可以用Easyrecovery碰碰运气。

这个好像我们现在学的计算机组装与维护啊~~~:kaka6:

最简单的方法检查电脑是否中毒
电脑网络的快捷、方便已经被人们广泛认同。但是电脑病毒却是防不胜防，怎样既方便又简单的检查电脑是否中毒就显得非常重要。　一些基本的命令往往可以在保护网络安全上起到很大的作用，下面几条命令的作用就非常突出。　　一、检测网络连接
　　如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机。
　　具体的命令格式是：netstat -an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控计算机上的连接，从而达到控制计算机的目的。
　　二、禁用不明服务
　　很多朋友在某天系统重新启动后会发现计算机速度变慢了，不管怎么优化都慢，用杀毒软件也查不出问题，这个时候很可能是别人通过入侵你的计算机后给你开放了特别的某种服务，比如IIS信息服务等，这样你的杀毒软件是查不出来的。但是别急，可以通过 “net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们就可以有针对性地禁用这个服务了。
　　方法就是直接输入“net start”来查看服务，再用“net stop server”来禁止服务。
　　三、轻松检查账户
　　很长一段时间，恶意的攻击者非常喜欢使用克隆账号的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户是不经常用的，然后使用工具把这个账户提升到管理员权限，从表面上看来这个账户还是和原来一样，但是这个克隆的账户却是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。
　　为了避免这种情况，可以用很简单的方法对账户进行检测。
　　首先在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user+用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不是!如果你发现一个系统内置的用户是属于administrators组的，那几乎肯定你被入侵了，而且别人在你的计算机上克隆了账户。快使用“net user用户名/del”来删掉这个用户吧!
　　联网状态下的客户端。对于没有联网的客户端，当其联网之后也会在第一时间内收到更新信息将病毒特征库更新到最新版本。不仅省去了用户去手动更新的烦琐过程，也使用户的计算机时刻处于最佳的保护环境之下。

电脑蓝屏时的紧急处理办法
经常使用旧电脑老程序，配置比较低的电脑，是经常遇到电脑故障，其中，电脑蓝屏就是最常见的电脑故障，一旦遇到电脑蓝屏，往往束手无策，对于电脑高手来手来说，可能算不了什么技术，但是对于一般的电脑用户就是一个棘手的问题。那么，遇到电脑蓝屏到底应该怎么办呢？

1.重启

有时只是某个程序或驱动程序一时犯错, 重启后有可能就会正常。

2.新硬件

首先, 应该检查新硬件是否插牢, 这个被许多人忽视的问题往往会引发许多莫名其妙的故障. 如果确认没有问题, 将其拔下, 然后换个插槽试试, 并安装最新的驱动程序. 同时还应对照微软网站的硬件兼容类别检查一下硬件是否与操作系统兼容. 如果你的硬件没有在表中, 那么就得到硬件厂商网站进行查询, 或者拨打他们的咨询电话.

3.新驱动和新服务

如果刚安装完某个硬件的新驱动, 或安装了某个软件, 而它又在系统服务中添加了相应项目(比如:杀毒软件、CPU降温软件、防火墙软件等), 在重启或使用中出现了蓝屏故障, 请到安全模式来卸载或禁用它们.

4.检查病毒

比如冲击波和振荡波等病毒有时会导致Windows蓝屏死机, 因此查杀病毒必不可少. 同时一些木马间谍软件也会引发蓝屏, 所以最好再用相关工具进行扫描检查.

5.检查BIOS和硬件兼容性

对于新装的电脑经常出现蓝屏问题, 应该检查并升级BIOS到最新版本, 同时关闭其中的内存相关项, 比如:缓存和映射. 另外, 还应该对照微软的硬件兼容列表检查自己的硬件. 还有就是, 如果主板BIOS无法支持大容量硬盘也会导致蓝屏, 需要对其进行升级.

6.检查系统曰志

在开始-->菜单中输入:EventVwr.msc, 回车出现"事件查看器", 注意检查其中的"系统曰志"和"应用程序曰志"中表明"错误"的项.

7.查询停机码

把蓝屏中的停机码记下来, 接着到其他电脑中上网, 进入微软网站http://support.microsoft.com/, 在左上角的"搜索(知识库)"中输入停机码, 如果搜索结果没有适合信息, 可以选择"英文知识库"在搜索一遍. 一般情况下, 会在这里找到有用的解决案例. 另外, 在baidu、Google等搜索引擎中使用蓝屏的停机码或者后面的说明文字为关键词搜索, 往往也会有以外的收获.

8.最后一次正确配置

一般情况下, 蓝屏都出现于更新了硬件驱动或新加硬件并安装其驱动后, 这时Windows 2K/XP提供的"最后一次正确配置"就是解决蓝屏的快捷方式. 重启系统, 在出现启动菜单时按下F8键就会出现高级启动选项菜单, 接着选择"最后一次正确配置".

解读U盘Autorun.inf文件
说起Autorun.inf文件，相信大家一定不陌生，它被广泛的应用到光盘制作中。它的主要作用就是能够实现光盘自动播放，但是这一项应用却被一些病毒所利用，使我们的硬盘，尤其是U盘深受其害。今天我们就和大家一起来xxx这可恶的做法。

　　一、如何发现病毒

　　这个病毒有着非常明显的外部特征，但是却又常常容易被突略。之所以容易忽略，是因为它并不会令电脑变慢，所以很多人就不注意到。但是如果我们在双击打开U盘时，不是在当前窗口打开，而是在新窗口中打开，那么则有可能中毒了。这时可以在“我的电脑”中右击盘符，看其最上方的一项命令是什么，如果为“Auto”，而不是正常的“打开”，那么中毒的可能性则进一步增大；但要确认中毒，还需要我们在地址栏中输入E:\autorun.inf（E盘需换成实际的盘符），如果打开的文件中open行后所跟的文件是sxs.xls.exe这样的文件，那么则肯定中毒了。

　　二、怎么清除病毒

　　发现这种病毒后，不要耽心，清除的方法有很多种。下面分别向大家介绍一些比较简单的做法。

　　1、手工清除

　　由于该病毒作用的原理是利用了自动播放autorun.inf文件来完成的，因此我们可以将其手工删除。

　　打开“文件夹选项”窗口，切换到“查看”标签，将“隐藏受保护的操作系统文件”项取消，然后设置“显示所有文件和文件夹”，这样我们就可以查看到磁盘根目录下的autorun.inf文件，将其打开后，查看open行后所跟的文件，正常情况下应该为sxs.xls.exe，但也有一些变种是其它文件名称，例如tel.xls.exe、fun.xls.exe等。

　　首先将open行后所跟的文件删除，然后再将autorun.inf文件一并删除。一般来说，只要有一个盘符感染，那么其它分区也会被感染，因此要对所有分区进行同样的操作。

　　需要注意的是，手工清除只对部分对象适用。如果大家对系统做了备份文件，那么可以用备份文件恢复，恢复成功后的C盘则是安全的，然后在资源管理器中将其它盘的上述文件删除，这样即比较彻底。

　　2、杀毒软件清除

　　其实，如果大家安装了杀毒软件，只要将病毒库升级到最新版本，一般都能够将其查杀。另外瑞星还提供了橙色八月专杀工具，大家不防试用一下。

　　但是很多用户反映，使用杀毒软件清除后磁盘无法打开了。这是因为杀毒软件只清除了open行后所跟的文件，并不能清除autorun.inf文件。而我们双击分区时则会自动运行autorun.inf文件中open行所列的文件，而该文件被删除了自然会出错。

　　因此此时大家则需要使用上面介绍的手工清除的方法将autorun.inf文件删除即可。

　　小提示：使用上述方法清除后需要重新启动电脑方能生效。

　　三、如何预防

　　由于现在U盘非常普及，当我们的U盘在中毒的机器上使用过时，则会被感染。被感染的U盘放到其它机器上使用时，又会重复感染。由此看来U盘是最大的受害者，那么对于用户来说该如何避免因U盘而感染病毒呢？

　　其实很简单，通过前面的介绍我们已经看出，病毒的运行主要是通过双击时触发autorun.inf文件来完成的。如果我们不双击，而是采用右击盘符，选择“打开”或者“资源管理器”命令来查看U盘中的内容，这样autorun.inf文件就无法运行，自然就不会感染病毒了。

　　从上面的介绍可以看出，任何一项应用如果用在正确的地方则可以给人们带来便利，而用在歪门邪道上，则会危害大家。但自古以来邪不压正，正义的力量将最终站在胜利的终点，我们警告、奉劝那些小人，不要去危害别人，否则总有一天会受到应有的惩罚。

菜鸟安装防火墙的注意事项
大家都知道，  防火墙是保护我们网络的第一道屏障，如果这一道防线失守了，那么我们的网络就危险了，!所以，作为菜鸟，我们有必要注意一下安装防火墙的注意事项!

　　1. 防火墙实现了你的安全政策

　　防火墙加强了一些安全策略。如果你没有在放置防火墙之前制定安全策略的话，那么现在就是制定的时候了。它可以不被写成书面形式，但是同样可以作为安全策略。如果你还没有明确关于安全策略应当做什么的话，安装防火墙就是你能做的最好的保护你的站点的事情，并且要随时维护它也是很不容易的事情。要想有一个好的防火墙，你需要好的安全策略---写成书面的并且被大家所接受。

　　2. 一个防火墙在许多时候并不是一个单一的设备

　　除非在特别简单的案例中，防火墙很少是单一的设备，而是一组设备。就算你购买的是一个商用的“all-in-one”防火墙应用程序，你同样得配置其他机器(例如你的网络服务器)来与之一同运行。这些其他的机器被认为是防火墙的一部分，这包含了对这些机器的配置和管理方式，他们所信任的是什么，什么又将他们作为可信的等等。你不能简单的选择一个叫做“防火墙”的设备却期望其担负所有安全责任。

　　3. 防火墙并不是现成的随时获得的产品

　　选择防火墙更像买房子而不是选择去哪里度假。防火墙和房子很相似，你必须每天和它待在一起，你使用它的期限也不止一两个星期那么多。都需要维护否则都会崩溃掉。建设防火墙需要仔细的选择和配置一个解决方案来满足你的需求，然后不断的去维护它。需要做很多的决定，对一个站点是正确的解决方案往往对另外站点来说是错误的。

　　4. 防火墙并不会解决你所有的问题

　　并不要指望防火墙靠自身就能够给予你安全。防火墙保护你免受一类攻击的威胁，人们尝试从外部直接攻击内部。但是却不能防止从LAN内部的攻击，它甚至不能保护你免受所有那些它能检测到的攻击。

　　5. 使用默认的策略

　　正常情况下你的手段是拒绝除了你知道必要和安全的服务以外的任何服务。但是新的漏洞每天都出现，关闭不安全的服务意味着一场持续的战争。

　　6. 有条件的妥协，而不是轻易的

　　人们都喜欢做不安全的事情。如果你允许所有的请求的话，你的网络就会很不安全。如果你拒绝所有的请求的话，你的网络同样是不安全的，你不会知道不安全的东西隐藏在哪里。那些不能和你一同工作的人将会对你不利。你需要找到满足用户需求的方式，虽然这些方式会带来一定量的风险。

　　7. 使用分层手段

　　并在一个地点以来单一的设备。使用多个安全层来避免某个失误造成对你关心的问题的侵害。

　　8. 只安装你所需要的

　　防火墙机器不能像普通计算机那样安装厂商提供的全部软件分发。作为防火墙一部分的机器必须保持最小的安装。即使你认为有些东西是安全的也不要在你不需要的时候安装它。

　　9. 使用可以获得的所有资源

　　不要建立基于单一来源的信息的防火墙，特别是该资源不是来自厂商。有许多可以利用的资源:例如厂商信息，我们所编写的书，邮件组，和网站。

　　10. 只相信你能确定的

　　不要相信图形界面的手工和对话框或是厂商关于某些东西如何运行的声明，检测来确定应当拒绝的连接都拒绝了。检测来确定应当允许的连接都允许了。

　　11. 不断的重新评价决定

　　你五年前买的房子今天可能已经不适合你了。同样的，你一年以前所安装的防火墙对于你现在的情况已经不是最好的解决方案了。对于防火墙你应当经常性的评估你的决定并确认你仍然有合理的解决方案。更改你的防火墙，就像搬新家一样，需要明显的努力和仔细的计划。

　　12. 要对失败有心理准备

　　做好最坏的心理准备。机器可能会停止运行，动机良好的用户可能会做错事情，有恶意动机的用户可能做坏的事情并成功的打败你。但是一定要明白当这些事情发生的时候这并不是一个完全的灾难。

电脑文件压缩包安全小知识
1，如何设定永久通用 WinRAR 压缩密码

　　如果制作加密压缩包很频繁，且都是使用同一个常用的密码，那么完全可以让 WinRAR 来自动添加密码，在你制作压缩包的同时，默认密码也自动添加进去了，非常方便。具体方法是：打开 WinRAR ，选择“选项→设置”命令，在弹出的“设置”窗口中，选择“压缩选项”标签，然后单击“创建默认配置”按钮，在弹出的“设置默认压缩选项”窗口中选择“高级”标签，单击“设置口令”按钮，最后在“口令设置”中输入自己常用的密码，连续按“确定”保存设置即可。

　　2，编辑压缩包内的文件注意事项

　　在编辑压缩包内的文件时，千万不要关闭该压缩包窗口，否则无法保存对文件的修改。而且，如果此时双击打开其他 RAR 压缩包， WinRAR 也会自动关闭你正在修改文件的压缩包，所以建议在 WinRAR 窗口中按下“ Ctrl+S ”键，取消“常规”标签下的“重复使用已存在的窗口”复选框。

　　3，隐藏压缩包里的文件名

　　几乎所有的压缩软件都提供了加密功能，以此保护个人的隐私和重要数据。但是它们大多忽视了对文件名的加密。一旦别人对你的数据产生了兴趣，数据安全就变得岌岌可危。因此，最好能把文件名也列入加密范围。假如根本不知道压缩包里面存了些什么，谁还会费时费力地进行破解呢？ WinRAR 可以对 RAR 文件进行文件名加密，步骤如下：首先在 WinRAR 的主界面上点击“添加”按钮，建立一个新的压缩包，然后在弹出的窗口上选择“文件”选项卡，并选定要添加到压缩包的文件，接下来转换到“高级”选项卡，单击“设置密码…”按钮，输入密码即可。要注意的是，在点击“确定”之前，一定要选中“加密文件名”选项才能实现文件名加密。

　　  4，锁定压缩文件保安全

　　当在 RAR 压缩包中删除文件后， WinRAR 会自动更新它，那些被删除的文件再也无法找回。因此，对于不需要修改或比较重要的压缩包，请在 WinRAR 中单击选中此压缩包，按下 Alt+I 组合键，在打开的此压缩中的信息对话窗口中，点击切换到“选项”选项页，在“锁定压缩文件”样中确认“禁止修改压缩文件”复选框被选中，单击“确定”按钮。这样此压缩包就被锁住，其中的文件便无法被修改或删除。注意：以上操作仅针对 RAR 压缩文件，而且，在启用锁定压缩文件功能后，生成后的压缩包将无法再修改，这对于备份重要数据非常有用。

    5，提前知晓文件压缩大小

　　想知道要压缩的文件在压缩之后会有多大吗？请打开 WinRAR 窗口，选择要压缩的文件夹或文件，然后单击工具栏上的“信息”按钮，在打开窗口中，单击“估计压缩率”功能栏中的“估计”按钮， WinRAR 会给出压缩率、压缩包大小和压缩估计时间等数据，这对于你压缩比较大的文件或文件夹非常有用。如果希望每次单击“信息”按钮，以后 WinRAR 自动对文件进行评估的话，还可以选中“自动开始”选项哦。

　　  6，给压缩包添加注释

　　使用的压缩文件多了，时间一长就会不知道有哪些文件，更不要说文件里有哪些内容了，如果给压缩文件写几句注释的话，以后打开来一看就知道它是何许作用了，在 WinRAR 中提供了这样功能。具体的方法是：先用 WinRAR 打开相应的 RAR 文件，然后点击工具栏上的“注释”钮，在注释窗口中输入自己的注释内容即可（支持中文输入）。下次想添加或查看时再次点击工具栏上的“注释”按钮即可。以后打开这个文件时，其注释信息会出现在窗口右边，一目了然！

电脑恶意软件8大特征
1、强制安装：指未明确提示用户或未经用户许可，在用户计算机或其他终端上安装软件的行为。

　　2、难以卸载：指未提供通用的卸载方式，或在不受其他软件影响、人为破坏的情况下，卸载后仍然有活动程序的行为。

　　3、浏览器劫持：指未经用户许可，修改用户浏览器或其他相关设置，迫使用户访问特定网站或导致用户无法正常上网的行为。

　　4、广告弹出：指未明确提示用户或未经用户许可，利用安装在用户计算机或其他终端上的软件弹出广告的行为。

　　5、恶意收集用户信息：指未明确提示用户或未经用户许可，恶意收集用户信息的行为。

　　6、恶意卸载：指未明确提示用户、未经用户许可，或误导、欺骗用户卸载其他软件的行为。

　　7、恶意捆绑：指在软件中捆绑已被认定为恶意软件的行为。

　　8、其他侵害用户软件安装、使用和卸载知情权、选择权的恶意行为。

怎样确认自己的系统是安全的呢？
大多数电脑爱好者都有一个毛病，即使用了最高级的杀毒工具仍然不放心，电脑一旦有什么风吹草动就疑神疑鬼。不是大面积杀毒，就是选择重装系统。既麻烦又费时间。那么究竟有什么具体的办法确认自己的系统(Win系列)是否安全了呢?下面笔者整理了一遍老文章，为大家释疑怎样做能够确认系统是否安全。

　　第一：电脑刚开机连接网络的情况下，可以使用netstat -an命令判断系统安全。

　　一般情况下，刚开机应该不会有外部IP连接你电脑的;

　　开始菜单——运行——输入cmd——进入DOS——再输入：netstat -an

　　netstat命令是一个观察网络连接状态的实用工具。

　　可能系统有一些程序会在刚开机的情况下与外部IP建立连接，比如：

　　系统升级打补丁、杀毒软件、防火墙、千千静听、讯雷等，当然这些也可以由你自己设置的，也可以通过防火墙限制这些程序是否访问网络，是否开机自动启动等。

　　如果刚开机的情况下，

　　开始菜单——运行——输入cmd——进入DOS——再输入：netstat -an

　　发现有外部IP连接你的电脑，除了正常的连接外，如果还有来历不明的IP，那你就要小心了;

　　您可以上www.ip138.com这个网站查询一下对方IP，看一下对方IP是哪里的，从而判断系统安全。

　　第二：可以通过系统进程判断系统安全，除了系统正常进程外，如果发现来历不明的进程，可以把这个进程名字去百度查一下资料，看这个进程是否是病毒木马。

　　第三：系统服务

　　开始菜单——运行——输入msconfig

　　隐藏所有 Microsoft 服务　打勾，除了系统正常服务外，如果还有其它来历不明的服务你也要小心了，如果你不懂这个服务，你也可以把这个服务名字去百度查一下资料，看这个服务是否是病毒木马。

　　第四：查看启动对像

　　开始菜单——运行——输入msconfig，当然也可以利用360等工具查看。

　　如果发现来历不明的启动项目，你也要注意了，你也可以把这个启动项目名字去百度查一下资料，看这个启动项目是否是病毒木马。

　　第五：查看系统是否有隐藏帐号

　　“开始”→“运行”并输入"regedit.exe" 回车,启动注册表编辑器regedit.exe。 打开键：HKEY_LOCAL_MAICHINE\SAM\SAM\Domains\account\user\names\这里查看一下你系统的用户，看有没有隐藏的帐号，前提是你需要有这个注册项的权限!（Windows 7下的注册表结构略有不同，请参看手册）

小命令快速查看电脑是否中毒
电脑病毒看似一个严重的问题，其实也很简单，一些基本的命令往往可以在保护网络安全上起到很大的作用，下面几条命令的作用就非常突出。她可以快速的检验电脑是不是被木马攻击。

　　一、检测网络连接

　　如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机。

　　具体的命令格式是：netstat -an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控计算机上的连接，从而达到控制计算机的目的。

　　二、禁用不明服务

　　很多朋友在某天系统重新启动后会发现计算机速度变慢了，不管怎么优化都慢，用杀毒软件也查不出问题，这个时候很可能是别人通过入侵你的计算机后给你开放了特别的某种服务，比如IIS信息服务等，这样你的杀毒软件是查不出来的。但是别急，可以通过 “net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们就可以有针对性地禁用这个服务了。

　　方法就是直接输入“net start”来查看服务，再用“net stop server”来禁止服务。

　　三、轻松检查账户

　　很长一段时间，恶意的攻击者非常喜欢使用克隆账号的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户是不经常用的，然后使用工具把这个账户提升到管理员权限，从表面上看来这个账户还是和原来一样，但是这个克隆的账户却是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。

　　为了避免这种情况，可以用很简单的方法对账户进行检测。

　　首先在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user+用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不是!如果你发现一个系统内置的用户是属于administrators组的，那几乎肯定你被入侵了，而且别人在你的计算机上克隆了账户。快使用“net user用户名/del”来删掉这个用户吧!

　　联网状态下的客户端。对于没有联网的客户端，当其联网之后也会在第一时间内收到更新信息将病毒特征库更新到最新版本。不仅省去了用户去手动更新的烦琐过程，也使用户的计算机时刻处于最佳的保护环境之下。

识别电脑病毒文件的四个小方法(一)
我们在使用杀毒软件杀毒的时候，常常会检测出很多“病毒”，许多朋友抱着“宁可错杀一堆，绝不放过一个”的态度，将检测出的“病毒”全部删掉。其实全删是不可取的，有的是被感染的系统文件，是不能删的。笔者在这里介绍几个识别病毒文件的方法，希望对大家有所帮助。

　　一、文件时间

　　如果你觉得电脑不对劲，用杀毒软件检查后，没什么反映或清除一部分病毒后还是觉得不对劲，可以根据文件时间检查可疑对象。

　　文件时间分为创建时间、修改时间(还有一个访问时间，不用管)，可以从文件的属性中看到，点选文件，右击，选择菜单中的属性就可以在“常规”那页看到这些时间了。

　　通常病毒、木马文件的创建时间和修改时间都比较新，如果你发现的早，基本就是近几日或当天。c:\windows和c:\windows \system32，有时还有c:\windows\system32\drivers，如果是2000系统，就把上面的windows改成winnt，这些地方都是病毒木马常呆的地方，按时间排下序(查看-详细资料，再点下标题栏上的“修改时间”)，查看下最新几日的文件，特别注意exe和dll文件，有时还有dat、ini、cfg文件，不过后面这些正常的文件也有比较新的修改时间，不能确认就先放一边，重点找exe和dll，反正后三个也不是执行文件。一般来说系统文件特别是exe和dll)不会有如此新的修改时间。

　　当然更新或安装的其它应用软件可能会有新的修改时间，可以再对照下创建时间，另外自己什么时间有没装过什么软件应该知道，实在不知道用搜索功能，在全硬盘上找找相关时间有没建立什么文件夹，看看是不是安装的应用软件，只要时间对得上就是正常的。如果都不符合，就是病毒了，删除。

说明一点，正如不是所有最新的文件都是病毒一样，也不是说所有病毒的时间都是最新的，有的病毒文件的日期时间甚至会显示是几年前。

　　当然我们还有其他的分辨方法。

　　二、文件名

　　文件名是第一眼印象，通过文件名来初步判断是否可疑是最直接的方法，之所以放在时间判断后面，实在是从一大堆文件中分拣可疑分子太难了，还是用时间排下序方便些。

　　我们常说的随机字母(有时还有数字，较少)组合的文件名，病毒最爱用它(曾经发现某些正常软件也有使用这种奇怪组合的习惯，比如雅虎上网助手，每次文件名都不一样，动机可疑，还有某猫的驱动程序也看似随机组合，不过幸好有厂商信息可以协助分辨，这个下一点再说)。

　　还有文件名的长度，有的严重超出8位文件名的标准，有10几位之多，这都应列为可疑对象，尤其是IE插件中有这些的文件名出现。

　　当然光说文件名古怪、随机组合，似乎没有一个标准，不熟悉电脑的人看所有的英文文件名都可能认为是奇怪的、无意义的排列组合，所以真要依靠文件名判断，还是要对系统文件夹下的文件、常规文件有一定了解后才能比较好的掌握。初步来说，结合上面的时间还有其它手段共同判断，还是可以发现点东西的。

　　还有一种就是假冒正常文件、系统文件的文件名，这倒比较好识别，比如 svchost.exe和svch0st.exe，很明显后者在假冒前者，这种欲盖弥彰倒更容易暴露，前提是你对系统文件名比较熟悉，有事没事打开任务管理器学习一下吧。

　　对应于文件名，还有服务名、驱动名、注册表启动项名，相对而言，这些项目的名字如果没有表示出一定含义，倒真是病毒了，还没几个厂商会不负责任地给自己的软件要用到的服务、驱动、启动项起个无意义、随便组合的名字，如果服务、驱动、启动项名是有问题的，那么下面使用的文件一定是有问题的。

　　实在没把握，把文件名(有时要包括完整文件路径，不同路径下的同名文件可不一样，这个以后说)、服务名、驱动名、启动项名放到网上搜索一下，看看别人怎么说的，特别是对查不到的、还有服务、驱动、启动项与文件名对不上的(如同一服务名在网上查出有不同文件与之对应，或相反情况)，都可以列为可疑对象。

新手上网的防病毒要诀
对于我们现在的新手用户来说，大部分使用的都是Windows系统。对于微软任何Windows系统来说，优秀的反病毒软件都是与其它计算机进行交流，特别是连接到互联网上利用浏览器、电子邮件或即时通讯软件进行冲浪活动时的关键部分。看起来大家都有自己喜爱的反病毒解决方案，并且都有自己的个人特色。但从安全专家的角度来看，对于个人桌面系统来说，是存在普遍原则的：

　　1、在连接到互联网上之前安装反病毒软件

　　在连接到互联网上之前，任何微软Windows计算机都应该安装反病毒软件。恶意软件感染计算机的速度比下载反病毒软件都快。如果没有认识到这一点，认为在没有打开网络浏览器访问下载反病毒软件网站之前，是不用担心病毒的话，就意味着在计算机安全问题上，正在玩俄罗斯轮盘赌。

　　2、不要使用默认的反病毒软件

　　3、选择包含实时扫描工具的反病毒软件

　　为了防止计算机遇上病毒或蠕虫，需要一个实时的自动扫描工具，以确保在进行日常工作可以发现病毒和蠕虫的感染，防止其蔓延。实时扫描可能会对系统性能带来更大的压力，因此，经常会有关闭它的想法，但请一定要谨慎考虑。浏览网页和收发电子邮件的时间不应该关闭反病毒软件的实时扫描来获得额外的性能提高。

　　4、定期对系统进行全面扫描

　　仅仅依靠实时扫描是远远不够的。你还应该确保经常对系统进行全面扫描，如果可能的话，应该每天自动进行扫描。实时扫描只能在病毒感染前进行检测，如果系统在连接时被感染的话，才能有效地予以保护，即使这样，也有可能出现病毒没有包含在反病毒软件的特征代码库里的情况。因此，全面扫描是非常有必要的。

　　5、不要使用两种反病毒软件

　　在同一时间使用两种反病毒软件，只会带来麻烦。无论是在连接网络时它们的实时扫描工具会因为控制权造成冲突导致系统性能的下降，还是一种的病毒签名文件被另一种当作实际病毒来进行处理导致出现问题，因此，同时维护互不兼容的两种桌面反病毒软件会导致很多意想不到的情况出现。

电脑病毒杀不掉的主要原因分析
有时候会出现这样的现象，病毒软件报告杀掉了某某病毒，可是重新启动后该病毒仍旧存在，无法杀死。在这里先来分析病毒杀不掉的原因，一般情况下电脑病毒杀不掉的主要原因有下列情况:

　　1.病毒正在运行。由于Windows保护正在运行的程序，所以杀毒软件是无法杀掉正在运行的病毒。即使是真的杀掉了病毒，电脑正常关机时内存中活动的病毒还会再复制一个病毒到硬盘上。

　　2.病毒隐藏在系统还原的文件夹“_restore”中。

　　那么，我们该怎么样来处理这种问题呢？下面是笔者为大家列出的几条建议：

　　1.在Windows中杀毒前首先得中止病毒进程。对于WindowsXp/2000，可以使用任务管理器(Ctrl+Alt+Del三键齐按)来查看当前所有的进程，而对于Windows98/Me，则可以使用“黑客入门工具箱”或ATM来查看进程。确定哪个是来历不明的就停止掉或者看哪个不顺眼就停止哪个，该过程俗称“杀进程”。

　　不要怕出错，因为不会对电脑造成任何损坏，最多就是死机。注意，杀进程的操作有时得进行两次才成功。有的病毒有两个进程，互相保护，杀掉一个则会被另一个发现并恢复。此时应先把该病毒在注册表中的启动项去掉，然后用突然断电的方式重启电脑，再杀毒。

　　2.在Windows中使用专杀工具杀毒。得使用最新的杀毒版本。

　　3.禁用系统还原。在WindowsMe中禁用方法是∶鼠标右键点击“我的电脑”-属性-性能-文件系统-疑难解答-禁止系统还原。在WindowsXP中禁用方法是∶控制面板-系统-系统属性-系统还原-在所有驱动器上关闭系统还原。然后用软盘或U盘启动电脑，在dos下删除_RESTORE文件夹。

　　4.在Dos下杀毒不存在杀不掉的问题。一般的杀毒软件都可以制作软盘版(含至少3张软盘)，用第一张盘启动(CMOS中必须设定软盘启动在前)后按提示陆续放入其它盘就可以直接杀毒了。瑞星的软盘版需要用鼠标确定杀毒的驱动器，而金山毒霸的软盘版则默认全机查杀。

　　实际上用金山毒霸在DOS下杀毒还可以更简单，用普通软盘启动盘或U盘启动盘启动电脑后，先换到C盘，然后进入金山毒霸的目录(命令:cd kav或cd kav5，与版本有关)，然后输入KAVDX，回车就开始杀毒了。

　　5.补充操作。病毒杀掉后还应该修复注册表，只有将注册表修复以后，才算是彻底删除了病毒。

新手怎样判断电脑故障是不是病毒作怪
电脑新手上网最烦的就是出现故障，俗话说不是驴不走就是磨不转。我的电脑经常出现死机、运行速度慢等异常情况，使用了多种杀毒软件也不见效，到底是什么原因？真是搞不懂。急需知道是硬件问题，还是病毒作怪？那么，如何判断电脑异常是否是病毒在作怪？

　　这样的例子并不少见，特别是对于一些初级电脑用户。下面我就结合个人电脑使用及企业网络维护方面的防毒经验从以下几个方面给大家介绍介绍如何判断是否中了病毒，希望对帮助识别“真毒”有一定帮助！

　　电脑出故障不只是因为感染病毒才会有的，个人电脑使用过程中出现各种故障现象多是因为电脑本身的软、硬件故障引起的，网络上的多是由于权限设置所致。我们只有充分地了解两者的区别与联系，才能作出正确的判断，在真正病毒来了之时才会及时发现。下面我就简要列出了分别因病毒和软、硬件故障引起的一些常见电脑故障症状分析。

　　经常死机：病毒打开了许多文件或占用了大量内存；不稳定（如内存质量差，硬件超频性能差等）；运行了大容量的软件占用了大量的内存和磁盘空间；使用了一些测试软件（有许多BUG）；硬盘空间不够等等；运行网络上的软件时经常死机也许是由于网络速度太慢，所运行的程序太大，或者自己的工作站硬件配置太低。

　　系统无法启动：病毒修改了硬盘的引导信息，或删除了某些启动文件。如引导型病毒引导文件损坏；硬盘损坏或参数设置不正确；系统文件人为地误删除等。

　　文件打不开：病毒修改了文件格式；病毒修改了文件链接位置。文件损坏；硬盘损坏；文件快捷方式对应的链接位置发生了变化；原来编辑文件的软件删除了；如果是在局域网中多表现为服务器中文件存放位置发生了变化，而工作站没有及时涮新服器的内容（长时间打开了资源管理器）。

　　经常报告内存不够：病毒非法占用了大量内存；打开了大量的软件；运行了需内存资源的软件；系统配置不正确；内存本就不够（目前基本内存要求为128M）等。

　　提示硬盘空间不够：病毒复制了大量的病毒文件（这个遇到过好几例，有时好端端的近10G硬盘安装了一个WIN98或WINNT4.0系统就说没空间了，一安装软件就提示硬盘空间不够）。硬盘每个分区容量太小；安装了大量的大容量软件；所有软件都集中安装在一个分区之中；硬盘本身就小；如果是在局域网中系统管理员为每个用户设置了工作站用户的“私人盘”使用空间限制，因查看的是整个网络盘的大小，其实“私人盘”上容量已用完了。

　　软盘等设备未访问时出读写信号：病毒感染；软盘取走了还在打开曾经在软盘中打开过的文件。

　　出现大量来历不明的文件：病毒复制文件；可能是一些软件安装中产生的临时文件；也或许是一些软件的配置信息及运行记录。

　　启动黑屏：病毒感染（记忆最深的是1998年的4.26，我为CIH付出了好几千元的代价，那天我第一次开机到了Windows画面就死机了，第二次再开机就什么也没有了）；显示器故障；显示卡故障；主板故障；超频过度；CPU损坏等等

　　数据丢失：病毒删除了文件；硬盘扇区损坏；因恢复文件而覆盖原文件；如果是在网络上的文件，也可能是由于其他用户误删除了。

重新设置电脑打造安全环境
凡是经常使用电脑的朋友，谁都不愿意自己的电脑出现故障，可是，电脑出现故障是常有的事情，任谁都避免不了。不过，对于老鸟来说，可以重新设置自己的电脑，把电脑故障降到最低。下面就来看一看怎样设置才能保证自己的电脑安全运行。

　　一.察看本地共享资源

　　运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。

　　二.删除共享(每次输入一个）

　　net share admin$ /delete
　　net share c$ /delete
　　net share d$ /delete（如果有e，f，……可以继续删除）

　　三.删除ipc$空连接

　　在运行内输入regedit，在注册表中找到 HKEY_LOCAL_MACHINE_SYSTEM_Current ControSet_Control_LSA 项里数值名称RestrictAnonymous的数值数据由0改为1。

　　四.关闭自己的139端口，ipc和RPC漏洞存在于此。

　　关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。

　　五．防止rpc漏洞

　　打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。

　　XP SP2和2000 pro sp4，均不存在该漏洞。

　　六．445端口的关闭

　　修改注册表，添加一个键值

　　HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。

　　七．3389的关闭

　　XP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。

　　Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）

　　使用2000 pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。

　　八．4899的防范

　　网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。

　　4899不像3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。

　　所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。

　　九、禁用服务

　　打开控制面板，进入管理工具——服务，关闭以下服务

　　1.Alerter[通知选定的用户和计算机管理警报]

　　2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]

　　3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享?

　　4.Distributed Link Tracking Server[适用局域网分布式链接跟踪客户端服务]

　　5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]

　　6.IMAPI CD-Burning COM Service[管理 CD 录制]

　　7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]

　　8.Kerberos Key Distribution Center[授权协议登录网络]

　　9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]

　　10.Messenger[警报]

　　11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]

　　12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]

　　13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]

　　14.Print Spooler[打印机服务，没有打印机就禁止吧]

　　15.Remote Desktop Help Manager[管理并控制远程协助]

　　16.Remote Registry[使远程计算机用户修改本地注册表]

　　17.Routing and Remote Access[在局域网和广域网提供路由服务.黑客理由路由服务刺探注册信息]

　　18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]

　　19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]

　　20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络]

　　21.Telnet[允许远程用户登录到此计算机并运行程序]

　　22.Terminal Services[允许用户以交互方式连接到远程计算机]

　　23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄像机]

　　如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。


　　十、账号密码的安全原则

　　首先禁用guest账号，将系统内建的administrator账号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。

　　如果你使用的是其他账号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置administrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的账号，不是正常登陆下的administrator账号，因为即使有了这个账号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置（关于密码安全设置，我上面已经讲了，这里不再罗嗦了。　　　　

　　打开管理工具.本地安全设置.密码策略

　　1.密码必须符合复杂要求性.启用

　　2.密码最小值.我设置的是8

　　3.密码最长使用期限.我是默认设置42天

　　4.密码最短使用期限0天

　　5.强制密码历史 记住0个密码

　　6.用可还原的加密来存储密码 禁用

电脑安全的七大误解
安装了防火墙、防病毒和防间谍软件工具、使用加密技术发送和保存数据，安装了微软及各大安全公司不断增强安全的工具和补丁程序……似乎可以松口气了，但果真如此吗?

　　以下是有关系统和网络安全的七大误解，不妨看看你的数据是否有你想象中的那么安全。

　　误解一　　加密确保了数据得到保护

　　对数据进行加密是保护数据的一个重要环节，但不是绝无差错。Jon Orbeton是开发ZoneAlarm防火墙软件的Zone Labs的高级安全研究员，他支持加密技术，不过警告说：如今黑客采用嗅探器可是越来越完善，能够截获SSL和SSL交易信号，窃取经过加密的数据。虽然加密有助于保护遭到窃取的数据被人读取，但加密标准却存在着几个漏洞。黑客只要拥有适当工具，就能够钻这些漏洞的空子。

　　误解二　　防火墙会让系统固若金汤

　　许多人说：“我们装有防火墙。”但防火墙功能再好，经过它们的IP数据痕迹照样能够被读取。”黑客只要跟踪内含系统网络地址的IP痕迹，就能了解服务器及与它们相连的计算机的详细信息，然后利用这些信息钻网络漏洞的空子。

　　这要求网络管理员不仅要确保自己运行的软件版本最新、最安全，还要时时关注操作系统的漏洞报告，时时密切关注网络，寻找可疑活动的迹象。此外，他们还要对使用网络的最终用户给出明确的指导，劝他们不要安装没有经过测试的新软件，打开电子邮件的可执行附件，访问文件共享站点、运行对等软件，配置自己的远程访问程序和不安全的无线接入点，等等。

　　误解三　　黑客不理睬老的软件

　　一些人认为，如果运行老的系统，就不会成为黑客的攻击目标，因为黑客只盯住使用较为广泛的软件，而这些软件的版本要比我们自己正在用的来得新。

　　事实并非如此，对黑客来说，最近没有更新或者没有打上补丁的Web服务器是一个常见的攻击点。许多旧版本的Apache和IIS(因特网信息服务器)会遭到缓冲器溢出攻击。

　　如果存储空间处理不了太多信息，就会出现溢出，从而会发生缓冲器溢出问题。额外信息总会溢出到某个地方，这样黑客就可以利用系统的漏洞，让额外信息进入本不该进入的地方。

　　误解四　　Mac机很安全

　　许多人还认为，自己的Mac系统跟老系统一样，也不容易遭到黑客的攻击。但是，赛门铁克公司最近发布的一份报告发现，2004年查明Mac OS X存在37种漏洞。该公司警告，这类漏洞可能会日渐成为黑客的目标。譬如在2004年10月，黑客编写了名为Opener的一款脚本病毒。该脚本可以让Mac OS X防火墙失效、获取个人信息和口令、开后门以便可以远程控制Mac机，此外还可能会删除数据。

　　误解五　　软件补丁让大家都更安全

　　有些工具可以让黑客对微软通过其Windows Update服务发布的补丁进行“逆向工程”。通过比较补丁出现的变化，黑客就能摸清补丁是如何解决某个漏洞的，然后查明怎样利用补丁。　黑客普遍使用的工具当中就有Google，它能够搜索并找到诸多网站的漏洞，譬如默认状态下的服务器登录页面。有人利用Google寻找不安全的网络摄像头、网络漏洞评估报告、口令、信用卡账户及其他敏感信息。

　　误解六　　企业网络安全黑客就无奈

　　有些IT部门拼命防护企业网络，却不料因为用户把公司的便携式电脑接到家里或者Wi-Fi热点地区等未受保护的网络连接，结果企业网安全遭到危及。黑客甚至可以在热点地区附近未授权的Wi-Fi接入点，诱骗用户登录到网络。一旦恶意用户控制了某台计算机，就可以植入击键记录程序，窃取企业VPN软件的口令，然后利用窃取的口令随意访问网络。

　　误解七　　安全公司内数据可安然无恙

　　连据认为最安全的组织也有可能发现自己容易受到黑客的攻击。位于弗吉尼亚州费尔法克斯的乔治梅森大学是安全信息系统中心的所在地，向来不乏安全专家。但这个工作场所最近发现，黑客攻击了这所大学的主ID服务器、往服务器中安装了搜寻其他大学的系统的工具后，32000多名学生和教职员工的姓名、社会保障号码以及照片在黑客面前暴露无遗。

　　连一些国家的国防部门也不能幸免。它们只好不断部署新软件以防范新出现的漏洞，并且坚持采用经过实践证明可靠的安全方法。

　　道高一尺，魔高一丈，只要网络存在，与黑客的斗争就没有止境。黑客在不断利用漏洞时，手法越来越新奇，所以我们的任务就是随时关注最新工具和技巧，采取相应的措施自我保护。

个人电脑安全非技术性防范原则
“常在河边走，哪能不湿脚”，交换文件，上网冲浪，收发邮件都有可能感染病毒。读者朋友或许要问了，那么怎么才能使自己计算机不受病毒侵害，或是最大程度地降低损失呢，一般情况下，我建议读者朋友们遵循以下原则，防患于未然。

　　一是建立正确的防毒观念，学习有关病毒与反病毒知识。

　　二是不是随便下载网上的软件。尤其是不要下载那些来自无名网站的免费软件，因为这些软件无法保证没有被病毒感染。

　　三是不要使用盗版软件。

　　四是不要随便使用别人的软盘或光盘。尽量做到专机专盘专用。

　　五是使用新设备和新软件之前要检查。

　　六是使用反病毒软件。及时升级反病毒软件的病毒库，开启病毒实时监控。

　　七是有规律地制作备份。要养成备份重要文件的习惯。

　　八是制作一张无毒的系统软盘。制作一张无毒的系统盘，将其写保护，妥善保管，以便应急。

　　九是制作应急盘/急救盘/恢复盘。按照反病毒软件的要求制作应急盘/急救盘/恢复盘，以便恢复系统急用。在应急盘/急救盘/恢复盘上存储有关系统的重要信息数据，如硬盘主引导区信息、引导区信息、CMOS的设备信息等以及DOS系统的COMMAND.COM和两个隐含文件。

　　十是一般不要用软盘启动。如果计算机能从硬盘启动，就不要用软盘启动，因为这是造成硬盘引导区感染病毒的主要原因。

　　十一是注意计算机有没有异常症状。

　　十二是发现可疑情况及时通报以获取帮助。

　　十三是重建硬盘分区，减少损失。若硬盘资料已经遭到破坏，不必急着格式化，因病毒不可能在短时间内将全部硬盘资料破坏，故可利用“灾后重建”程序加以分析和重建。

个人电脑安全的十六个误区(一)
1、  对染毒软盘DIR操作会导致硬盘被感染

  如果计算机的内存没有病毒，那么只有在执行了带有病毒的程序（文件）后，才会感染计算机。而DIR命令是DOS的内部命令，不需要执行任何外部的程序（文件），因此对染毒软盘进行DIR操作不会感染病毒。

    不过需要注意的是，如果计算机内存已有病毒（或者说计算机已染毒），如果对没有染毒的软盘进行DIR操作， 就可能感染软盘。说可能会感染是因为有些病毒不会通过DIR操作传播。

  2、 将文件改为只读方式可免受病霉的感染

    某些人认为通过DOS的外部命令ATTRIB，将文件设置为只读会十分有效地抵御病毒。 其实修改一个文件的属性只需要调用几个DOS中断就可以了，因此说ATTRIB命令对于阻止病毒的感染及传播几乎无能为力。

  3、  病毒能感染写保护的磁盘

    由于病毒可感染只读文件，不少人由此认为病毒也能修改在写保护磁盘上的文件。事实上，磁盘驱动器可以判断磁盘是否写保护，是否应该对其进行写操作，这一切都是由硬件来控制的，您可以物理地解除pc的写保护传感器，却不能用软件来做这件事。

    如果您的软驱是正常的，而软盘的写保护一次也没有取下来，绝对不会感染病毒。但是如果您取下来了，并且用带毒的机器DIR过，则完全有可能感染病毒。注意这个DIR是从机器向软盘感染病毒，而不是把病毒从软盘传染到机器。

    写保护和文件只读方式不同，设置文件只读方式是通过计算机，所以病毒能插上一手，可是写保护非要人手参与不可，病毒可没办法把写保护弄掉。计算机不能对写保护磁盘进行改写，这是任何操作都无法改变的（除非您把驱动器弄坏）。

  4、  反病毒软件能够杀除所有已知病毒

    病毒感染方式很多，有些病毒会强行覆盖执行程序的某一部分，将自身代码嵌入其中，以达到不改变被感染文件长度的目的，被这样的病毒覆盖掉的代码无法复原，因此这种病毒是无法安全杀除的。 病毒破坏了文件的某些内容， 在杀除这种病毒后是不能恢复文件的原貌的。

  5、 使用杀毒软件可以免受病毒的侵扰

    目前市场上出售的杀毒软件，都只能在病毒泛滥之后才“一展身手”。 但在杀毒之前病毒已经造成了工作的延误、数据的破坏或其他更为严重的后果。所以，应该选择一套完善的反毒系统，它不仅应包括常见的查、杀病毒功能，还应该同时包括有实时防毒功能，能实时地监测、跟踪对文件的各种操作，一旦发现病毒，立即报警，只有这样才能最大程度地减少被病毒感染的机会。

  6、  磁盘文件损坏多为病毒所为

    文件的损坏有多种原因，电源电压波动、掉电、磁化、磁盘质量低劣、硬件错误、其他软件中的错误、灰尘、烟灰、茶水，甚至一个喷嚏都可能导致数据丢失。以上所举对文件造成的损坏，会比病毒造成的损失更常见，更严重。

  7、 如果做备份的时候，备份了病霉，那么这些备份是无用的

    有两种情况：①软盘备份：备份中含有引导型病毒。这种情况下，只要不用这张软盘试图启动您的计算机，它将和无毒备份一样安全。②磁带备份：备份中的数据文件中不会有病毒，如果其中的可执行文件中含有病毒，那么执行文件就白备份了，但是备份中的数据文件还是可用的。

  8、 反病毒软件可以随时随地防范任何病霉

    很显然，这种反病毒软件是不存在的。新病毒不断出现，要求反病毒软件必须快速升级。对抗病毒，我们需要的是一种安全策略和一个完善的反病毒系统，用备份作为防病毒的第一道防线，将反病毒软件作为第二道防线。 同时， 软件的及时升级是加固第二道防线的唯一方法。使用反病毒软件是为了辅助防毒，它不可能是刀枪不入的保缥。

  9、 正版软件不会带病毒，可以安全使用

    计算机用户常被告知，“为了防范病毒的侵害，不要使用来历不明的软件”。这话不错，所谓“来历不明的软件”确实是计算机病毒传播主要途径之一。那么使用有“来历”的软件是否就可以高枕无忧呢？非也！实际上计算机报刊媒体已经多次报导过“正版软件”。“商品软件”带病毒问题。使用商品软件也不可掉以轻心，甚至新购买的计算机包括

    原装计算机在使用前都须进行病毒检测。如确实由于原版软件带有病毒而造成重大的损失，应寻求法律保护。

  10、 不用软盘，不会感染病毒，因而无需选择杀毒软件

    “不用软盘，就不会感染病毒”是常在初级用户中听到的一种言论，它和“使用软盘，就会感染病毒”是一对孪生姊妹，是两种相同类型的错误论调。

    病毒的传染是通过带病毒软件进行的，但软盘并不是“带病毒软件”的唯一载体。可以说，凡是可以得到程序（软件）的地方，都可能“得到”病毒。也就是说，使用光盘、硬盘、磁带，或者通过局域/广域网络、Internet、BBS（电子公告板）使用或下载软件，都潜在感染病毒的危险。尤其是近年来Internet和BBS的广泛使用， 使得国内外病毒大面积、高速度的流行传播成为可能。这些具有国际性的计算机信息传播媒体，是潜在的病毒毒源和导管（当然，这些网络体系中也具有安全性较高的防/杀病毒系统），使每一个计算机用户都受到染毒的威胁。 —恐怕没有人会说他的计算机永远不会连上Internet。

    人不可能不生病，所以计算机绝不可能不感染病毒，所以您必须选择杀毒软件。

如何防止黑客访问路由器安全密码？
问：我应该如何改变路由器密码？防御路由器安全密码攻击的最佳做法是什么？

　　答：保护路由器密码的两条基本规则是：总是要更改新的路由器的默认密码以及只通过安全和加密的连接登录路由器。

　　黑客不但知道市场上的常见路由器的所有默认密码，而且他们还把这些密码上传到了网站上。如果你认为这不是他们攻击路由器的第一步，然后不要改变默认密码，看一下会发生什么。

　　当然还有，使用强大的密码——不能是字典上的单词，至少要八位长度，包括大写和小写字母和数字。还有，确保在不同的系统上使用不同的密码。如果在网络上使用相同的密码，它就会受到攻击，然后呢？整个网络都会受到攻击。

　　至于加密连接，只能使用SSH等协议，它可以创建安全的路由器连接。Telnet和TFTP等协议和服务都没有加密，所以很容易受到攻击。路由器上不好的一点是可以允许用户ID和密码的明文传送，而且可以很容易就被探测到。

　　另一方面，思科的IOS在配置文件中有两种方法加密密码，而这些配置文件是存储在路由器上的。思科可以以三种方法在配置文件中存储密码：铭文、Vignere加密和MD5哈希算法。Vignere是比MD5稍弱的一种加密算法，而和MD5不同的它是可逆的，也就是说它可以被破解。

　　思科路由器由三种加密密码的命令：服务密码加密、激活密码和激活秘密。第一种方法使用Vignere加密，而另两种使用MD5哈希加密。激活秘密命令是思科路由器中的一种较新的功能，比激活密码还要强大一些。激活密码命令只能保持向后的兼容性，而服务密码加密，虽然较弱，但是有些旧的网络协议仍然需要它的兼容性。

　　这些命令还可以允许密码在不同的访问权限级别中设置和加密，这取决于管理员分派给员工的权限。

　　如果可能，可以使用思科加密命令来保护路由器密码。在思科的网站上有大量的详细的文件。如果你使用的是其它牌子的路由器，就要坚持SSH或者其他的加密连接。

防止系统中IE被恶意修改的小技巧
修改IE的标题栏:即在IE浏览器最上方的蓝色横条里做广告，而不是显示默认的“Microsoft Internet Explorer”。这种修改非常常见，有人也特意针对它编制了反修改的程序。　　 　　注册表位置
　　HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMain HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain 　　
　　在注册表中找到以上两处主键，将其下的“Window Title”主键删除，并关闭所有打开的IE浏览器窗口再重新打开就能看到效果。 　　
　　修改IE的首页 　　
　　这个改回来很方便，在IE的设置里就有(Internet选项->常规->主页)。比较麻烦的是某些网页在浏览者的硬盘里写入程序，使重启计算机后首页设置又被改了回去，这时可使用“系统配置实用程序”来解决。开始—运行，键入msconfig点击“确定”，在弹出的窗口中切换到“启动”选项卡，禁用可疑的程序启动项。 　　
　　在Windows启动时显示一个窗口，点确定才能进去 这个设置其实与IE无关，而是Windows的登录提示窗口，不过最近有些网页对它动上了脑筋，在这个窗口里做广告。 　　
　　注册表 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionWinlogon 　　
　　在注册表中找到此主键，将其下的“LegalNoticeCaption”和“LegalNoticeText”主键删除即可。 　　
　　在IE里点击鼠标右键。在弹出的菜单里显示网页广告 这种情况很少见，不过解决方法也不复杂。
　　注册表 HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMenuExt 　　
　　在IE中显示的附加右键菜单都在这里设置，常见的网络蚂蚁和网际快车点击右键下载的信息也存放在这里，只需找到显示广告的主键条目删除即可。 　　
　　禁止或允许用户修改IE首页: 　　
　　运行注册表编辑器(开始菜单－运行－regedit-确定), 打开HKEY_CURRENT_USERSoftwarePoliciesMicrosoftInternet ExplorerControl Panel, 其实一般此键是不存在的, 只存在 HKEY_CURRENT_USERSoftwarePoliciesMicrosoft, 所以后面一截你要自己建立, 主键建立完后在Control Panel键下新建一个DWORD值数据, 键名为HOMEPAGE(不分大小写), 键值为1. 此时你打开IE属性时可以发现它改首页设置的部分已经不可用了. 当然如果你想先指定主页的话可以把HOMEPAGE的值改为0或删除它, 然后修改主页设置, 再把HOMEPAGE改回来即可。
　　去掉注册表编辑器被锁定问题 　　
　　win2000系统 　　
　　Windows Registry Editor Version 5.00
　　[Hkey_current_userSoftwaremicrosoftwindowscurrentversionPoliciessystem] "DisableRegistryTools"=dword:00000000
　　win98/me系统 　　
　　REGEDIT4
　　[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem] "DisableRegistryTools"=dword:00000000 　　
　　将以上代码copy到记事本中,然后将这个文件的名字改为*.reg双击运行可以解除你的锁定状态.
　　防范 　　
　　1.因为修改注册表设置都是用的JavaScript脚本语言，所以只需禁用它即可。但这种脚本语言应用广泛，所以建议在IE的设置中将脚本设为“提示”。 　　
　　2.建议使用一些单窗口多页面的浏览器如NetCaptor,myie等，因为它们往往能更方便地切换脚本设置，象我常用的NetCaptor，用工具栏中的“安全”按钮能很方便地设置脚本、ActiveX和Cookie的启用情况。 　　
　　3.使用Win2000的朋友，只需在“控制面板”—“管理工具”—“服务”中禁用Remote Registry Service服务，也无法通过浏览网页来修改你的注册表了。

个人电脑实用的安全技巧
首先要了解我们的计算机上的服务的作用，每个服务绑定着一个端口。详细可以参照端口对照表和服务对照表。由于那个东东满天都是,字数也太多不易在这里发所以……………

　　一、关闭常用端口停止服务

　　关闭21端口：关闭FTP Publishing Service。

　　关闭23端口：关闭Telnet服务。

　　关闭25端口：关闭Simple Mail Transport Protocol (SMTP)服务。

　　关闭135端口：关闭Location Service服务

　　关闭139端口：网络和拨号连接中和本地连接—>Internet协议(TCP/IP)属性—>高级TCP/IP设置—>WINS设置里面“禁用TCP/IP的NETBIOS”，勾选就OK了。

　　关闭3389端口：关闭Terminal Services服务（默认没开）由于3389这个洞洞N流行,说不定那天你就发现你的机器提供Terminal Services这个服务.

　　1.禁止C$、D$、E$的共享

　　HKEY_LOCAL_MacHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters

　　AutoShareServer、REG_DWord设置值为0

　　2.禁止ADMIN$缺省共享

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters

　　AutoShareWKs、REG_DWORD设置值为0

　　3.限制IPC$缺省共享

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

　　restrictanonemous、REG_DWORD设置值为1

　　2000、server、XP有点不同。如果觉得上边太麻烦,可直接把server服务停了。Net stop server可当下次启动时还会启动，这个要从开始-->程序-->管理工具-->服务停止后“已禁用”（要是安防火滤掉139、445端口也就不会费那么多事了）

　　还有\system32\drivers\etc\services这里有知名的端口对照表，看着办吧。

　　建意把没用的端口和服务都停了，但是也是盲目的停。就像…

　　Network connections服务，他的作用是管理网络连接文件夹中的所有对象，如果禁用了他，那么“网络连接”中的网络连接里将空无一物，网络配置的操作也无法进行。

　　Messenger服务，是一个信使服务是用来在服务器和工作站之间传输net send消息的，如禁用他，来自公司网管的有用信息也被过滤了。

　　二、本地administrator、guest账户

　　大家都知道，Windows 2000以后的操作系统有一个guset账户，对于我们他就是一个隐患。停用这个账户要是在这里说，大家会用中间的手指来顶我的。删除呀还有少数的人不知道，就这个吧！于win2000/XP的用户信息存在SAM这个数据库中，他存在注册表的“HKEY_LOCAL_MacHINE\SAM\SAM”里边。只要把guest的信息删了就OK了。可是用administrator这个用户还是没有这个权限，不信你可以试试，呵呵~~~。

　　对于2000系统

　　1、要先下一个psu.exe这个工具，（要是找不到我给你噢）然后保存到system32目录里。

　　2、还要找到winlogon的PID值，按ctrl+alt+del到进程里找，就是最后过的那个。毕人的是389（他好像会变的噢）。

　　3、命令提示符输入，psu ?Cp regedit.exe ?CI 389命令。

　　4、进入regedit，新sam就可展开访问了，删除以下两个建值，HKEY_LOCAL_MACHINE\SAM\SAM\domains\account\usersames\guset和HKEY_LOCAL_MACHINE\SAM\SAM\domains\account\usersames\00000.F5(以上有可以打错字符，对付着找吧！)

　　如果还不好使，那就在system\config目录中找SAM文件，右键—>属性—>在安全选项，把admistrator权限设成和systrm一样的权限。在运行psu ?Cp regedit.exe ?CI 389。

　　对于XP就好搞多了；regeditHKEY_LOCAL_MACHINE\SAM\SAM右键权限把administrtaor设成system一样的权限就OK了。新删除以上丙个键值就成了。

　　偶的一个骚友这小子说gqedit.msc中也可以删guest，偶找了N遍偶也没有找到，请大侠们指点。

　　自于那个administrator(如果是空口令那就死定了)这个建意改名，（计算机管理->系统工具->本地用户和组->用户来改名.），然后在把administrators这个组也删了。要是想删administrator同上边的方法（XP测试通过）。

　　三、计算机组名及功能。

　　1、Administrators 管理员对计算机/域有不受限制的完全访问权。

　　2、Backup Operators 备份操作员为了备份或还原文件可以替代安全限制

　　3、Guests 这个组的成员有同等访问权，但来宾帐户的限制更多

　　4、Network Configuration Operators 组中的成员有部分管理权限来管理网络功能的配置

　　5、Power Users 行经过验证的应用程序，也可以运行旧版应用程序

　　6、Remote Desktop Users 此组中的成员被授予远程登录的权限

　　7、Replicator 支持域中的文件复制

　　8、Users 经过证明的文件，但不能运行大多数旧版应用程序

　　9、HelpServicesGroup 帮助和支持中心组

　　要使用“共享文件夹”，您必须是 Administrators 成员或 Power Users 组成员

　　Backup Operators 组的成员可以备份和还原计算机上的文件，而不管保护这些文件的权限如何。他们还可以登录到计算机和关闭计算机，但不能更改安全性设置

　　如果使用Users 组或 Power Users 组中的用户。以 Users 组成员身份登录时，你可以执行日常任务，包括运行程序和访问 Internet 站点。作为 Power Users 组的成员，你可以执行日常任务，也可以安装程序、添加打印机以及使用“控制面板”中的大部分项目。

　　经常看看你的组里多了什么用户 -----net localgroup "组名"。

　　经常看看里边多了什么吧,听说组也可以删了的，可是偶还没试过。还有就是最好还是把自动更新开着,他会方便我们的.呵呵..偶太懒了。还有设定安全记录的访问权限、开启帐户策略、开启密码密码策略、打开审核策略这些都可以对计算机有一定的保护。还要看看随计算机启动的东东,msconfig、regedit里边的启动项、win.ini、autoexec.bat…………说不定什么木马偷偷的藏着呢！

　　还有”用户权限指派”里边可以设置什么类型的组可以作什么样的操作,他在管理工具本地安全设置本地策略用户权限指派利如:”远程访问计算机”这个你可以把别的组都删除了,只保留administrators,”从远程强制关机”等设置都在这里边,介绍很全面一看就会.在这就不说了.

保护电脑隐私的几点设置
1、在 Word或Excel中，选择“工具”菜单，再选择“选项”菜单项，然后进入“常规”选项卡，在“常规选项”中取消“列出最近所用文件(R)”前面的复选框的选中标记。

  2、你可以单击“开始”菜单中的“设置”菜单项，然后选择“任务栏和开始菜单”，进入“任务栏和开始菜单”，再选择“高级”选项卡，单击该选项卡中的“清除(C)”按钮即可。

本步骤是在Windows“开始”菜单中，清除“文档”菜单项所包含的文件，把这些文件隐藏起来。
应定期删除各种应用程序在WINDOWS\TEMP文件夹中存储的临时文件，以清除上述这些零散的文本。

  3、保护重要文件

  对重要文件进行口令保护，这在 Word和Excel中很容易实现。依次选择“文件”、“另存为”，然后选择“工具”中的“常规选项”，在“打开权限密码”和“修改权限密码”中输入口令，最好不要使用真正的单词和日期作为口令，可以混合使用字母、数字和标点符号，这样口令就很难破译。当然，以后每当你打开和修改文档时，都必须输入口令。


  4、要清除全部历史记录，可在“工具”菜单中选择“Internet 选项”，然后选择“常规”选项卡，并单击“清除历史记录”按钮。

  你可以通过下面的方法访问网站，而所使用的网址将不被记录:在浏览器中可以按下Ctrl-O键，然后在对话框中输入URL地址即可。

本步骤可以使访问过的网址不被记录。

要清除高速缓存中的信息，在Internet Explorer中，应在“工具”菜单中选择“Internet 选项”，然后进入“常规”选项卡，单击“删除文件”按钮。

安全常识 怎样识别电脑病毒
我们在使用杀毒软件杀毒的时候，常常会检测出很多“病毒”，许多朋友抱着“宁可错杀一堆，绝不放过一个”的态度，将检测出的“病毒”全部删掉。其实全删是不可取的，有的是被感染的系统文件，是不能删的。笔者在这里介绍几个识别病毒文件的方法，希望对大家有所帮助。

　　一、文件时间

　　如果你觉得电脑不对劲，用杀毒软件检查后，没什么反映或清除一部分病毒后还是觉得不对劲，可以根据文件时间检查可疑对象。

　　文件时间分为创建时间、修改时间(还有一个访问时间，不用管)，可以从文件的属性中看到，点选文件，右击，选择菜单中的属性就可以在“常规”那页看到这些时间了。

　　通常病毒、木马文件的创建时间和修改时间都比较新，如果你发现的早，基本就是近几日或当天。c:\windows和c:\windows \system32，有时还有c:\windows\system32\drivers，如果是2000系统，就把上面的windows改成winnt，这些地方都是病毒木马常呆的地方，按时间排下序(查看-详细资料，再点下标题栏上的“修改时间”)，查看下最新几日的文件，特别注意exe和dll文件，有时还有dat、ini、cfg文件，不过后面这些正常的文件也有比较新的修改时间，不能确认就先放一边，重点找exe和dll，反正后三个也不是执行文件。一般来说系统文件特别是exe和dll)不会有如此新的修改时间。

　　当然更新或安装的其它应用软件可能会有新的修改时间，可以再对照下创建时间，另外自己什么时间有没装过什么软件应该知道，实在不知道用搜索功能，在全硬盘上找找相关时间有没建立什么文件夹，看看是不是安装的应用软件，只要时间对得上就是正常的。如果都不符合，就是病毒了，删除。

　　说明一点，正如不是所有最新的文件都是病毒一样，也不是说所有病毒的时间都是最新的，有的病毒文件的日期时间甚至会显示是几年前。

　　当然我们还有其他的分辨方法。

　　二、文件名

　　文件名是第一眼印象，通过文件名来初步判断是否可疑是最直接的方法，之所以放在时间判断后面，实在是从一大堆文件中分拣可疑分子太难了，还是用时间排下序方便些。

　　我们常说的随机字母(有时还有数字，较少)组合的文件名，病毒最爱用它(曾经发现某些正常软件也有使用这种奇怪组合的习惯，比如雅虎上网助手，每次文件名都不一样，动机可疑，还有某猫的驱动程序也看似随机组合，不过幸好有厂商信息可以协助分辨，这个下一点再说)。

　　还有文件名的长度，有的严重超出8位文件名的标准，有10几位之多，这都应列为可疑对象，尤其是IE插件中有这些的文件名出现。

　　当然光说文件名古怪、随机组合，似乎没有一个标准，不熟悉电脑的人看所有的英文文件名都可能认为是奇怪的、无意义的排列组合，所以真要依靠文件名判断，还是要对系统文件夹下的文件、常规文件有一定了解后才能比较好的掌握。初步来说，结合上面的时间还有其它手段共同判断，还是可以发现点东西的。

　　还有一种就是假冒正常文件、系统文件的文件名，这倒比较好识别，比如 svchost.exe和svch0st.exe，很明显后者在假冒前者，这种欲盖弥彰倒更容易暴露，前提是你对系统文件名比较熟悉，有事没事打开任务管理器学习一下吧。

　　对应于文件名，还有服务名、驱动名、注册表启动项名，相对而言，这些项目的名字如果没有表示出一定含义，倒真是病毒了，还没几个厂商会不负责任地给自己的软件要用到的服务、驱动、启动项起个无意义、随便组合的名字，如果服务、驱动、启动项名是有问题的，那么下面使用的文件一定是有问题的。

　　实在没把握，把文件名(有时要包括完整文件路径，不同路径下的同名文件可不一样，这个以后说)、服务名、驱动名、启动项名放到网上搜索一下，看看别人怎么说的，特别是对查不到的、还有服务、驱动、启动项与文件名对不上的(如同一服务名在网上查出有不同文件与之对应，或相反情况)，都可以列为可疑对象。

　　三、版本信息

　　检查文件时间有不确定性，再加一个检查项目文件版本，也是在文件的属性中查看，有文件版本、厂商信息等。首先明确一下，不是所有文件都有版本信息，也不是所有无版本信息的文件都是病毒文件，更不是所有显示微软信息的文件都真是微软的。

　　文件名、文件时间，再对上文件版本，基本可以得出一个结果，比如一个奇怪的文件名，显示微软的厂商信息，明显可疑;或者本来应该是正常的系统文件(如explorer.exe或userinit.exe)却没有版本信息，可能是被病毒替换或破坏了;还有soundman.exe厂商信息竟然是 1，可以考虑删除了，应该不是声卡的程序了。

　　版本信息中除了厂商以外，还有原文件名，有时你会在这里发现一个与检查文件不同的名字，真是别有天地。

　　四、位置

　　病毒木马喜欢呆的地方是系统文件夹，windows、windows\system32、windows/system32 \drivers，还有c:\program files\internet explorer/c:\program files\internet explorer\plugin、c:\program files\common files\miscrosoft shared，还有就是临时文件夹、IE缓存

　　首先临时文件夹c:\documents and settings\你的用户名\local settings\temp和c:\windows\temp是一定要清的，而且可以大胆地删除，不管好坏，删了没事，IE缓存也要清的，不是直接进文件夹删除，而从IE的菜单工具-internet选项进入，删除文件-删除所有脱机文件，最好在高级那设成关闭浏览器时自动清空临时文件，就省事了。

　　其它文件夹，主要看是否有不该存在的文件存在，比如windows文件夹中多了什么瑞星的文件(卡卡的倒是有在那)、realplayer的文件，绝对可疑，还有比如svchost.exe、ctfmon.exe突然出现在windows或其它文件夹中，而不是在它们应该在的system32 中，也可以确定是病毒。当然可以结合上面的几个方法一起判断。有的时候是得靠经验，相对而言文件比较少的文件夹比较好判断，多出什么很容易发觉，比如 windows、ie文件夹，多看看，就知道基本就是那些，多一两个exe或dll，马上可以发现(很多流氓软件是会在这里安身)。

　　还有就是结合注册表启动项，一般启动项引用到windws中的不多，基本是输入法、声卡管理，更多的就可疑了，指到system32下的了多看两眼，实在拿不准，老办法，到网上查文件名。如果发现启动项指向font字体文件夹的，那不用想了，一定有问题。

　　服务驱动也是如此，不是在system32或driver中的就要多检查下(自然在它们下面的也要检查，何况不在)。

　　除了文件夹位置，还有注册表位置，除了几个RUN的启动项，还有映像劫持(IFEO)要检查，值有debugger的都要注意一下，除了最后一个your image file name here without a path有个debugger=ntsd -d，其它的是都没有的，只要有发现就是被劫持(免疫的除外，免疫是把已知病毒程序名劫持到不存在的文件上，使其不能运行)，然后就找劫持文件，就是 debugger后面的文件，找到后连同注册表项一起删除。但注意，现在的劫持有的用的不是病毒文件，是系统文件或命令，比如svchost.exe或 ntsd -d，这就不要删除文件了，只要把注册表项删除。

　　还有要注意的注册表项有appinit_dlls，一般为空值(例外，卡卡的一个文件会放这)，如果多出值就是病毒，按名字找到删除。还有一个就是userinit，一般也是空的，多东西修改就要查查是否正常。


　　推荐用SREng来检查，比较方便，也会自动提示以上修改。

　　结语：

　　说真的，真要从一堆英文名中找出可疑的文件名挺难的，综合使用各个方法，配合工具软件分类显示才是捷径，比如SREng，把服务驱动列出来，名字、文件、路径一摆，就很明显了，有的名字就是乱写的，对照后面的文件名就很清楚了，有的细心的会冒充系统服务名，不过与正常的一对比，连网也不用上，也可以找出问题(隐藏微软服务后非微软的服务就露出来了，如果还顶个系统服务名或接近系统服务的名字，就一定有问题，不是把正常服务改了，就是额外加进来的李鬼)。

电脑安全 揭秘十大杀毒误区(一)
对染毒软盘DIR操作会导致硬盘被感染

  如果计算机的内存没有病毒，那么只有在执行了带有病毒的程序（文件）后，才会感染计算机。而DIR命令是DOS的内部命令，不需要执行任何外部的程序（文件），因此对染毒软盘进行DIR操作不会感染病毒。

    不过需要注意的是，如果计算机内存已有病毒（或者说计算机已染毒），如果对没有染毒的软盘进行DIR操作， 就可能感染软盘。说可能会感染是因为有些病毒不会通过DIR操作传播。

    将文件改为只读方式可免受病霉的感染

    某些人认为通过DOS的外部命令ATTRIB，将文件设置为只读会十分有效地抵御病毒。 其实修改一个文件的属性只需要调用几个DOS中断就可以了，因此说ATTRIB命令对于阻止病毒的感染及传播几乎无能为力。

  病毒能感染写保护的磁盘

    由于病毒可感染只读文件，不少人由此认为病毒也能修改在写保护磁盘上的文件。事实上，磁盘驱动器可以判断磁盘是否写保护，是否应该对其进行写操作，这一切都是由硬件来控制的，您可以物理地解除pc的写保护传感器，却不能用软件来做这件事。

    如果您的软驱是正常的，而软盘的写保护一次也没有取下来，绝对不会感染病毒。但是如果您取下来了，并且用带毒的机器DIR过，则完全有可能感染病毒。注意这个DIR是从机器向软盘感染病毒，而不是把病毒从软盘传染到机器。

    写保护和文件只读方式不同，设置文件只读方式是通过计算机，所以病毒能插上一手，可是写保护非要人手参与不可，病毒可没办法把写保护弄掉。计算机不能对写保护磁盘进行改写，这是任何操作都无法改变的（除非您把驱动器弄坏）。

    反病毒软件能够杀除所有已知病毒

    病毒感染方式很多，有些病毒会强行覆盖执行程序的某一部分，将自身代码嵌入其中，以达到不改变被感染文件长度的目的，被这样的病毒覆盖掉的代码无法复原，因此这种病毒是无法安全杀除的。 病毒破坏了文件的某些内容， 在杀除这种病毒后是不能恢复文件的原貌的。

  使用杀毒软件可以免受病毒的侵扰

    目前市场上出售的杀毒软件，都只能在病毒泛滥之后才“一展身手”。 但在杀毒之前病毒已经造成了工作的延误、数据的破坏或其他更为严重的后果。所以，应该选择一套完善的反毒系统，它不仅应包括常见的查、杀病毒功能，还应该同时包括有实时防毒功能，能实时地监测、跟踪对文件的各种操作，一旦发现病毒，立即报警，只有这样才能最大程度地减少被病毒感染的机会。

  磁盘文件损坏多为病毒所为

    文件的损坏有多种原因，电源电压波动、掉电、磁化、磁盘质量低劣、硬件错误、其他软件中的错误、灰尘、烟灰、茶水，甚至一个喷嚏都可能导致数据丢失。以上所举对文件造成的损坏，会比病毒造成的损失更常见，更严重。

如果做备份的时候，备份了病霉，那么这些备份是无用的

    有两种情况：①软盘备份：备份中含有引导型病毒。这种情况下，只要不用这张软盘试图启动您的计算机，它将和无毒备份一样安全。②磁带备份：备份中的数据文件中不会有病毒，如果其中的可执行文件中含有病毒，那么执行文件就白备份了，但是备份中的数据文件还是可用的。

    反病毒软件可以随时随地防范任何病霉

    很显然，这种反病毒软件是不存在的。新病毒不断出现，要求反病毒软件必须快速升级。对抗病毒，我们需要的是一种安全策略和一个完善的反病毒系统，用备份作为防病毒的第一道防线，将反病毒软件作为第二道防线。 同时， 软件的及时升级是加固第二道防线的唯一方法。使用反病毒软件是为了辅助防毒，它不可能是刀枪不入的保缥。
正版软件不会带病毒，可以安全使用
    计算机用户常被告知，“为了防范病毒的侵害，不要使用来历不明的软件”。这话不错，所谓“来历不明的软件”确实是计算机病毒传播主要途径之一。那么使用有“来历”的软件是否就可以高枕无忧呢？非也！实际上计算机报刊媒体已经多次报导过“正版软件”。“商品软件”带病毒问题。使用商品软件也不可掉以轻心，甚至新购买的计算机包括
    原装计算机在使用前都须进行病毒检测。如确实由于原版软件带有病毒而造成重大的损失，应寻求法律保护。
    不用软盘，不会感染病毒，因而无需选择杀毒软件
    “不用软盘，就不会感染病毒”是常在初级用户中听到的一种言论，它和“使用软盘，就会感染病毒”是一对孪生姊妹，是两种相同类型的错误论调。
    病毒的传染是通过带病毒软件进行的，但软盘并不是“带病毒软件”的唯一载体。可以说，凡是可以得到程序（软件）的地方，都可能“得到”病毒。也就是说，使用光盘、硬盘、磁带，或者通过局域/广域网络、Internet、BBS（电子公告板）使用或下载软件，都潜在感染病毒的危险。尤其是近年来Internet和BBS的广泛使用， 使得国内外病毒大面积、高速度的流行传播成为可能。这些具有国际性的计算机信息传播媒体，是潜在的病毒毒源和导管（当然，这些网络体系中也具有安全性较高的防/杀病毒系统），使每一个计算机用户都受到染毒的威胁。 —恐怕没有人会说他的计算机永远不会连上Internet。
    人不可能不生病，所以计算机绝不可能不感染病毒，所以您必须选择杀毒软件。
“能杀毒的就行”和“有一个杀毒软件就够了”
    “能杀毒的就行”和“有一个杀毒软件就够了”，这是一部分人在选择杀毒软件时的想法。一种常见的情况是，当您的计算机不正常时，找来一大堆杀毒软件，不管是正版还是盗版，能查能杀病毒就是好样的。其实很多计算机的故障并不是病毒导致，这样，很多的杀毒软件都“无效”；另一种更常见的情况是用户一般并不注意“查毒”与“杀毒”的区别，使用某种杀毒软件时，首选“杀毒”操作。于是，当它用这种杀毒软件将系统“杀毒”了一次以后，用其他杀毒软件，就再也找不到病毒了，那就认定这个软件是最好的。
    目前还没有一个杀毒软件能囊括所有病毒而杀之，这是谁也做不到的。由于各种病毒标本的来源不同，再加上程序编制者的实力有别，总存在一种软件能查杀的病毒，别的软件却不能查杀。或者由于一些程序BUG（程序错误）， 使某些软件本来可以查杀的病毒，在它的一些版本中却不能查杀或误查误杀了。所以一般不建议用户革一的选择一种杀毒软件。
    在选择杀毒软件时，请首先抛开您所有关于“好”与“不好”的成见，也拒绝广告词上的种种诱惑，认真地去了解一下杀病毒软件厂商在技术实力、服务质量、软件性能等方面的东西。特别应该了解软件厂商在升级、退货、损坏更换等方面的措施和承诺的可信度。同时，您应该请厂商直接阐述一下他们在广告中的各种术语的具体含义，要知道，这是您作为消费者的合法权益。
    现在的反病毒软件市场就像“战国时代”，各家都说各家好。但消费者感到不放心，到底用谁的软件好？只用一个好还是用几个好？世上没有“万灵丹”，一个软件再好，也不是所有的病毒都能杀，不能“包治百病”。各软件厂家获取病毒样本的时间不同，因此，在每一个时间段，各软件厂家都是各有侧重，只有一个不保险。除了“万能的主”之外，这个世界上恐怕再也找不到万能的东西了。为防止“重复建设”，专家认为，选购两个优势互补的反病毒软件即可，这是提高“安全系数”的最佳方法。千万别把好几个反病毒软件都在同一台计算机上安装，大多了没必要，而且有可能出现相互之间抢占资源、判断失误、死机等问题。
    发现CMOS中有病毒
    CMOS是微机中的一种特殊存储器，记录了微机的硬件设置参数及系统日期时间。开机密码等重要数据。由于CMOS设置十分重要，所以可能成为计算机病毒破坏攻击的目标。目前确实已发现了改写CMOS的“CMOS设置破坏者”病毒，但在CMOS中并不存在病毒。
    有时，机器发生问题，问题出在CMOS设置上，有人认为，这是躲藏在CMOS里面的病毒！因而误认为杀毒软件不行，采取对CMOS存储器又是放电、又是短路的措施，重新设置CMOS参数后，机器恢复了正常，从此确信CMOS中有病毒。这种行为及其危险，很容易将主板搞坏。我们说“CMOS设置破坏者病毒，不等于CMOS中有病毒！病毒不能将自身自动传染到CMOS里面而存留和被激活！”，“病毒可以将CMOS设置改变或加密，但用户也可以重新设置和恢复。”
    某些情况下，如CMOS电源不足、外界电源冲击性波动、软件崩溃、硬件不稳定、操作上的失误、病毒改写等都会导致CMOS设置紊乱，也可以说，是紊乱性加密，因而，造成机器不能引导或不能正常工作。这时，一般情况下可以重新对CMOS设置和用专用软件来清理紊乱性密码，然后再设置正确参数。
    CMOS中不会有病毒寄生，因为：
    （1）CMOS是通过I/O读写与cpu交换数据的，CPU的物理机能决定了只能读写CMOS的数据，不能把CMOS中的数据当作指令代码来执行。而病毒想要工作的话就一定要执行其程序码，但CMOS只是用来存放数据的，在CMOS中的数据不是可执行的，所以并没有CMO5病毒，只有会破坏CMOS数据的病毒。
    （2）如果把一段病毒程序写入CMOS,则必然破坏微机的硬件设置以至于微机根本不能运行，存储在CMOS中的“病毒程序”将毫无作用，病毒不能在CMOS中蔓延或藏身于其中。
    （3）CMOS的有效存储容量只有128个字节，不足以容纳病毒。可见CMOS不具备病毒寄生和被激活的条件，不可能有病毒存在。
    发现Cache中有病毒
    与CMOS中没有病毒一样，Cache中也是根本不可能存在病毒的。
    我们知道，程序执行时，数据流是这样被传送的：
    外存（软/硬盘）
    网络=>内存（RAM）=>Cache->CPU
    Cache物理器件上是一块高速缓存芯片，它被设置在RAM与CPU之间，是RAM到CPU的一条必由通道。由于CPU的运算速度越来越快，而计算机的内存（RAM）的速度总是显得跟不上CPU。“为了缓解CPU与RAM之间的速度矛盾，一般采用在它们之间加入一块高速缓存芯片Cache，使同一时间下RAM为CPU准备的代码不再是单一的指令/数据，而是一长段指令序列或可访问数据块。
    可见Cache中存放的是非静态数据（计算机用语中的“数据”包括“程序代码”）， 它总是随程序的执行在不断刷新，被RAM中的数据不断更换。它的内容总是RAM中数据的某一部分的备份。
    如果RAM中有了病毒，其病毒代码将经由Cache送到CPU，由CPU解码执行。病毒代码“流经” Cache这一现象并不能称为“有Cache病毒”，就好像我们不能因为病毒代码在CPU中执行就认为有CPU病毒一样。事实上， 从PC机的组成原理来看，所有病毒都必须经由Cache进入CPU，因为所有正常或非正常数据都是这样进入CPU中解码执行的。
    此外，Cache中不可能有病毒的重要原因之一也在于Cache不能被软件编址，无法人为控制。
    和CMOS不一样的是，Cache并没有专用电源供电。因而Cache中的数据将在关机后自动清除，在开机时自动刷新。这样的环境中的“病毒”是既无法存储又无法复制的。可见，Cache并不是病毒的安乐窝， 没有人会考虑在这样的环境中置放病毒。
    病毒不感染数据文件
    通常是这样。因为病毒是一段程序，而数据文件一般不包含程序，当然就不会感染病毒.TXT、.PCX等文件因为肯定不包含程序，所以可能不会感染病毒。不过有些病毒会破坏各种文件，所以备份数据文件还是非常必要的。作为例外的是，若数据文件包含了可执行码，那么它就能够被病毒感染了。关于这方面的一个好的例子microsoft Word文件（.DOC和.DOT）。虽然word文件是技术上的数据文件，但Word中可以包含一段程序，因此它们能够容纳病毒，并因为是可执行文件，故而是容易受病毒感染的。目前大部分的病毒感染报告都是来源于宏病毒。
    安装有实时杀毒功能的防火墙，就万事大吉了
    有很多用户持一种错误的观念，以为只要买了杀毒软件，特别是只要安装了有实时杀毒功能的防火墙，就能挡住所有病毒，万事大吉了—这是大错而特错的。从1999年4月26日CIH病毒大发作的情况来看，安装了病毒防火墙且于1998年9月以后至少升级过一次的，都没有受到CIH病毒的攻击，而那些虽然安装且运行病毒防火墙，却太久没有升级的用户，有相当大的比例不幸成为CIH病毒的牺牲品。究其原因，完全是没有及时升级， 使原有的杀毒软件无法具备防范查杀、阻击CIH病毒的能力。因此，我们要再一次特别郑重地提醒用户，不管您使用的是什么样的杀毒软件， 它的生命力在于及时地不停升级，否则，当一个全新的病毒袭来的时候，旧版本的杀毒软件将会形同虚设。请用户一定要随时关注反病毒厂家关于新病毒的流行通报，及时升级，以免造成不必要的损失。

电脑密码遗忘通用手册
在日常操作中，我们经常要输入各种各样的密码，例如开机时要输入密码，QQ时也要先输入密码，假如你忘记了这些密码，就有可能用不了机器、打不开文件、不能聊天...。　　也许还会造成很大的损失!下面我们就介绍电脑操作中常用密码的破解方法，希望能解你燃眉之急!
　　一、遗忘了SYSTEM密码
　　如果你遗忘了CMOS设置中的SYSTEM密码，就无法启动机器了， 解决的办法只能是:打开机箱，把电池取下、正负极短接，给 CMOS放电，清除CMOS中的所有内容(当然也就包括密码)，然后 重新开机进行设置。
　　注意:有些主板设置了CMOS密码清除跳线，请参 照主板说明书将该跳线短接，这样也可以清除CMOS密码。
　　二、遗忘了SETUP密码
　　遗忘了该密码，就不能进行CMOS设置了。如果你能使用计算机 ，但不能进入CMOS设置，可以这样解决:在DOS状态下启动DEBUG ，然后输入如下命令手工清除SETUP密码:
　　_ o 70 16
　　_ o 71 16
　　_ q
　　你也可以 用CMOS密码破解软件来 显示CMOS密码，这样的软件有很多，例如Cmospwd,它支持Acer、AMI、AWARD、COMPAQ、DELL、IBM、 PACKARD BELL、PHOENIX、ZENITH AMI等多种BIOS)，在DOS下启动该程序，CMOS密码就会显示出来 。
　　三、遗忘了Windows登录密码
　　WinMe/98下对策:开机后按F8键选择DOS启动，然后删除Windows 安装目录下的*.PWL密码文件、以及Profiles子目录下的所有个 人信息文件，重新启动Windows后，系统会弹出一个不包含任何 用户名的密码设置框，此时无需输入任何内容，直接单击“确 定”，登录密码即被删除。
　　另外，将注册表数据库HKEY_LOCAL_MACHINE、Network、Logon 分支下的UserProfiles修改为“0”，然后重新启动Windows也 可达到同样目的。
　　WinXP/2000下对策:删除系统安装目录\system32 \config下的SAM文件，重新启动，此时管理员Administrator账 号已经没有密码了，用Administrator帐户登陆系统，不用输入 任何密码，进入系统后再重新设置登陆帐户密码即可。
　　四、遗忘了Windows屏保密码
　　解决方法:在开机后按F8键，选择安全模式启动，进入Windows 后，右击桌面空白处，从弹出的快捷菜单中选择“属性”/屏幕 保护，取消“密码保护”即可。
　　五、遗忘了Windows电源管理密码
　　Windows的电源管理功能也可以设置密码，启用此功能后，当系 统从节能状态返回时就会要求输入密码。
　　如果你遗忘了该密码，可以使用前面破解Windows登录密码的那 种方法去破解。
　　六、遗忘了微软Office密码
　　解决方法:使用破解Office系列文档密码的软件，这样的软件有 很多，例如AOPR，该软 件可以同时对微软Office系列Word、Excel及Access等软件所生 成的密码进行破解，还可以对Word的*.DOT模板文件的密码进行 搜索。
　　七、遗忘了WinZip压缩包密码
　　解决方法:用软件UZPC(Ultra Zip Password Cracker，找回丢失的密码。使用该软件时要先设置适当的解密 方式，例如“后门方式”、“穷举方式”、“字典方式”和“ 模式匹配方式”等，一般采用“Brute Force穷举方式”，然后软件就会对所有可能的密码进行测试， 直至找出最后的结果。
　　八、遗忘了RAR压缩包密码
　　遗忘了RAR压缩包密码后，你可下载一个CRARK软件来对其进行破解，它主要通过命令 行来实现对RAR压缩包的密码进行破解。使用时一般只需直接使 用“CRARK RAR压缩包文件名”命令，利用缺省参数即可进行破解。
　　九、遗忘了QQ/ICQ密码
　　为保护QQ密码，你应该赶快到这里 申请密码保护。假如你忘记了QQ密码、或者密码被盗时 ，只需填写正确的信息即可取回。
　　如果你要找回 ICQ密码，可以使用软件ICQ Password Revealer，这是一个DOS下的命令 行实用软件，你只需在ICQ安装文件夹的NEWDB子文件夹下执行 该文件，然后按照屏幕提示输入自己的UIN，系统即会找回“久 违”的ICQ密码。
　　十、遗忘了OE密码
　　如果你忘 了密码，无法进入OutLook Express阅读收到的邮件、使用通讯簿等，可以这样破解:重启 计算机并按F8，选择“安全模式”，再启动OE就不需要密码了 ，然后你可以重建一个用户(不能修改密码)，把信息导入新用 户信箱即可。
　　十一、遗忘了Foxmail帐户密码
　　解决方法:消除忘记的Foxmail帐户密码。首先打开Foxmail，新 建一个帐户(帐户名任意，例如如lacl1)，然后退出Foxmail;运 行Windows资源管理器，找到Foxmail\MAIL\lacl1文件夹，里边 有个“account.stg”，把它复制到忘记密码的帐户(例如 “lacl”)目录中，直接覆盖原来的“account.stg”文件;再重 新运行Foxmail，打开忘记密码的帐户，呵呵，怎么连“口令提 示框”也没有?现在你就可以直接打开忘记密码的帐户，而且帐 户中原来的邮件一封都不会少!
　　十二、查看“*”密码
　　许多密码在屏幕上都是以“*”显示的，因此我们无法直接看到 密码的原始字符，如果你使用专门破解“*”密码的软件，即可 查出这些密码的原始字符。
　　这样的软件有很多，例如Win2000/Win98下你可用iOpus Password Recovery，WinXP下可用Password Spectator Pro 。使用时，只需先打开显示“*”的窗口，启动这类软件，然后 按住Ctrl键、在密码栏中按下鼠标左键，这些“*”密码的原始 字符就会显示出来了。

电脑已经成为肉鸡的六大现象
现象1：QQ、MSN的异常登录提醒

你在登录QQ时，系统提示上一次的登录IP和你完全不相干。比如，你明明就只在上海的家里上过，QQ却提醒你上一次登录地点在沈阳。

还有，当你登录MSN时，可能有朋友给你发消息，问你刚发了什么，你却很清楚自己从未给这个朋友发过什么消息。

现象2：网络游戏登录时发现装备丢失或和你上次下线时的位置不符，甚至用正确的密码无法登录

很显然，你没有登录这个游戏的时候，别人替你登录过。

现象3：有时会突然发现你的鼠标不听使唤，在你不动鼠标的时候，鼠标也会移动，并且还会点击有关按钮进行操作

你没动，那就是有人在动。注意，这种鼠标的移动轨迹和性能差光电鼠标自动漂移明显不同。你就能感觉到，这是有人在动你的电脑。

现象4：正常上网时，突然感觉很慢，硬盘灯在闪烁，就象你平时在COPY文件

这种情况很可能是攻击者在尝试COPY你的文件，在大量COPY文件时，磁盘的读写明显会增加，系统也会变慢。此时，你应该毫不犹豫地拔掉网线，立即检查你的系统进程是否异常。

现象5：当你准备使用摄像头时，系统提示，该设备正在使用中

完了，攻击者已经在盗用你的摄像头了，这种情况下，摄像头的工作状态是不可见的。

强烈建议你不用摄像头时，把镜头给盖上，攻击者看到黑乎乎的影像时，自然会明白是什么问题。

现象6：在你没有使用网络资源时，你发现网卡灯在不停闪烁

如果你设定为连接后显示状态，你还会发现屏幕右下角的网卡图标在闪

正常情况下，当你少用或不用网络资源时，网卡的闪烁会不明显，通过网络传递的数据流量也不会太高。

最后用户还可以借助一些软件来观察网络活动情况，以检查系统是否被入侵。

1.注意检查防火墙软件的工作状态

比如金山网镖。在网络状态页，会显示当前正在活动的网络连接，仔细查看相关连接。如果发现自己根本没有使用的软件在连接到远程计算机，就要小心了。

2.推荐使用tcpview，可以非常清晰的查看当前网络的活动状态

一般的木马连接，是可以通过这个工具查看到结果的。

这里说一般的木马连接，是区别于某些精心构造的rootkit木马采用更高明的隐藏技术，不易被发现的情况。

3.使用金山清理专家进行在线诊断，特别注意全面诊断的进程项

清理专家会对每一项进行安全评估，当遇到未知项时，需要特别小心。

4.清理专家百宝箱的进程管理器

可以查找可疑文件，帮你简单的检查危险程序所在。

教你如何恢复U盘里的中毒文件
你是否有这样的经历，U盘中了病毒，运行杀毒软件查杀后，病毒被清除了，可是U盘里的部分文件也找不到了，无论点击“显示所有文件和文件夹”还是再次运行杀毒软件杀毒，都无法使“消失”的文件重见天日，。而U盘里的“已使用存储空间”并没有减少，所以文件并没有被删除，那么如何才能找回被“隐藏”的文件呢？

　　这里我们就应用到一个软件。“USBCleaner”，这是一款纯绿色的辅助杀毒工具，此软件具有侦测1000余种U盘病毒，U盘病毒广谱扫描，U盘病毒免疫，修复显示隐藏文件及系统文件，安全卸载移动盘盘符等功能，全方位一体化修复杀除 U 盘病毒。同时USBCleaner能迅速对新出现的U 盘病毒进行处理。

　　第一步：首先下载USBCleaner,解压后在文件夹里找到“Foldercure.exe”双击运行。

　　第二部：单击“开始扫描”按钮，选择“执行U盘扫描”后会弹出一个窗口，询问是否进行一下的修复，选择“是”该程序会对文件进行修复，并会提示“修复成功”的红色文字

　　
　　第三部：修复完成后会弹出一个对话框，提示“所有的操作已成功完成”，单击“确定”，在“是否重新启动电脑”的对话框中选择“是”

　　重启电脑，你会发现所有的文件都已经在U盘里了。