电脑运用问题！IE有个小问题希望大家来帮我解决一下！计算机高手来看看！谢谢_百度知道
电脑运用问题！IE有个小问题希望大家来帮我解决一下！计算机高手来看看！谢谢
我在某中学读书.我们学校的机房有两种操作系统（winXP和win98)以前我们学校的winXP机子能登“百度”现在有几周上不起百度.我问老师说屏蔽了百度.怎么解决这一问题?我很想上百度搜东西希望大家帮我一下.其他网站能上(win98能上百度
我有更好的答案
想搜索方法多的是： g.cn打开Google yahoo、hao123、QQ都提供了搜索引擎 要恢复么…… 在“IE-Internet选项-安全”里面有个“受限站点” 你选中受限站点，点“站点”按钮，看里面有没有百度的网址。 如果不是这种方法屏蔽了的话我也不清楚了。Ps:学（xiao，二声）生不是应该好好学（xiao，二声）习么
采纳率：33%
使用代理浏览器，比如QQ里有个TT，还有火狐狸什么的。不用IE浏览器，使用代理浏览器更容易。
你可以用google，搜索效果是一样的。
把IE卸了,再重装一下
其他1条回答
为您推荐：
其他类似问题
您可能关注的内容
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。电脑高手进来看看_百度知道
电脑高手进来看看
我的电脑配置如下:
CPU 酷睿2 E6320
主板 NVIDIA 650i
显卡 七彩虹 8600GT
内存 2G DDR2 800
但是又不会
请各位高手传授一下小弟超频技巧！
我有更好的答案
你的主板超起来可能不会很顺，P35支持更高的前端总线，超频需要CPU体质好，主板支持更高的前端总线，内存支持更多的SPD参数，散热要好。E6320非常强大了，不需要超。你可以去买个420来超，200多的东西，超坏了就当喝了顿酒。420可以超100%幅度，而且威力也比较强大。
采纳率：25%
电脑的超频就是通过人为的方式将CPU、显卡等硬件的工作频率提高，让它们在高于其额定的频率状态下稳定工作。以Intel P4C 2.4GHz的CPU为例，它的额定工作频率是2.4GHz，如果将工作频率提高到2.6GHz，系统仍然可以稳定运行，那这次超频就成功了。
CPU超频的主要目的是为了提高CPU的工作频率，也就是CPU的主频。而CPU的主频又是外频和倍频的乘积。例如一块CPU的外频为100MHz,倍频为8.5,可以计算得到它的主频＝外频×倍频＝100MHz×8.5 = 850MHz。
提升CPU的主频可以通过改变CPU的倍频或者外频来实现。但如果使用的是Intel CPU，你尽可以忽略倍频，因为IntelCPU使用了特殊的制造工艺来阻止修改倍频。AMD的CPU可以修改倍频，但修改倍频对CPU性能的提升不如外频好。
而外频的速度通常与前端总线、内存的速度紧密关联。因此当你提升了CPU外频之后，CPU、系统和内存的性能也同时提升了。CPU超频主要有两种方式：
一个是硬件设置，一个是软件设置。其中硬件设置比较常用，它又分为跳线设置和BIOS设置两种。
1.跳线设置超频
早期的主板多数采用了跳线或DIP开关设定的方式来进行超频。在这些跳线和DIP开关的附近，主板上往往印有一些表格，记载的就是跳线和DIP开关组合定义的功能。在关机状态下，你就可以按照表格中的频率进行设定。重新开机后，如果电脑正常启动并可稳定运行就说明我们的超频成功了。
比如一款配合赛扬1.7GHz使用的Intel 845D芯片组主板，它就采用了跳线超频的方式。在电感线圈的下面，我们可以看到跳线的说明表格，当跳线设定为1－2的方式时外频为100MHz，而改成2－3的方式时，外频就提升到了133MHz。而赛扬1.7GHz的默认外频就是100MHz，我们只要将外频提升为133MHz，原有的赛扬1.7GHz就会超频到2.2GHz上工作，是不是很简单呢：）。另一块配合AMD CPU使用的VIA KT266芯片组主板，采用了DIP开关设定的方式来设定CPU的倍频。多数AMD的倍频都没有锁定，所以可以通过修改倍频来进行超频。这是一个五组的DIP开关，通过各序号开关的不同通断状态可以组合形成十几种模式。在DIP开关的右上方印有说明表，说明了DIP开关在不同的组合方式下所带来不同频率的改变。例如我们对一块AMD 1800+进行超频，首先要知道,Athlon XP 1800+的主频等于133MHz外频×11.5倍频。我们只要将倍频提高到12.5，CPU主频就成为133MHz×12.5≈1.6GHz，相当于Athlon XP 2000+了。如果我们将倍频提高到13.5时，CPU主频成为1.8GHz，也就将Athlon XP 1800+超频成为了Athlon XP2200+，简单的操作换来了性能很大的提升，很有趣吧。2.BIOS设置超频
现在主流主板基本上都放弃了跳线设定和DIP开关的设定方式更改CPU倍频或外频，而是使用更方便的BIOS设置。
例如升技（Abit）的SoftMenu III和磐正（EPOX）的PowerBIOS等都属于BIOS超频的方式，在CPU参数设定中就可以进行CPU的倍频、外频的设定。如果遇到超频后电脑无法正常启动的状况，只要关机并按住INS或HOME键，重新开机，电脑会自动恢复为CPU默认的工作状态，所以还是在BIOS中超频比较好。
这里就以升技NF7主板和Athlon XP 1800+ CPU的组合方案来实现这次超频实战。目前市场上BIOS的品牌主要有两种，一种是PHOENIX-Award BIOS，另一种是AMI BIOS，这里以Award BIOS为例。
首先启动电脑，按DEL键进入主板的BIOS设定界面。从BIOS中选择Soft Menu III Setup，这便是升技主板的SoftMenu超频功能。进入该功能后，我们可以看到系统自动识别CPU为1800+。我们要在此处回车，将默认识别的型号改为User Define（手动设定）模式。设定为手动模式之后，原有灰色不可选的CPU外频和倍频现在就变成了可选的状态。如果你需要使用提升外频来超频的话，就在External Clock：133MHz这里回车。这里有很多外频可供调节，你可以把它调到150MHz或更高的频率选项上。由于升高外频会使系统总线频率提高，影响其它设备工作的稳定性，因此一定要采用锁定PCI频率的办法。Multiplier Factor一项便是调节CPU倍频的地方，回车后进入选项区，可以根据CPU的实际情况来选择倍频，例如12.5、13.5或更高的倍频。菜鸟：如果CPU超频后系统无法正常启动或工作不稳定，我听说可以通过提高CPU的核心电压来解决，有这个道理吗？ 阿萌：对啊。因为CPU超频后，功耗也就随之提高。如果供应电流还保持不变，有些CPU就会因功耗不足而导致无法正常稳定的工作。而提升了电压之后，CPU就获得了更多的动力，使超频变得更容易成功和稳定。
在BIOS中可以设置和调节CPU的核心电压（如图7）。正常的情况下可以选择Default（默认）状态。如果CPU超频后系统不稳定，就可以给CPU核心加电压。但是加电压的副作用很大，首先CPU发热量会增大，其次电压加得过高很容易烧毁CPU，所以加电压时一定要慎重，一般以0.025V、0.05V或者0.1V步进向上加就可以了。3.用软件实现超频
顾名思义，就是通过软件来超频。这种超频更简单，它的特点是设定的频率在关机或重新启动电脑后会复原，菜鸟如果不敢一次实现硬件设置超频，可以先用软件超频试验一下超频效果。最常见的超频软件包括SoftFSB和各主板厂商自己开发的软件。它们原理都大同小异，都是通过控制时钟发生器的频率来达到超频的目的。
SoftFSB是一款比较通用的软件，它可以支持几十种时钟发生器。只要按主板上采用的时钟发生器型号进行选择后，点击GET FSB获得时钟发生器的控制权，之后就可以通过频率拉杆来进行超频的设定了，选定之后按下保存就可以让CPU按新设定的频率开始工作了。不过软件超频的缺点就是当你设定的频率让CPU无法承受的时候，在你点击保存的那一刹那导致死机或系统崩溃。CPU超频秘技：
1.CPU超频和CPU本身的“体质”有关
很多朋友们说他们的CPU加压超频以后还是不稳定，这就是“体质”问题。对于同一个型号的CPU在不同周期生产的可超性不同，这些可以从处理器编号上体现出来。
2.倍频低的CPU好超
大家知道提高CPU外频比提高CPU倍频性能提升快，如果是不锁倍频的CPU，高手们会采用提高外频降低倍频的方法来达到更好的效果，由此得出低倍频的CPU具备先天的优势。比如超频健将AMD Athlon XP+以及Intel Celeron 2.0GHz等。
3.制作工艺越先进越好超
制作工艺越先进的CPU，在超频时越能达到更高的频率。比如Intel新推出就赢得广泛关注的Intel Celeron D处理器，采用90纳米的制造工艺，Prescott核心。已经有网友将一快2.53GHz的Celeron D超到了4.4GHz。
4.温度对超频有决定性影响
大家知道超频以后CPU的温度会大幅度的提高，配备一个好的散热系统是必须的。这里不光指CPU风扇，还有机箱风扇等。另外，在CPU核心上涂抹薄薄一层硅脂也很重要，可以帮助CPU良好散热。
5.主板是超频的利器
一块可以良好支持超频的主板一般具有以下优点：（1）支持高外频。（2）拥有良好供电系统。如采用三相供电的主板或有CPU单路单项供电的主板。（3）有特殊保护的主板。如在CPU风扇停转时可以立即切断电源，部分主板把它称为“烧不死技术”。（4）BIOS中带有特殊超频设置的主板。（5） 做工优良，最好有6层PCB板。
电脑超频，一般有CPU超频，内存超频，显卡超频。 一般CPU超频比较常见。但道理基本相同。 以CPU来说，CPU超频方法很多，现在最常见的是修改外频来提高主频。 众所周知，CPU的主频与计算机的性能紧密相连，主频提高了，带来的是性能的提高。没有其它好处。毕竟玩硬件的都希望是性能提高。 但性能虽然提高了，CPU的温度也会随之提高，当CPU温度到达其承受能力的时候，内部高密度的线路很可能会融化，造成硬件损坏。 也有提高CPU工作电压来超频的方法，这样的话，很可能会引起线路被击穿等现象，造成硬件损坏。 当然还可以修改倍频、屏蔽针角来超频。同样会造成硬件损伤。 同时CPU超频，带来的还有系统稳定性下降。不用说也能想明白。 再说说内存超频。我个人感觉内存超频没有什么太大意义。超频超的是内存的频率，你266的超成了533的性能上能有多大提升？？？可以用软件测试一下，基本没太大变化，而且危险性比较大。所以超内存的人少。而且大多数都是骨灰级硬件玩家。 显卡超频当然就是超GPU的工作频率了。同时的道理，在电脑上，CPU是心脏。在显卡上GPU是心脏。道理根CPU一样。超频后，如果散热性能不好的话，很可能引起硬件烧毁。但GPU超频后，其性能上的提升确实很显著。。。 如果看超没超频，说复杂也不复杂，说简单也不简单。因为所有软件都可以更改内容，比如优化大师，测试出来的结果经常会遇到错误的情况。Dxdiag更不用说了如果你玩过超频的话，你就应该从超频的地方找到相关参数，就知道有没有超频了。 反正我是从不超频。超频首先要考虑你的散热行不行，还要考虑你的机器打算用多长时间。超频会影响使用寿命。而且危险性比较大。一般不是特殊情况，建议你就不要超频了。。
参考资料：
超频需要专门去学，建议你弄本书看看，超不好对硬件可是有损伤的。
我靠!兄弟!你的机子配置已经这么好了,还超频?你做什么啊?现在的情况已经无所不能了!劝你别想这个.而且超频是以机子的寿命为代价的!如果你想让你的机子多活几年的话,放弃这个想法!
你还要超频？？晕，你不超频都比我好很多很多，你就算超也超不了多少，性能上看不出什么来，
其他4条回答
为您推荐：
其他类似问题
您可能关注的内容
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。懂计算机系统故障的进来_百度知道
懂计算机系统故障的进来
我的机器老出现这个毛病~svchost.exe - 应用程序错误
应用程序发生异常 未知的软件异常（0xc0000409），位置为0x5fdda3c0。 谁懂系统故障?? 教我怎么处理?!?!!!!?
我有更好的答案
我靠，，楼上的太毒拉，，，这么多。。。。。。我看的眼都花了最简单的方式就是重装拉。等我看完上面的文字，我估计我也重装好系统了。。
这种现象很可能是中了魔波病毒或者是其它利用魔波病毒所利用的漏洞来传播的病毒，请你将杀毒软件升级至最新版本进行杀毒，并且打上所有的系统安全补丁，至少是KB921883这个补丁，否则就算现在清理了病毒，仍旧会再次中毒。
svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。很多病毒、木马也会调用它。所以，深入了解这个程序，是玩电脑的必修课之一。 大家对windows操作系统一定不陌生，但你是否注意到系统中“svchost.exe”这个文件呢？细心的朋友会发现windows中存在多个 “svchost”进程（通过“ctrl+alt+del”键打开任务管理器，这里的“进程”标签中就可看到了），为什么会这样呢？下面就来揭开它神秘的面纱。 发现 在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003 server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务（remote procedure call）、dmserver服务（logical disk manager）、dhcp服务（dhcp client）等。 如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win2000 support tools提供的。在winxp则使用“tasklist /svc”命令。 svchost中可以包含多个服务 深入 windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot% system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？ 原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向 svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以rpcss（remote procedure call）服务为例，进行讲解。 从启动参数中可见服务是靠svchost来启动的。 实例 以windows xp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchost -k rpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。 在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine systemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“% systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样 svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。 解惑 因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。 假设windows xp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。 查看文章 Svchost.exe病毒 11:51Svchost.exe病毒 20:46Svchost.exe是病毒的两种情况 1.利用假冒Svchost.exe名称的病毒程序 这种方式运行的病毒并没有直接利用真正的Svchost.exe进程，而是启动了另外一个名称同样是Svchost.exe的病毒进程，由于这个假冒的病毒进程并没有加载系统服务，它和真正的Svchost.exe进程是不同的，只需在命令行窗口中运行一下“Tasklist /svc”，如果看到哪个Svchost.exe进程后面提示的服务信息是“暂缺”，而不是一个具体的服务名，那么它就是病毒进程了，记下这个病毒进程对应的PID数值(进程标识符)，即可在任务管理器的进程列表中找到它，结束进程后，在C盘搜索Svchost.exe文件，也可以用第三方进程工具直接查看该进程的路径，正常的Svchost.exe文件是位于%systemroot%\System32目录中的，而假冒的Svchost.exe病毒或木马文件则会在其他目录，例如“w32.welchina.worm”病毒假冒的Svchost.exe就隐藏在Windows\System32\Wins目录中，将其删除，并彻底清除病毒的其他数据即可。 2:一些高级病毒则采用类似系统服务启动的方式，通过真正的Svchost.exe进程加载病毒程序，而Svchost.exe是通过注册表数据来决定要装载的服务列表的，所以病毒通常会在注册表中采用以下方法进行加载： 添加一个新的服务组，在组里添加病毒服务名 在现有的服务组里直接添加病毒服务名 修改现有服务组里的现有服务属性，修改其“ServiceDll”键值指向病毒程序 判断方法:病毒程序要通过真正的Svchost.exe进程加载，就必须要修改相关的注册表数据，可以打开[HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost]，观察有没有增加新的服务组，同时要留意服务组中的服务列表，观察有没有可疑的服务名称，通常来说，病毒不会在只有一个服务名称的组中添加，往往会选择LocalService和netsvcs这两个加载服务较多的组，以干扰分析，还有通过修改服务属性指向病毒程序的，通过注册表判断起来都比较困难，这时可以利用前面介绍的服务管理专家，分别打开LocalService和netsvcs分支，逐个检查右边服务列表中的服务属性，尤其要注意服务描述信息全部为英文的，很可能是第三方安装的服务，同时要结合它的文件描述、版本、公司等相关信息，进行综合判断。例如这个名为PortLess BackDoor的木马程序，在服务列表中可以看到它的服务描述为“Intranet Services”，而它的文件版本、公司、描述信息更全部为空，如果是微软的系统服务程序是绝对不可能出现这种现象的。从启动信息“C:\WINDOWS\System32\svchost.exe -k netsvcs”中可以看出这是一款典型的利用Svchost.exe进程加载运行的木马，知道了其原理，清除方法也很简单了：先用服务管理专家停止该服务的运行，然后运行regedit.exe打开“注册表编辑器”，删除[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IPRIP]主键，重新启动计算机，再删除%systemroot%\System32目录中的木马源程序“svchostdll.dll”，通过按时间排序，又发现了时间完全相同的木马安装程序“PortlessInst.exe”，一并删除即可。 svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。很多病毒、木马也会调用它。所以，深入了解这个程序，是玩电脑的必修课之一。 大家对windows操作系统一定不陌生，但你是否注意到系统中“svchost.exe”这个文件呢？细心的朋友会发现windows中存在多个 “svchost”进程（通过“ctrl+alt+del”键打开任务管理器，这里的“进程”标签中就可看到了），为什么会这样呢？下面就来揭开它神秘的面纱。 发现 在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003 server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务（remote procedure call）、dmserver服务（logical disk manager）、dhcp服务（dhcp client）等。 如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win2000 support tools提供的。在winxp则使用“tasklist /svc”命令。 svchost中可以包含多个服务 深入 windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot% system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？ 原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向 svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以rpcss（remote procedure call）服务为例，进行讲解。 从启动参数中可见服务是靠svchost来启动的。 实例 以windows xp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchost -k rpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。 在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine systemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“% systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样 svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。 解惑 因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。 假设windows xp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。 由于篇幅的关系，不能对svchost全部功能进行详细介绍，这是一个windows中的一个特殊进程，有兴趣的可参考有关技术资料进一步去了解它。 大家都要知道Svchost.exe,是系统必不可少的一个进程,很多服务都会多多少少用到它, 但是我想大家也知道,由于它本身特殊性,高明的&黑客们&肯定是不会放过的,前段时间的Svchost.exe木马风波,大家应该是记忆犹新吧,而且现在还是有很多机器里都藏有此木马,因为它伪装和系统进程Svchost.exe一样,所以很多人分不清,那个是进程,那个是木马.... 好的,还是让我们详尽了解一下Svchost.exe进程吧 1.多个服务共享一个 Svchost.exe进程利与弊 windows 系统服务分为独立进程和共享进程两种，在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务，随着系统内置服务的增加，在windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。而在windows XP中，则一般有4个以上的svchost.exe服务进程，windows 2003 server中则更多，可以看出把更多的系统内置服务以共享进程方式由svchost启动是ms的一个趋势。这样做在一定程度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务都退出。另外就是有一点安全隐患，首先要介绍一下svchost.exe的实现机制。 2. Svchost原理 Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这些服务时由svchost调用相应服务的动态链接库来启动服务。 那么svchost如何知道某一服务是由哪个动态链接库负责呢？这不是由服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll表明该服务由哪个动态链接库负责。并且所有这些服务动态链接库都必须要导出一个ServiceMain()函数，用来处理服务任务。 例如rpcss（Remote Procedure Call）在注册表中的位置是 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs，它的参数子键Parameters里有这样一项： &ServiceDll&=REG_EXPAND_SZ:&%SystemRoot%system32 pcss.dll& 当启动rpcss服务时，svchost就会调用rpcss.dll，并且执行其ServiceMain()函数执行具体服务。 既然这些服务是使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢？ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务使用多个svchost进程，组的区别是由服务的可执行程序后边的参数决定的。 例如rpcss在注册表中 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs 有这样一项： &ImagePath&=REG_EXPAND_SZ:&%SystemRoot%system32svchost -k rpcss& 因此rpcss就属于rpcss组，这在服务管理控制台也可以看到。 svchost的所有组和组内的所有服务都在注册表的如下位置： HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost，例如windows 2000共有4组rpcss、netsvcs、wugroup、BITSgroup，其中最多的就是netsvcs=REG_MULTI_SZ:EventSystem.Ias.Iprip.Irmon.Netman. Nwsapagent.Rasauto.Rasman.Remoteaccess.SENS.Sharedaccess.Tapisrv.Ntmssvc.wzcsvc.. 在启动一个svchost.exe负责的服务时，服务管理器如果遇到可执行程序内容ImagePath已经存在于服务管理器的映象库中，就不在启动第2个进程svchost，而是直接启动服务。这样就实现了多个服务共享一个svchost进程。 3. Svchost代码 现在我们基本清楚svchost的原理了，但是要自己写一个DLL形式的服务，由svchost来启动，仅有上边的信息还有些问题不是很清楚。比如我们在导出的ServiceMain()函数中接收的参数是ANSI还是Unicode？我们是否需要调用RegisterServiceCtrlHandler和StartServiceCtrlDispatcher来注册服务控制及调度函数？ 这些问题要通过查看svchost代码获得。下边的代码是windows 2000+ service pack 4 的svchost反汇编片段，可以看出svchost程序还是很简单的。 主函数首先调用ProcCommandLine()对命令行进行分析，获得要启动的服务组，然后调用SvcHostOptions()查询该服务组的选项和服务组的所有服务，并使用一个数据结构 svcTable 来保存这些服务及其服务的DLL，然后调用PrepareSvcTable() 函数创建 SERVICE_TABLE_ENTRY 结构，把所有处理函数SERVICE_MAIN_FUNCTION 指向自己的一个函数FuncServiceMain()，最后调用API StartServiceCtrlDispatcher() 注册这些服务的调度函数。 ; =============================== Main Funcion ======================================= .text: public start .text: start proc near .text: push esi .text: push edi .text:010010BA push offset sub_1001EBA ; lpTopLevelExceptionFilter .text:010010BF xor edi, edi .text: call ds:SetUnhandledExceptionFilter .text: push 1 ; uMode .text: call ds:SetErrorMode .text:010010CF call ds:GetProcessHeap .text: push eax .text: call sub_1001142 .text:010010DB mov eax, offset dword_1003018 .text: push offset unk_1003000 ; lpCriticalSection .text: mov dword_100301C, eax .text:010010EA mov dword_1003018, eax .text:010010EF call ds:InitializeCriticalSection .text: call ds:GetCommandLineW .text:010010FB lpString .text:010010FC call ProcCommandLine .text: mov esi, eax .text: test esi, esi .text: jz short lab_doservice .text: push esi .text: call SvcHostOptions .text:0100110D call PrepareSvcTable .text: mov edi, SERVICE_TABLE_ENTRY returned .text: test edi, edi .text: jz short loc_1001128 .text: mov eax, [esi+10h] .text:0100111B test eax, eax .text:0100111D jz short loc_1001128 .text:0100111F push dword ptr [esi+14h] ; dwCapabilities .text: int .text: call InitializeSecurity .text: .text: loc_1001128: ; CODE XREF: start+5Ej .text: ; start+65j .text: lpMem .text: call HeapFreeMem .text:0100112E .text:0100112E lab_doservice: ; CODE XREF: start+4Dj .text:0100112E test edi, edi .text: jz ExitProgram .text: lpServiceStartTable .text: call ds:StartServiceCtrlDispatcherW .text:0100113D jmp ExitProgram .text:0100113D start endp ; =============================== Main Funcion end =========================================== 由于svchost为该组的所有服务都注册了svchost中的一个处理函数，因此每次启动任何一个服务时，服务管理器SCM都会调用FuncServiceMain() 这个函数。这个函数使用 svcTable 查询要启动的服务使用的DLL，调用DLL导出的ServiceMain()函数来启动服务，然后返回。 ; ============================== FuncServiceMain() =========================================== .text: FuncServiceM DATA XREF: PrepareSvcTable+44o .text: .text: arg_0 = dword ptr 8 .text: arg_4 = dword ptr 0Ch .text: .text: push ecx .text: mov eax, [esp+arg_4] .text: push ebx .text:0100150A push ebp .text:0100150B push esi .text:0100150C mov ebx, offset unk_1003000 .text: push edi .text: mov edi, [eax] .text: push ebx .text: xor ebp, ebp .text: call ds:EnterCriticalSection .text:0100151D xor esi, esi .text:0100151F cmp dwGroupSize, esi .text: jbe short loc_1001566 .text: and [esp+10h], esi .text:0100152B .text:0100152B loc_100152B: ; CODE XREF: FuncServiceMain+4Aj .text:0100152B mov eax, svcTable .text: mov ecx, [esp+10h] .text: push dword ptr [eax+ecx] .text: push edi .text: call ds:lstrcmpiW .text:0100153E test eax, eax .text: jz short StartThis .text: add dword ptr [esp+10h], 0Ch .text: inc esi .text: cmp esi, dwGroupSize .text:0100154E jb short loc_100152B .text: jmp short loc_1001566 .text: ; ================================================= .text: .text: StartThis: ; CODE XREF: FuncServiceMain+3Cj .text: mov ecx, svcTable .text: lea eax, [esi+esi*2] .text:0100155B lea eax, [ecx+eax*4] .text:0100155E push eax .text:0100155F call GetDLLServiceMain .text: mov ebp, dll ServiceMain Function address .text: .text: loc_1001566: ; CODE XREF: FuncServiceMain+21j .text: ; FuncServiceMain+4Cj .text: push ebx .text: call ds:LeaveCriticalSection .text:0100156D test ebp, ebp .text:0100156F jz short loc_100157B .text: push [esp+10h+arg_4] .text: push [esp+14h+arg_0] .text: call ebp .text:0100157B .text:0100157B loc_100157B: ; CODE XREF: FuncServiceMain+6Bj .text:0100157B pop edi .text:0100157C pop esi .text:0100157D pop ebp .text:0100157E pop ebx .text:0100157F pop ecx .text: retn 8 .text: FuncServiceM sp = -8 ; ============================== FuncServiceMain() end ======================================== 由于svchost已经调用了StartServiceCtrlDispatcher来服务调度函数，因此我们在实现DLL实现时就不用了，这主要是因为一个进程只能调用一次StartServiceCtrlDispatcher API。但是需要用 RegisterServiceCtrlHandler 来注册响应控制请求的函数。最后我们的DLL接收的都是unicode字符串。 由于这种服务启动后由svchost加载，不增加新的进程，只是svchost的一个DLL，而且一般进行审计时都不会去HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost 检查服务组是否变化，就算去检查，也不一定能发现异常，因此如果添加一个这样的DLL后门，伪装的好，是比较隐蔽的。 4. 安装服务与设置 要通过svchost调用来启动的服务，就一定要在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost下有该服务名，这可以通过如下方式来实现： 1） 添加一个新的服务组，在组里添加服务名 2） 在现有组里添加服务名 3） 直接使用现有服务组里的一个服务名，但本机没有安装的服务 4） 修改现有服务组里的现有服务，把它的ServiceDll指向自己 其中前两种可以被正常服务使用，如使用第1种方式，启动其服务要创建新的svchost进程；第2种方式如果该组服务已经运行，安装后不能立刻启动服务，因为svchost启动后已经把该组信息保存在内存里，并调用API StartServiceCtrlDispatcher() 为该组所有服务注册了调度处理函数，新增加的服务不能再注册调度处理函数，需要重起计算机或者该组的svchost进程。而后两种可能被后门使用，尤其是最后一种，没有添加服务，只是改了注册表里一项设置，从服务管理控制台又看不出来，如果作为后门还是很隐蔽的。比如EventSystem服务，缺省是指向es.dll，如果把ServiceDll改为EventSystem.dll就很难发现。 因此服务的安装除了调用CreateService()创建服务之外，还需要设置服务的ServiceDll，如果使用前2种还要设置svchost的注册表选项，在卸载时也最好删除增加的部分。 注： ImagePath 和ServiceDll 是ExpandString不是普通字符串。因此如果使用.reg文件安装时要注意。 5. DLL服务实现 DLL程序的编写比较简单，只要实现一个ServiceMain()函数和一个服务控制程序，在ServiceMain()函数里用RegisterServiceCtrlHandler()注册服务控制程序，并设置服务的运行状态就可以了。 另外，因为此种服务的安装除了正常的CreateService()之外，还要进行其他设置，因此最好实现安装和卸载
为您推荐：
其他类似问题
计算机系统的相关知识
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。}