| |
系統(tǒng)服務(wù)、自啟動(dòng)程序、進(jìn)程是系統(tǒng)三大要素。在對(duì)系統(tǒng)進(jìn)行優(yōu)化或者安全檢查的時(shí)候，我們經(jīng)常要對(duì)系統(tǒng)三大件進(jìn)行監(jiān)測(cè)。雖然已經(jīng)有很多專(zhuān)業(yè)軟件可以對(duì)三大件進(jìn)行管理，但是對(duì)于Windows XP用戶(hù)來(lái)說(shuō)，只要利用系統(tǒng)本身的組件和命令就可以管好它們了。
用NET START命令監(jiān)測(cè)服務(wù)，一動(dòng)便知
很多朋友通過(guò)手動(dòng)關(guān)閉不需要的服務(wù)來(lái)優(yōu)化系統(tǒng)。不過(guò)，由于對(duì)被關(guān)閉的服務(wù)不熟悉，手動(dòng)優(yōu)化系統(tǒng)后卻出現(xiàn)一些莫名其妙的故障。比如，一個(gè)朋友電腦執(zhí)行系統(tǒng)優(yōu)化后，發(fā)現(xiàn)系統(tǒng)內(nèi)原來(lái)正常使用的諾基亞手機(jī)瀏覽服務(wù)無(wú)法使用。怎么才知道自己該關(guān)閉哪些服務(wù)呢?現(xiàn)在借助NET START命令可以快速發(fā)現(xiàn)變化的服務(wù)，該命令可以查找出當(dāng)前系統(tǒng)已開(kāi)啟的服務(wù)，并支持重定向輸出信息到文件。
1.在執(zhí)行系統(tǒng)優(yōu)化前(或者系統(tǒng)正常情況下)，啟動(dòng)命令提示符輸入“net start >d:\services.txt”。這樣可以把當(dāng)前系統(tǒng)開(kāi)啟的服務(wù)輸出到d:\services.txt中，我們可以把這個(gè)作為系統(tǒng)服務(wù)正常狀態(tài)的參照。
2.如果對(duì)系統(tǒng)服務(wù)進(jìn)行調(diào)整后發(fā)生故障，同上，再次執(zhí)行“net start >d:\services1.txt”，將優(yōu)化后的服務(wù)狀態(tài)輸出。
3.繼續(xù)在命令提示符下輸入“fc d:\services.txt d:\services1.txt”，使用FC命令比較兩個(gè)文件不同。我們很快就知道優(yōu)化前后，一個(gè)名為“ServiceLayer”的服務(wù)發(fā)生變化(如圖1)。
4.現(xiàn)在單擊“開(kāi)始→運(yùn)行”，輸入“services.msc”打開(kāi)系統(tǒng)服務(wù)管理窗口。按提示把ServiceLayer服務(wù)設(shè)置為“自動(dòng)”并啟動(dòng)該服務(wù)順利解決故障。
小提示：除了NET START命令，我們還可以借助sc query(列出當(dāng)前服務(wù)詳細(xì)信息)、sc query state= all(列出所有服務(wù)，包括硬件驅(qū)動(dòng)服務(wù))，用類(lèi)似于上面介紹的方法對(duì)服務(wù)進(jìn)行更詳盡的監(jiān)測(cè)。
用WMIC命令，自啟動(dòng)程序一加就知
自啟動(dòng)程序是隨著系統(tǒng)啟動(dòng)自動(dòng)加載的，很多病毒、木馬正是通過(guò)這種方式在系統(tǒng)中運(yùn)行的。借助系統(tǒng)自帶的WMIC命令可以非常方便地列出所有自啟動(dòng)程序。
1.啟動(dòng)命令提示符輸入wmic進(jìn)行安裝。以后就可以在命令提示符使用WMIC腳本了。在確保系統(tǒng)無(wú)毒或者正常使用的情況下，啟動(dòng)命令提示符輸入“wmic startup list brief >d:\start.txt”，將系統(tǒng)所有自啟動(dòng)項(xiàng)輸出到d:\start.txt。
2.同上，現(xiàn)在如果懷疑系統(tǒng)增加了未知的自啟動(dòng)項(xiàng)，再次輸入“wmic startup list brief >d:\start1.txt”，然后使用FC命令進(jìn)行比較，很快就可以發(fā)現(xiàn)新增的啟動(dòng)項(xiàng)。
用WMIC命令，進(jìn)程信息一目了然
WMIC命令還可以查看當(dāng)前啟動(dòng)進(jìn)程的詳細(xì)信息。比如，筆者通過(guò)FC比較發(fā)現(xiàn)一個(gè)新增的rundll32.exe啟動(dòng)項(xiàng)目，但是經(jīng)檢查rundll32.exe卻是個(gè)正常的系統(tǒng)文件。其實(shí)木馬是通過(guò)rundll32.exe調(diào)用dll文件運(yùn)行。
在命令提示符輸入WMIC，在WMIC提示符wmic:root\cli>輸入“process”，當(dāng)前所有進(jìn)程詳細(xì)信息就一目了然了，可以看到rundll32.exe調(diào)用的是c:\windows\hgz.dll木馬文件(如圖2)。
小提示：在懷疑自己中招的時(shí)候，我們經(jīng)常要使用任務(wù)管理器查看當(dāng)前進(jìn)程。但是任務(wù)管理器無(wú)法查看進(jìn)程路徑和參數(shù)。借助WMIC的process命令可以獲取當(dāng)前進(jìn)程詳細(xì)信息。因此我們可以在系統(tǒng)正常時(shí)使用process命令查看并記錄開(kāi)機(jī)進(jìn)程。一旦發(fā)現(xiàn)異常，使用FC即可快速找出新增的進(jìn)程，同時(shí)可以根據(jù)process提供的路徑將異常程序刪除。
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
