pe 结束进程命令(bat结束进程命令)

电脑无法关机，原因有以下几种情况（以WINXP为例）： 1、关机前有程序尚在运行或正在关闭，关机命令被延后。 解决办法：关机前关闭所有打开的程序，并耐心等待其完成。或者按CTRL+ALT+DEL三键，进入任务管理器，选择菜单栏“关机”项，选择“重新启动”或“关闭”（如下图所示）。如果以上操作无效，可长按主机电源键直到电源指示灯熄灭或拔掉主机电源线（如果是笔记本再拆下电池）以强制关机。 2、关机程序损坏或被病毒感染。 解决办法：Windows XP的关机是由Shutdown.exe程序来控制的，位于WindowsSystem32文件夹中，可从正常电脑复制该文件到本机进行覆盖（可使用启动U盘或光盘启动电脑进入PE系统后操作），并在安全模式下使用360安全卫士+360杀毒对硬盘进行全盘查杀木马、病毒。 3、程序冲突导致系统假死或死机。 解决办法：重启，如无效，则重装系统。 4、硬件故障导致系统死机。 解决办法：逐一替换检查各硬件，特别是内存、硬盘、主板，以确定故障源。
一、台式电脑关不了机的原因分析 1、电脑关不了机主要是因为后台程序还在运行，比如说，现在很多人都在使用word之类的办公软件。进行办公。很多人在关机的时候，并没有退出这些文件。那么这些文件就会在电脑的后台进行运转，导致电脑不能关机。 2、电脑中了病毒也会导致电脑关不了机，中毒的话直接杀一下毒就可以了。如果不是中毒那么就看看下面的解决方法。 二、电脑关不了机的解决方法 1、电脑管不了解的解决方法是很简单的，首先我们要查看一下我们的任务栏下面有没有哪些软件和程序是开着没有关的。把这些开着的程序和软件一一的关闭。如果关闭之后，还是不能关机，那可能就是一些在后台隐藏起来的软件还在运行。 这时候，点击结束进程的快捷键——Ctrl+Alt+delete，这三个键组合起来就是结束进程的意思。同时按下这三个键之后，我们就会看到电脑的结束进程的窗口，进入程序看看，查看一下自己的电脑有哪些软件是还在运行的。全部进行关闭就可以了。 2、如果觉得麻烦并且找不到快捷键在哪里的，还有一个非常简单的办法，几乎每个人都会的。找到开始菜单，点击开始菜单，我们就会看到关机的提示键。点击关机按钮，然后注销，注销之后再次点击关机就可以关机了。这个方法很简单。 电脑关不了机是怎么回事大家了解吗?小编已经将如何解决这件事去的方法和步骤告诉大家了，大家看完之后，知道怎么处理这些问题了吗?电脑关不了机有时候也是正常的，因为电脑在使用的过程中肯定会遇到各种问题的。电脑关不了机大部分都是因为操作不当导致的，大家在使用电脑的时候，要尽可能的采取正规的操作。这样才能保护电脑。
系统设置错误了,无法正常保存设置，或者系统文件被损坏了,无法执行下去.2种都能搞的关不了机器.

命令格式：ntsd -c q -p pid 命令范例： ntsd -c q -p 4 （结束System进程。当然，System进程是杀不掉的）范例详解：System的pid为4，但是如何获取进程的pid呢？在CMD下输入TASKLIST就可以获取当前任务管理器所有进程的PID。或者打开任务管理器，在菜单栏，选择“查看”—“选择列”，在打开的选择项窗口中将“PID（进程标识符）”项选择钩上，这样任务管理器的进程中就会多出PID一项了。（PID的分配并不固定，是在进程启动是由系统随机分配的，所以进程每次启动的进程一般都不会一样。）可使用以下批处理：=================================================rem 复制以下内容到记事本,另存为pid.bat@echo offmode con cols=30 lines=5color 1eecho.set /p t=请输入进程名:tasklist /fo csv>2.txtfind "%t%" 2.txt>1.txtfor /f "delims=, tokens=2" %%i in (1.txt) do set a=%%intsd -c q -p %a%echo PID NAMEecho ============echo %a% %T%del 1.txtdel 2.txtpause >nulexit================================================= 利用进程名结束进程 命令格式：ntsd -c q -pn ***.exe （***.exe 为进程名,exe不能省）命令范例：ntsd -c q -pn explorer.exe另外的能结束进程的DOS命令还有taskkill和tskill命令：命令格式： taskkill /pid 1234 /f （ 也可以达到同样的效果。）[编辑本段]Ntsd详解有一些高等级的进程,tskill和taskkill或许无法结束,那么我们还有一个更强大的工具,那就是系统debug级的ntsd.准确的说,ntsd是一个系统调试工具,只提供给系统开发级的管理员使用,但是对我们杀掉进程还是很爽的.基本上除了WINDOWS系统自己的管理进程,ntsd都可以杀掉。NTSD 调试程序在启动时要求用户指定一个要连接的进程。使用 TLIST 或 PVIEWER，您可以获得某个现有进程的进程 ID，然后键入 NTSD -p pid 来调试这个进程。NTSD 命令行使用如下的句法：NTSD [options] imagefile其中，imagefile 是要调试的映像名称。用法usage: ntsd [-?] [-2] [-d] [-g] [-G] [-myob] [-lines] [-n] [-o] [-s] [-v] [-w][-r BreakErrorLevel] [-t PrintErrorLevel][-hd] [-pd] [-pe] [-pt #] [-pv] [-x | -x{e|d|n|i} ][-- | -p pid | -pn name | command-line | -z CrashDmpFile][-zp CrashPageFile] [-premote transport] [-robp][-aDllName] [-c "command"] [-i ImagePath] [-y SymbolsPath][-clines #] [-srcpath SourcePath] [-QR \machine] [-wake ][-remote transport:server=name,portid] [-server transport:portid][-ses] [-sfce] [-sicv] [-snul] [-noio] [-failinc] [-noshell]where: -? displays this help textcommand-line is the command to run under the debugger-- is the same as -G -g -o -p -1 -d -pd-aDllName sets the default extension DLL-c executes the following debugger command-clines number of lines of output history retrieved by a remote client-failinc causes incomplete symbol and module loads to fail-d sends all debugger output to kernel debugger via DbgPrint-d cannot be used with debugger remoting-d can only be used when the kernel debugger is enabled-g ignores initial breakpoint in debuggee-G ignores final breakpoint at process termination-hd specifies that the debug heap should not be usedfor created processes. This only works on Windows Whistler.-o debugs all processes launched by debuggee-p pid specifies the decimal process Id to attach to-pd specifies that the debugger should automatically detach-pe specifies that any attach should be to an existing debug port-pn name specifies the name of the process to attach to-pt # specifies the interrupt timeout-pv specifies that any attach should be noninvasive-r specifies the (0-3) error level to break on (SeeSetErrorLevel)-robp allows breakpoints to be set in read-only memory-t specifies the (0-3) error level to display (SeeSetErrorLevel)-w specifies to debug 16 bit applications in a separate VDM-x sets second-chance break on AV exceptions-x{e|d|n|i} sets the break status for the specified event-2 creates a separate console window for debuggee-i ImagePath specifies the location of the executables that generatedthe fault (see _NT_EXECUTABLE_IMAGE_PATH)-lines requests that line number information be used if present-myob ignores version mismatches in DBGHELP.DLL-n enables verbose output from symbol handler-noio disables all I/O for dedicated remoting servers-noshell disables the .shell (!!) command-QR <\machine> queries for remote servers-s disables lazy symbol loading-ses enables strict symbol loading-sfce fails critical errors encountered during file searching-sicv ignores the CV record when symbol loading-snul disables automatic symbol loading for unqualified names-srcpath specifies the source search path-v enables verbose output from debugger-wake wakes up a sleeping debugger and exits-y specifies the symbol search path (see _NT_SYMBOL_PATH)-z specifies the name of a crash dump file to debug-zp specifies the name of a page.dmp fileto use with a crash dump-remote lets you connect to a debugger session started with -servermust be the first argument if presenttransport: tcp | npipe | ssl | spipe | 1394 | comname: machine name on which the debug server was createdportid: id of the port the debugger server was created onfor tcp use: port=for npipe use: pipe=for 1394 use: channel=for com use: port=,baud=,channel=for ssl and spipe see the documentationexample: ... -remote npipe:server=yourmachine,pipe=foobar-server creates a debugger session other people can connect tomust be the first argument if presenttransport: tcp | npipe | ssl | spipe | 1394 | comportid: id of the port remote users can connect tofor tcp use: port=for npipe use: pipe=for 1394 use: channel=for com use: port=,baud=,channel=for ssl and spipe see the documentationexample: ... -server npipe:pipe=foobar-premote transport specifies the process server to connect totransport arguments are given as with remotingEnvironment Variables:_NT_SYMBOL_PATH=[Drive:][Path]Specify symbol image path._NT_ALT_SYMBOL_PATH=[Drive:][Path]Specify an alternate symbol image path._NT_DEBUGGER_EXTENSION_PATH=[Drive:][Path]Specify a path which should be searched first for extensions dlls_NT_EXECUTABLE_IMAGE_PATH=[Drive:][Path]Specify executable image path._NT_SOURCE_PATH=[Drive:][Path]Specify source file path._NT_DEBUG_LOG_FILE_OPEN=filenameIf specified, all output will be written to this file from offset 0._NT_DEBUG_LOG_FILE_APPEND=filenameIf specified, all output will be APPENDed to this file._NT_DEBUG_HISTORY_SIZE=sizeSpecifies the size of a server's output history in kilobytesControl Keys: Quit debugger Break into Target Force a break into debuggee (same as Ctrl-C) Debug Current debugger Toggle Verbose mode Print version informationntsd: exiting - press enter ---选项option：-2打开一个用于调试字符模式的应用程序的新窗口-d将输出重定向到调试终端-g 使执行自动通过第一个断点-G使 NTSD 在子程序终止时立即退出o启用多个进程的调试，默认值为由调试程序衍生的一个进程-p指定调试由进程 ID 标识的进程-v产生详细的输出。例如，假设 inetinfo.exe 的进程 ID 为 104。键入命令“NTSD -p 104”将 NTSD 调试程序连接到 inetinfo 进程 (IIS)。也可使用 NTSD 启动一个新进程来进行调试。例如，NTSD notepad.exe 将启动一个新的 notepad.exe 进程，并与它建立连接。一旦连接到某个进程，您就可以用各种命令来查看堆栈、设置断点、转储内存，等等。命令含义~显示所有线程的一个列表KB 显示当前线程的堆栈轨迹~*KB显示所有线程的堆栈轨迹R显示当前帧的寄存器输出U反汇编代码并显示过程名和偏移量D[type][< range>]转储内存BP设置断点BC[]清除一个或多个断点BD[]禁用一个或多个断点BE[< bp>]启用一个或多个断点BL[]列出一个或多个断点。个人意见,有一个非常重要的参数就是-v参数,我们可以通过它发现一个进程下面挂接了哪些连接库文件。有很多病毒,木马,或者恶意软件,都喜欢把自己做成动态库,然后注册到系统正常程序的加载库列表中,达到隐藏自己的目的.首先我们需要设置一下ntsd的输出重定向,最好是重定向到一个文本文件,方便我们分析研究.c:>set _NT_DEBUG_LOG_FILE_APPEND=c:pdw.txt注意,虽然输出重定向了,但是我们的输出依然会继续显示在屏幕上,而且会进入到debug模式,我们使用-c q参数,就可以避免这个问题.c:>ntsd -c q -v notepad.exe现在我们的pdw.txt文件中,就可以看见notepad.exe文件的调试信息.可以知道,ntsd的软件终止能力是很好很强大的,一些taskkill都无法终止的软件(如Student.exe这一类或木马)可以用ntsd轻易终止但是它仍有缺点，因为技术在不断更新，在对付最新的有很强防护的病毒等程序时 ，仍建议使用IceSword等专业工具。可以试一下ntsd拿360，IceSword，nod32等杀软程序毫无办法。

1.打开cmd后输入以下命令就可以结束进程：　　方法一：利用进程的pid结束进程　　命令格式：ntsd-cq-ppid　　命令范例：ntsd-cq-p1332（结束explorer.exe进程）　　范例详解：explorer.exe的pid为1332，但是如何获取进程的pid呢？在cmd下输入tasklist就可以获取当前任务管理器所有进程的pid。或者打开任务管理器，在菜单栏，选择“查看”—“选择列”，在打开的选择项窗口中将“pid（进程标识符）”项选择钩上，这样任务管理器的进程中就会多出pid一项了。（pid的分配并不固定，是在进程启动是由系统随机分配的，所以进程每次启动的进程一般都不会一样。）　　可使用以下命令：　　=================================================　　@echooff　　modeconcols=30lines=5　　color1e　　echo.　　set/pt=请输入进程名:　　tasklist/focsv>2.txt　　find"%t%"2.txt>1.txt　　for/f"delims=,tokens=2"%%iin(1.txt)doseta=%%i　　ntsd-cq-p%a%　　echopidname　　echo============　　echo%a%%t%　　del1.txt　　del2.txt　　pause>nul　　exit　　3.方法二：利用进程名结束进程　　命令格式：ntsd-cq-pn***.exe（***.exe为进程名,exe不能省）　　命令范例：ntsd-cq-pnexplorer.exe　　另外的能结束进程的dos命令还有taskkill和tskill命令：　　命令格式：taskkill/pid1234/f（也可以达到同样的效果。）　　如果上面这些还不能满足您的求知欲，下面还有：　　ntsd详解　　有一些高等级的进程,tskill和taskkill或许无法结束,那么我们还有一个更强大的工具,那就是系统debug级的ntsd.准确的说,ntsd是一个系统调试工具,只提供给系统开发级的管理员使用,但是对杀掉进程还是很爽的.基本上除了windows系统自己的管理进程,ntsd都可以杀掉。ntsd调试程序在启动时要求用户指定一个要连接的进程。使用tlist或pviewer，可以获得某个现有进程的进程id，然后键入ntsd-ppid来调试这个进程。ntsd命令行使用如下的句法：　　ntsd[options]imagefile　　其中，imagefile是要调试的映像名称。　　用法usage:ntsd[-?][-2][-d][-g][-g][-myob][-lines][-n][-o][-s][-v][-w]　　[-rbreakerrorlevel][-tprinterrorlevel]　　[-hd][-pd][-pe][-pt#][-pv][-x|-x{e|d|n|i}]　　[--|-ppid|-pnname|command-line|-zcrashdmpfile]　　[-zpcrashpagefile][-premotetransport][-robp]　　[-adllname][-c"command"][-iimagepath][-ysymbolspath]　　[-clines#][-srcpathsourcepath][-qr\machine][-wake]　　[-remotetransport:server=name,portid][-servertransport:portid]　　[-ses][-sfce][-sicv][-snul][-noio][-failinc][-noshell]　　where:-?displaysthishelptext　　command-lineisthecommandtorununderthedebugger　　--isthesameas-g-g-o-p-1-d-pd　　-adllnamesetsthedefaultextensiondll　　-cexecutesthefollowingdebuggercommand　　-clinesnumberoflinesofoutputhistoryretrievedbyaremoteclient　　-failinccausesincompletesymbolandmoduleloadstofail　　-dsendsalldebuggeroutputtokerneldebuggerviadbgprint　　-dcannotbeusedwithdebuggerremoting　　-dcanonlybeusedwhenthekerneldebuggerisenabled　　-gignoresinitialbreakpointindebuggee　　-gignoresfinalbreakpointatprocesstermination　　-hdspecifiesthatthedebugheapshouldnotbeused　　forcreatedprocesses.thisonlyworksonwindowswhistler.　　-odebugsallprocesseslaunchedbydebuggee　　-ppidspecifiesthedecimalprocessidtoattachto　　-pdspecifiesthatthedebuggershouldautomaticallydetach　　-pespecifiesthatanyattachshouldbetoanexistingdebugport　　-pnnamespecifiesthenameoftheprocesstoattachto　　-pt#specifiestheinterrupttimeout　　-pvspecifiesthatanyattachshouldbenoninvasive　　-rspecifiesthe(0-3)errorleveltobreakon(seeseterrorlevel)　　-robpallowsbreakpointstobesetinread-onlymemory　　-tspecifiesthe(0-3)errorleveltodisplay(seeseterrorlevel)　　-wspecifiestodebug16bitapplicationsinaseparatevdm　　-xsetssecond-chancebreakonavexceptions　　-x{e|d|n|i}setsthebreakstatusforthespecifiedevent　　-2createsaseparateconsolewindowfordebuggee　　-iimagepathspecifiesthelocationoftheexecutablesthatgenerated　　thefault(see_nt_executable_image_path)　　-linesrequeststhatlinenumberinformationbeusedifpresent　　-myobignoresversionmismatchesindbghelp.dll　　-nenablesverboseoutputfromsymbolhandler　　-noiodisablesalli/ofordedicatedremotingservers　　-noshelldisablesthe.shell(!!)command　　-qrqueriesforremoteservers　　-sdisableslazysymbolloading　　-sesenablesstrictsymbolloading　　-sfcefailscriticalerrorsencounteredduringfilesearching　　-sicvignoresthecvrecordwhensymbolloading　　-snuldisablesautomaticsymbolloadingforunqualifiednames　　-srcpathspecifiesthesourcesearchpath　　-venablesverboseoutputfromdebugger　　-wakewakesupasleepingdebuggerandexits　　-yspecifiesthesymbolsearchpath(see_nt_symbol_path)　　-zspecifiesthenameofacrashdumpfiletodebug　　-zpspecifiesthenameofapage.dmpfile　　tousewithacrashdump　　-remoteletsyouconnecttoadebuggersessionstartedwith-server　　mustbethefirstargumentifpresent　　transport:tcp|npipe|ssl|spipe|1394|com　　name:machinenameonwhichthedebugserverwascreated　　portid:idoftheportthedebuggerserverwascreatedon　　fortcpuse:port=　　fornpipeuse:pipe=　　for1394use:channel=　　forcomuse:port=,baud=,　　channel=　　forsslandspipeseethedocumentation　　example:-remotenpipe:server=yourmachine,pipe=foobar　　-servercreatesadebuggersessionotherpeoplecanconnectto　　mustbethefirstargumentifpresent　　transport:tcp|npipe|ssl|spipe|1394|com　　portid:idoftheportremoteuserscanconnectto　　fortcpuse:port=　　fornpipeuse:pipe=　　for1394use:channel=　　forcomuse:port=,baud=,　　channel=　　forsslandspipeseethedocumentation　　example:-servernpipe:pipe=foobar　　-premotetransportspecifiestheprocessservertoconnectto　　transportargumentsaregivenaswithremoting　　environmentvariables:　　_nt_symbol_path=[drive:][path]　　specifysymbolimagepath.　　_nt_alt_symbol_path=[drive:][path]　　specifyanalternatesymbolimagepath.　　_nt_debugger_extension_path=[drive:][path]　　specifyapathwhichshouldbesearchedfirstforextensionsdlls　　_nt_executable_image_path=[drive:][path]　　specifyexecutableimagepath.　　_nt_source_path=[drive:][path]　　specifysourcefilepath.　　_nt_debug_log_file_open=filename　　ifspecified,alloutputwillbewrittentothisfilefromoffset0.　　_nt_debug_log_file_append=filename　　ifspecified,alloutputwillbeappendedtothisfile.　　_nt_debug_history_size=size　　specifiesthesizeofaserver'soutputhistoryinkilobytes　　controlkeys:　　quitdebugger　　breakintotarget　　forceabreakintodebuggee(sameasctrl-c)　　debugcurrentdebugger　　toggleverbosemode　　printversioninformation　　ntsd:exiting-pressenter---　　选项option：　　-2打开一个用于调试字符模式的应用程序的新窗口　　-d将输出重定向到调试终端-g使执行自动通过第一个断点　　-g使ntsd在子程序终止时立即退出o启用多个进程的调试，默认值为由调试程序衍生的一个进程　　-p指定调试由进程id标识的进程　　-v产生详细的输出。　　例如，假设inetinfo.exe的进程id为104。键入命令“ntsd-p104”将ntsd调试程序连接到inetinfo进程(iis)。也可使用ntsd启动一个新进程来进行调试。例如，ntsdnotepad.exe将启动一个新的notepad.exe进程，并与它建立连接。一旦连接到某个进程，就可以用各种命令来查看堆栈、设置断点、转储内存，等等。　　命令含义~显示所有线程的一个列表kb显示当前线程的堆栈轨迹~*kb显示所有线程的堆栈轨迹r显示当前　　帧的寄存器输出u反汇编代码并显示过程名和偏移量d[type][]转储内存bp设置断点bc[]清除一个或多个断点bd[]禁用一个或多个断点be[]启用一个或多个断点bl[]列出一个或多个断点。　　有很多病毒,木马,或者恶意软件,都喜欢把自己做成动态库,然后注册到系统正常程序的加载库列表中,达到隐藏自己的目的.　　首先需要设置一下ntsd的输出重定向,最好是重定向到一个文本文件,方便分析研究.　　c:>set_nt_debug_log_file_append=c:pdw.txt　　注意,虽然输出重定向了,但是我的输出依然会继续显示在屏幕上,而且会进入到debug模式,我们使用-cq参数,就可以避免这个问题.　　c:>ntsd-cq-vnotepad.exe　　现在我们的pdw.txt文件中,就可以看见notepad.exe文件的调试信息。　　可以知道,ntsd的软件终止能力是很好很强大的,一些taskkill都无法终止的软件(如student.exe这一类或木马)可以用ntsd轻易终止。
1sudo make menuconfig 2# 选择下面的 module3# Networking support ->4#Networking options ->5#Network packet filtering framework (Netfilter) ->6# IP: Netfilter Configuration7sudo make all8sudo make modules_install 9sudo make install

步骤:双击打开“我的电脑”应用程序； 选择“电脑属性”选项； 点击“高级选项“； 选择“启动和故障恢复“； 点击“默认操作系统”； 关机或者重新启动即可退出PE系统。（操作环境:联想小新15，window10；） Windows PE让你创建和格式化硬盘分区，并且给你访问NTFS文件系统分区和内部网络的权限。这个预安装环境支持所有能用Windows2000和WindowsXP驱动的大容量存储设备，你可以很容易地为新设备添加驱动程序。支持Fat，Fat32，NTFS系统分区的文件COPY，删除以及分区格式化等操作。拓展资料PE简绍1.U盘装系统里PE启动的U盘PE。例如口袋PE里的Windows8PE、Win2003PE维护系统。2.光盘装系统中WindowsPE的光盘PE。3.以及电脑自带的WindowsPE。pe系统的作用pe是急救系统，在电脑无法开机时，可以通过pe系统修复电脑里的各种问题，比如删除顽固病毒，修复磁盘引导分区，给硬盘分区，数据备份等。总结来说，可以实现Windows安装、网络共享、自动底层处理进程、硬件验证等作用。pe系统运行机制pe运行是依靠镜像释放(在PE运行时就释放了)，在计算机内存和硬盘缓存文件中运行。PS：由此我们可以知道，PE系统不能运行主要原因是硬件驱动无法加载、缓存无法写入造成。而缓存无法写入的原因最大，有CHS、LBA的原因，也有硬盘自身加载的问题。pe系统的注意事项尽管pe系统有诸多优点，同样我们要注意以下两点：1.若PE核心过于精简无法通过驱动加载会导致蓝屏死机。2.Pe无法运行，选择的模式错误也可能是原因之一。要注重CHS、LBA模式。【温馨提示】很多情况下，我们都可以使用PE来进行问题解决。例如电脑中了顽固病毒，在安全模式下由于杀毒软件CPU占用率过高，很容易造成电脑假死或死机，导致病毒无法查杀，而PE就不会出现该情况，还能完美解决病毒问题!为了更加方便用户重装系统，windows7之家现推出windows系统之家重装大师，windows之家系统重装大师内集成了windows之家更新的各类最新。
双击打开“我的电脑”应用程序； 选择“电脑属性”选项； 点击“高级选项“； 选择“启动和故障恢复“； 点击“默认操作系统”； 关机或者重新启动即可退出PE系统。
百度知道提问 如何退出PE?如何退出PE？写回答有奖励共4个回答要淡定PV2021-04-25 TA获得超过6360个赞双击打开“我的电脑”应用程序； 选择“电脑属性”选项； 点击“高级选项“； 选择“启动和故障恢复“； 点击“默认操作系统”； 关机或者重新启动即可退出PE系统。第二种方法: 1、首先打开计算机，在计算机左下角点击”开始“图标，在弹出的选项菜单栏内找到并点击”运行“选项。2、点击”运行“选项后在运行界面的输入框内输入“msconfig”，然后点击确定。3、然后在弹出的界面内找到并点击”引导“选项，再在选项内选择“PE-Windows”然后单击删除。4、删除后再在界面内选中“Windows......”，然后单击确定。5、然后在弹出的提示框内单击”重新启动“即可成功卸载PE系统。1、PE系统的退出和正常系统一样，点开始，关机或重新启动即可。2、Windows PE让你创建和格式化硬盘分区，并且给你访问NTFS文件系统分区和内部网络的权限。这个预安装环境支持所有能用Windows2000和WindowsXP驱动的大容量存储设备，你可以很容易地为新设备添加驱动程序。支持Fat，Fat32，NTFS系统分区的文件COPY，删除以及分区格式化等操作。
VC是英文:Venture Capital的简称,翻译过来为:风险投资基金 PE是英文:Private Equity的简称,翻译成中文为:私人股权,但在实际中我们所说的PE

禁鸡！检查隐藏的“肉鸡”——4招查出隐藏在电脑中的木马 天涯 (2007年5月14日 第19期) 木马在互联网上肆虐，我们一不小心就会成为黑客手中的肉鸡。到时自己的电脑成为被黑客控制的傀儡，而且自己的个人隐私也完全暴露。拒绝黑客控制，我的电脑我做主。在五一节后这一黑客大肆捕获肉鸡的时段开始了，我们针对木马特点，用4招自检避免成为黑客肉鸡。小知识：肉鸡实际上就是中了黑客的木马，或者被安装了后门程序的电脑。黑客可以像计算机管理员一样对肉鸡进行所有操作。现在许多人把有WEBSHELL权限的远程主机也叫做肉鸡。第一招：系统进程辨真伪当前流行的木马，为了更好地对自身加以隐藏，使用了很多方法进行自身隐蔽，其中最常见的就是进程隐藏。这种方法不仅让人很难通过常见的检查手法查找到，如果用户操作不当的话还可能将系统进程删除，造成系统不稳定甚至崩溃。常见的这类木马程序包括灰鸽子、守望者、上兴木马等。自检方法黑客为了对木马进行更好的伪装，常常将木马名称设置得和系统进程名称十分相似。通常系统进程都是有System用户加载的，如果我们发现某个“系统进程”是由当前用户加载的，那么这个“系统进程”一定有问题。另外我们也可以从系统进程的路径来进行分辨，比如正常的系统进程svchost.exe应该在“c:Windowssystem32”目录下，如果用户发现它的路径在其他目录下就表明该进程有问题。除此以外，现在的木马很注意对自身服务端程序的保护，我们通过“任务管理器”很可能查看不到木马的服务端进程，因为木马程序通过线程插入等技术对服务端程序进行了隐藏。在这里树树建议大家使用IceSword（下载地址：http://download.cpcw.com）对进程进行管理。它除了可以查看各种隐藏的木马后门进程，还可以非常方便地终止采用多线程保护技术的木马进程。进入IceSword点击“文件→设置”命令，去掉对话框中的“不显示状态为Deleting的进程”选项。点击程序主界面工具栏中的“进程”按钮，在右边进程列表中就可以查看到当前系统中所有的进程，隐藏的进程会以红色醒目地标记出（图1）。 图1另外，如果发现多个IE进程、Explore进程或者Lsass进程，那么我们就要留意了。因为很多木马都会伪装成这几个进程访问网络。应对方法在IceSword的进程列表中选择隐藏的木马程序，点击鼠标右键中的“强行结束”命令即可结束这个进程。然后点击IceSword的“文件”按钮，通过程序模拟的资源管理器命令，找到并删除木马程序的文件即可。]第二招：启动项中细分析一些木马程序通过系统的相关启动项目，使得相关木马文件也可以随机启动，这类木马程序包括TinyRAT、Evilotus、守望者等。检方法运行安全工具SysCheck（下载地址：http://download.cpcw.com），点击“服务管理”按钮后即可显示出当前系统中的服务信息，如果被标注为红色的就是增加的非系统服务。通过“仅显示非微软”选项就可以屏蔽系统自带的服务，这样恶意程序添加的服务项就可以立刻现形。点击“修改时间”或“创建时间”选项，就可以让用户马上查看到新建的系统服务（图2）。从图中我们可以看到一个被标注为红色、名称为Windows Media Player的系统服务，该服务所指向的是一个不明程序路径。因此可以确定该服务就是木马程序的启动服务。 图2通过安全工具SysCheck的“活动文件”项目，可以显示出包括启动项等信息在内的、容易被恶意程序改写的系统注册表键值。比如现在某些恶意程序，通过修改系统的“load”项进行启动，或者修改系统的BITS服务进行启动。由于SysCheck程序只是关注改写了的键值，所以在不同的系统上显示的内容并不一样。应对方法进入SysCheck点击鼠标右键中的“中止服务”选项，中止该木马程序的启动服务，接着点击“删除服务”命令删除指定的服务键值。然后点击“文件浏览”按钮，由于SysCheck采用了反HOOK手段，所以内置的资源管理器可以看到隐藏的文件或文件夹，这样就方便了我们进行隐藏文件的删除工作。按照木马服务所指的文件路径，找到文件后点击鼠标右键中的“删除”按钮即可。第三招：系统钩子有善恶木马程序之所以能成功地获取用户账号信息，就是通过钩子函数对键盘以及鼠标的所有操作进行监控，在辨别程序类型后盗取相应的账号信息。也就是说，只要拥有键盘记录功能的木马程序，就肯定会有系统钩子存在。自检方法通过游戏木马检测大师（下载地址：http://download.cpcw.com）的“钩子列表”功能，可以显示系统已经安装的各种钩子，这样可以显示出当前网络中流行的主流木马。点击“钩子列表”标签进行钩子信息的查看，并且不时点击鼠标右键中的“刷新”命令对系统钩子进行刷新。因为木马程序只有在键盘记录的时候才会启用钩子，如果大家中了木马，那么很快就会在列表中有所发现了。在本例中一个名为WH_JOURNALRECORD可疑的钩子被程序以显著颜色标记出来（图3）。 图3这个钩子是用来监视和记录输入事件的，黑客可以使用这个钩子记录连续的鼠标和键盘事件。在此时，我们就应该引起重视，不要再使用QQ等需要输入密码的程序。应对方法清除方法比较简单，只要记录下动用系统钩子的进程PID，通过PID值找到该木马程序的进程后结束该进程，再输入“Regedit”打开注册表编辑器，并点击“编辑”菜单中的“查找”命令，在此窗口搜索该木马程序进程的相关消息，将找到的所有信息全部删除。重新启动计算机，只要在安全模式下删除系统目录中的木马文件信息即可。当然也可以通过前面几种方式进行相互检测，这样可以更加有效地清除系统中的木马程序。第四招：数据包里藏乾坤现在，越来越多的木马程序利用了Rootkit技术。Rootkit是一种集合了系统间谍程序、病毒以及木马等特性的一种恶意程序，它利用操作系统的模块化技术，作为系统内核的一部分进行运行，有些Rootkits可以通过替换DLL文件或更改系统来攻击Windows平台。自检方法同样我们还是使用游戏木马检测大师这款程序，利用它的“发信检测”功能来判断自己的系统中是否被安装了木马程序。在使用该功能以前，首先需要判断系统的网卡是否工作正常。我们关闭其他一切会扰乱网络数据捕捉的程序，然后去除“只捕获smtp发信端口（25）和Web发信端口（80）”选项，点击“开始”按钮就可以进行数据包的捕捉。如果这时捕捉到有数据包发出，就证明自己的系统中存在木马程序。根据木马程序连接方式的不同，捕捉到的数据信息也不尽相同，但是捕捉到客户端程序的IP地址还是没有问题的（图4）。用过嗅探器的朋友都知道，我们可以通过设置过滤病毒特征数据包来发现蠕虫病毒，当然这种方法需要一定的相关知识，这里就不再叙述了。 图4应对方法对于这种利用Rootkit技术的木马程序，可以直接通过一些Rootkit检测工具进行查看。比如检测工具Rootkit Detector（下载地址：http://download.cpcw.com），它通过程序内置的MD5数据库，来比较所检测到的Windows 2000/XP/2003 系统全部服务和进程的MD5校验值，这样就可以检测出系统下的Rootkit程序。在命令提示符窗口运行命令：rd.exe，程序会自动对当前系统进行检测。程序首先会统计出系统中服务的数目、当前的进程，以及被隐藏的进程，并且将系统当前的进程用列表显示出来，然后进入安全模式进行删除即可。常见木马以及病毒专杀工具在这里，我们向大家提供能速杀流行木马以及病毒的专杀工具。我们可以根据需要，搭配使用这些专杀工具，让自己的电脑更加安全。灰鸽子专杀工具瑞星：http://download.rising.com.cn/zsgj/GPDetect.exe 熊猫烧香专杀工具金山：http://down.www.kingsoft.com/db/download/othertools/DuBaTool_WhBoy.BAT 麦英病毒专杀工具江民：http://download.jiangmin.info/jmsoft/ANIWormKiller.exe 威金病毒专杀工具江民：http://download.jiangmin.info/jmsoft/VikingKiller.exe -------------------------------------------------------------------------------------------------------------------当心PC变成“肉鸡”——巧用WinRAR来抓鸡湖南 王强 (2007年9月10日 第36期) 所属主题：抓鸡系列杀伤力值：★★操作难度：较低适合读者：普通读者WinRAR已经成为用户电脑中必装的软件，可你想过黑客会利用它来抓鸡吗？这是真的，只需一个小小的WinRAR漏洞利用程序，就可以把.rar格式的文件变成抓鸡工具。一旦运行了文件就会变成黑客的肉鸡。这是目前抓鸡比较有效的方法之一，我们应该如何防范呢？下面我们就来揭开谜底。小知识：抓鸡是黑客常用术语，意思是指主动通过某些程序（如木马程序或远程控制程序的客户端）或技术手段控制用户的PC机，被控制的PC机称之为肉鸡。为什么要用WinRAR漏洞抓鸡网络上流传有很多可执行文件捆绑工具，这些工具虽然可以方便的将两个或多个可执行文件捆绑为一个程序，并且可以进行简单的伪装，但是其原理却决定了其不可能成为完美的捆绑工具，目前主流的杀毒软件都可以轻易地将它清除掉。而用WinRAR漏洞捆绑木马来抓鸡就很有优势，因为普通捆绑检测都是用16进制编辑工具查看程序PE头进行判定的（大部分捆绑程序检测工具用的就是这个原理），但是这条不适合这个漏洞。小提示：该漏洞的原理是由于WinRAR在处理LHA格式文件时存在边界条件错误，而若将一个经处理后文件改为长文件名并附加成LHA文件，再调用相应参数生成新的压缩包后，被WinRAR打开的时候就会导致本地缓冲溢出。当用户点击压缩包时会出现错误提示（图1），这时木马程序就已经悄悄运行了，肉鸡就到手了。所以如果我们用这个漏洞来抓鸡，成功率是十分高的，比原始的3389端口抓鸡的成功率高多了。 图1如何用WinRAR漏洞抓鸡Step1：将WinRAR的利用程序放到任意目录中，例如C盘根目录。Step2：单击菜单中“开始→运行”命令，输入“cmd”运行“命令提示符”。将光标切换到“c：”，输入“rar.exe”查看利用程序的使用方法。其使用方法为：“rar [选项] ”。其中“选项”可以指定生成的文件名以及选择溢出的操作系统等操作。我们使用默认的配置，可以不输入，有需要的话可以添加相应的“选项”。Step3：将配置好的木马服务端程序也放到C盘根目录，并命名为123.exe。在“命令提示符”中输入命令：“rar 123.exe”，如果回显中出现“All Done! Have fun!”字样即表示捆绑有木马的WinRAR文件生成了（图2）。 图2Step4：最后我们要做的就是将这个捆绑有木马程序的WinRAR文件发送给别人，当对方运行这个WinRAR文件时，将会出现错误，但是木马已经悄悄地在对方系统后台运行了。对方的电脑也就成了我们的肉鸡（图3）。 图3不过要充分利用这个漏洞，光靠触发漏洞是不够的，木马的配置也很重要，例如要设置运行后删除自身，安装服务端时不出现提示等，这样当用户运行恶意WinRAR文件时只会出现WinRAR的错误提示，是丝毫感觉不到木马运行的。接着我们还要给木马加上免杀，例如加壳处理和修改特征码等，否则被杀毒软件检测出来岂不前功尽弃。小提示：运行漏洞利用工具时请先关闭杀毒软件，因为杀毒软件会把它当作黑客工具给清除掉。防范技巧1.不要运行陌生人发过来的文件。这是老生常谈的问题了，只不过以前只针对可执行文件，现在连WinRAR也不能轻易运行了。2.识别恶意的WinRAR文件。在运行WinRAR文件之前，我们可以先对其进行检查，确定无危害后再运行，检查的方法为：右键单击WinRAR文件，在菜单中如果没有“用WinRAR打开 ”这一项，则说明压缩包有异常，不要轻易打开！3.升级WinRAR到3.7以上的版本，新版本打开虽仍会提示出错，但木马程序不会运行。攻防博弈攻 黑客：虽然很多人都有给系统打补丁的习惯，但会给应用软件升级的人少之又少，所以将捆绑有木马的WinRAR文件上传到软件下载网站或一些资源论坛中，将大大增加抓到的肉鸡数量。抓鸡的方法多种多样，我们还可以用135端口来抓安全意识不强的鸡。防 编辑：系统软件的漏洞可以通过自动更新来解决，而工具软件的漏洞只能通过经常关注一些专业媒体的提醒，定期升级程序来解决。同时养成良好安全习惯，不接收不下载来路不明的压缩文件才是最好的防范方法！至于135端口抓鸡，只要我们关闭了端口，调高了防火墙的安全等级就不用惧怕。 -----------------------------------------------------------------------------------------------------------------------小心端口招蜂引蝶——防范用135端口抓鸡的黑手万立夫 (2007年9月17日 第37期) 新学期到了，许多学生都要配机，新电脑的安全防卫做好了吗？能不能拒绝成为黑客的肉鸡？令人遗憾的是，很多新手都不知道或者忽视了对敏感端口的屏蔽。例如135端口，一旦黑客利用135端口进入你的电脑，就能成功地控制你的机子。我们应该如何防范通过135端口入侵呢？下面我们就为大家来揭开谜底。小知识：每台互联网中的计算机系统，都会同时打开多个网络端口，端口就像出入房间的门一样。因为房间的门用于方便人们的进出，而端口则为不同的网路服务提供数据交换。正如房间的门可以放进小偷一样，网络端口也可以招来很多不速之客。一、为什么135端口会被利用来抓鸡如今，大多数黑客都使用网页木马来捕捉肉鸡，为什么还有一些黑客老惦记着135端口呢？主要原因有两个：一个原因是135端口是WMI服务默认打开的端口。由于WMI服务是Windows系统提供的服务，因此利用它入侵不但不会引起用户注意还很方便，只需要一个脚本代码就可以对远程系统进行管理。WMI服务默认打开的是135端口，因此WMI入侵也被称之为135端口入侵。另外一个原因是135端口开放的机子实在不少，这种现象可能是由于每年新增加的电脑用户的安全意识不强或者不知道怎么关闭造成的。令人担忧的是，连3389这样危险的端口也可以在网络上搜出不少。小知识：WMI服务是“Microsoft Windows 管理规范”服务的简称，可以方便用户对计算机进行远程管理，在很多方面和系统服务远程桌面十分相似。只不过远程桌面是图形化操作，而WMI服务是利用命令行操作而已。WMI服务需要“Windows Management Instrumentation”服务提供支持。而这个服务是默认启动的，而且是系统重要服务，这样就为入侵提供了便利。正是由于它可以进行远程控制操作，因此系统的安全性也就随之下降，因此被称之为永远敝开的后门程序。二、黑客是怎么利用135端口抓鸡的Step1：黑客入侵的第一步就是扫描网络中开启了135端口的远程系统。扫描使用的工具有很多，这里使用的工具是常见的《S扫描器》（下载地址：http://www.cpcw.com/bzsoft/），因为它的扫描速度非常快。单击开始菜单中的“运行”命令，输入“cmd”打开命令提示符窗口，然后输入下面一段命令：S tcp 192.168.1.1 192.168. 1.255 135 100 /save（图1）。 图1前面和后面的IP地址表示扫描的开始和结束地址，后面的135表示扫描的端口，100表示扫描的线程数，数值越大表示速度越快。需要特别说明的是，很多Windows系统默认限制线程为10，我们需要利用修改工具改调这个限制才行。小提示：例如我们打开《比特精灵》的安装目录，运行其中的BetterSP2.exe，在弹出窗口的“更改限制为”选项中设置为256，最后点击“应用”按钮并且重新启动系统即可。Step2：从已经打开135端口的电脑中筛选可以入侵的目标。首先打开S扫描器目录中的IP地址文件Result.txt，对文本文件中多于的信息进行删除，只保留和IP地址相关的内容。接着运行破解工具NTScan（下载地址：http://www.cpcw.com/bzsoft/），它可以对远程系统进行破解（图2）。 图2在NTScan窗口中的“主机文件”中设置IP地址文件，选中WMI扫描类型，然后在“扫描端口”中设置为135。最后点击“开始”按钮就可以进行破解操作，破解成功的主机地址都保存在NTScan.txt中。Step3：现在利用Recton这款工具来上传我们的木马程序（下载地址：http://www.cpcw.com/bzsoft/）。点击窗口中的“种植”标签，在NTScan.txt中寻找一个地址，接着将它添加到“远程主机设置”选项中。然后选择“Http下载”选项，并在“文件目录”设置木马程序的网页链接地址，最后点击“开始执行”按钮即可（图3）。 图3这样木马程序就利用135端口上传到远程主机，并且在系统后台已经悄悄地运行了。这种方式不需要远程用户参予，因此它的隐蔽性和成功率都非常高，并且适何肉鸡的批量捕捉，但是上传的木马程序一定要经过免杀处理才行。小提示：运行黑客工具的时候需要先关闭杀毒软件，因为杀毒软件会把它们当作病毒给清除掉。三、防范技巧1.利用网络防火墙屏蔽系统中的135端口，这样就让黑客入侵从第一步开始就失败。除此以外，像139、445、3389这些端口也是我们要屏蔽的端品。2.增强当前系统中管理员的账号密码的强度，比如密码至少设置6位以上，并且其中包括数字、大小写字母等。这样黑客工具就不能轻易地破解我们的账号密码，这样即使是扫描到我们的135端口也无济于事。3.安装最新版本的杀毒软件，并且将病毒库更新到最新，这个已经是老生常谈的问题。如果有可能的话，用户最好使用带有主动防御功能的杀毒软件。攻防博弈攻 黑客：利用135端口的确可以捕捉到大量肉鸡，不过要花费比较多的时间。随着操作系统的不断更新，以及人们对135端口进行防范的加强，这种方法已经逐渐菜鸟化，真正的高手不屑一顾。黑客抓鸡的方法有很多，比如我们还可以利用迅雷进行捆绑木马的传播，这是个较流行的抓鸡方法。防编辑：既然黑客利用135端口入侵，我们只要将相关功能进行禁止，或加以限制就可以了。另外，对于黑客使用迅雷进行捆绑木马的传播，除了在下载的过程中利用迅雷的安全功能进行检测以外，还可以利用《网页木马拦截器》这款工具。无论是网页木马还是捆绑木马，只要运行就会被拦截并且提示用户注意。 ----------------------------------------------------------------------------------------------------------------Ps：以上内容引自电脑报 （不必恐慌，积极应对解决才是上策）
肉鸡？ 千万不要成为肉鸡，如果成为肉鸡，那就去杀毒或者杀马吧 不过这种方法通常作用不大，因为木马经过免杀处理的，处理工具就是杀毒软件。那就请高人来给你整理吧，通常木马是服务启动，插入IE进程跳过防火墙的 因为木马的服务是自定的，包括文件都有很强的自定 伪装性很强，一般人是无法识别的，如果你对这个很敏感的话，那就去重装系统吧。 鉴于木马传播的方式方法很多，可以说任何地方都可以藏身，如果你还是很敏感的话，或者害怕的话，那就放弃 windows 系统吧 ubunut linux 系统做的不错，我不多说了 会有托的嫌疑 :-)
如果你判断正确的话，应该是种了灰鸽子，PC，上兴之类的远控木马，你可以用360杀下启动项，也可以加我QQ，我帮修修复，保证让你不是肉鸡，总之，谁的远控木马也逃不过我的手下、。
直接做系统然后装杀毒软件~！然后再下载系统补丁~！恐慌啥。。。。你电脑有很重要的东西么？？？黑客还去黑你？？？？我觉得一般不会~1你也就是中个小病毒。。。不用怕。。
还是重装一下系统吧。如果没有系统盘的话就用U盘下载个XP系统就是了，推荐用那个深度的xp。而且现在重装系统效率那不是一般的高，一般驱动都配置好了，装起来还是挺方便的。