伴随着中国农历春节鼠年的到来，微软在大年初一晚些时候发布了WINXP SP3软件升级包简体中文测试版，版本号为V3300RC2，文件大小334M，这也是SP3第一个官方简体中文测试版，文件大小为334M，和系统集成后的大小约为580M，数字签名是2008年1月26日。
        偶也在第一时间下载试用了该版本。测试环境：VM虚拟机，P820CPU，256M内存，10G硬盘。
        双击出现安装向导，然后是许可协议，接着是提示卸载以前补丁的路径，然后是检查当前配置的漫长过程。由于是虚拟机，速度比较慢。
         据网上流传的消息，正式版的SP3要到下个月的28号发布，正式版的VISTA SP1要到本月28发布，两者整整相差一个月的时间，还有一个不错的消息，WINDOWS2008已经RTM，英文正式版开始在网上流传，简体中文的仍然是RC0版。说话间画面已经改变，开始备份系统文件了，仍然是漫长的过程。

         已经开始安装更新，比我想像的要快些！安装完毕，整个过程大约持续了25分钟左右。重新启动系统，进入欢迎画面前提示是否启动自动更新，进入桌面，查看系统属性，哈已经是SP3，在添加删除程序里面“显示更新”，已没有了更新补丁，IE6的版本号也变成了SP3，远程桌面版本升级到了VISTA版本，这可是SP3一个比较直观的变化，其它潜在的变化还有待进一步测试。

当病毒已经进来了,该怎么办?病毒进来肯定是为了运行,如果安全盾没有阻挡病毒的进入,那么软件限制策略就是阻挡他的运行,这样进来没有进来是一样的.
开始---运行----secpol.msc,打开软件限制策略控制台,然后在软件限制策略节点上单击鼠标右键，选择“创建软件限制策略”，这样我们就可以创建一个默认的软件限制策略，同时该节点下将出现名为“安全级别”和“其他规则”的两个节点。
安全级别:不允许,出了策略中指定的其他的程序都不能运行,这个一般不用的,一般都是不限制.
其它规则:右键---有四个新建项目,我们今天只说两个,新建路径规则,新建散列规则
选取新建路径规则,弹出对话框,写入你不允许运行的程序名称或盘符,其中*表示多个字符,?表示一个字符.
强制:可以选择软件限制策略限制的用户
指派类型:可以选择软件限制策略想限制的后缀类型
1、首先要学会系统通配符、环境变量的含义，以及软件限制策略规则的优先级
环境变量
%USERPROFILE% 表示 C:\Documents and Settings\当前用户名
%ALLUSERSPROFILE% 表示 C:\Documents and Settings\All Users
%APPDATA% 表示 C:\Documents and Settings\当前用户名\Application Data
%ALLAPPDATA% 表示 C:\Documents and Settings\All Users\Application Data
%SYSTEMDRIVE% 表示 C:
%HOMEDRIVE% 表示C:\
%SYSTEMROOT% 表示 C:\WINDOWS
%WINDIR% 表示 C:\WINDOWS
%TEMP% 和 %TMP% 表示 C:\Documents and Settings\当前用户名\Local Settings\Temp
%ProgramFiles% 表示 C:\Program Files
%CommonProgramFiles% 表示 C:\Program Files\Common Files
通配符
? 表示任意单个字符
* 表示任意多个字符
**或*? 表示零个或多个含有反斜杠的字符,即包含子文件夹
2、如何阻止恶意程序运行
首先要注意，恶意程序一般会藏身在什么地方
？:\ 分区根目录
C:\WINDOWS （后面讲解一律以系统在C盘为例）
C:\WINDOWS\system32
C:\Documents and Settings\Administrator
C:\Documents and Settings\Administrator\Application Data
C:\Documents and Settings\All Users
C:\Documents and Settings\All Users\Application Data
C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
C:\Documents and Settings\All Users\「开始」菜单\程序\启动
C:\Program Files
C:\Program Files\Common Files
注意：
C:\Documents and Settings\Administrator
C:\Documents and Settings\Administrator\Application Data
C:\Documents and Settings\All Users
C:\Documents and Settings\All Users\Application Data
C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
C:\Documents and Settings\All Users\「开始」菜单\程序\启动
C:\Program Files
C:\Program Files\Common Files
这8个路径下是没有可执行文件的，只有在它们的子目录下才有可能存在可执行文件，那么基于这一点，规则就容易写了
%ALLAPPDATA%\*.* 不允许的
%ALLUSERSPROFILE%\*.* 不允许的
%ALLUSERPROFILE%\「开始」菜单\程序\启动\*.* 不允许的
%APPDATA%\*.* 不允许的
%USERSPROFILE%\*.*
%USERPROFILE%\「开始」菜单\程序\启动\*.* 不允许的
%ProgramFiles%\*.* 不允许的
%CommonProgramFiles%\*.* 不允许的
那么对于
C:\WINDOWS C:\WINDOWS\system32 这两个路径的规则怎么写呢？
C:\WINDOWS下只有explorer.exe、notepad.exe、摄像头程序、声卡管理程序是需要运行的，而其他都不需要运行
则其规则可以这样写：
%SYSTEMROOT%\*.* 不允许的 （首先禁止C:\WINDOWS下运行可执行文件）
C:\WINDOWS\explorer.exe 不受限的
C:\WINDOWS\notepad.exe 不受限的
C:\WINDOWS\amcap.exe 不受限的
C:\WINDOWS\RTHDCPL.EXE 不受限的
（然后利用绝对路径优先级大于通配符路径的原则，设置上述几个排除规则，则，在C:\WINDOWS下，除了
explorer.exe、notepad.exe、摄像头程序、声卡管理程序可以运行外，其他所有的可执行文件均不可运行）
对于C:\WINDOWS\system32就不能像上面那样写规则了，在SYSTEM32下面很多系统必须的可执行文件，如果一个
一个排除，那太累了。所以，对system32，我们只要对它的子文件作一些限制，并对系统关键进程进行保护
子文件夹的限制
%SYSTEMROOT%\system32\config\*.* 不允许的
%SYSTEMROOT%\system32\drivers\*.* 不允许的
%SYSTEMROOT%\system32\spool\*.* 不允许的
当然你可以限制更多的子文件夹
3、如何保护system32下的系统关键进程
有些进程是系统启动时必须加载的，你不能阻止它的运行，但这些进程又常常被恶意软件仿冒，怎么办？其实
很简单，这些仿冒的进程，其路径不可能出现在system32下，因为它们不可能替换这些核心文件，它们往往出
现在其他的路径中。那么我们可以这样应对：
C:\WINDOWS\system32\csrss.exe 不受限的
C:\WINDOWS\system32\ctfmon.exe 不受限的
C:\WINDOWS\system32\lsass.exe 不受限的
C:\WINDOWS\system32\rundll32.exe 不受限的
C:\WINDOWS\system32\services.exe 不受限的
C:\WINDOWS\system32\smss.exe 不受限的
C:\WINDOWS\system32\spoolsv.exe 不受限的
C:\WINDOWS\system32\svchost.exe 不受限的
C:\WINDOWS\system32\winlogon.exe 不受限的
先完全允许正常路径下这些进程，再屏蔽掉其他路径下仿冒进程
csrss.* 不允许的 （.* 表示任意后缀名，这样就涵盖了 bat com 等等可执行的后缀）
ctfm?n.* 不允许的
lass.* 不允许的
lssas.* 不允许的
rund*.* 不允许的
services.* 不允许的
smss.* 不允许的
sp???sv.* 不允许的
s??h?st.* 不允许的
s?vch?st.* 不允许的
win??g?n.* 不允许的
4、如何保护上网的安全
在浏览不安全的网页时，病毒会首先下载到IE缓存以及系统临时文件夹中，并自动运行，造成系统染毒，在了解了这个感染途径之后，我们可以利用软件限制策略进行封堵
%SYSTEMROOT%\tasks\*.* 不允许的 （这个是计划任务，病毒藏身地之一）
%SYSTEMROOT%\Temp\*.* 不允许的
%USERPROFILE%\Cookies\*.* 不允许的
%USERPROFILE%\Local Settings\*.* 不允许的 （这个是IE缓存、历史记录、临时文件所在位置）
另外可以免疫一些常见的流氓软件
3721.* 不允许的
CNNIC.* 不允许的
*Bar.* 不允许的
等等，不赘述，大家可以自己添加
注意，*.* 这个格式只会阻止可执行文件，而不会阻止 .txt .jpg 等等文件
另外演示两条禁止从回收站和备份文件夹执行文件的规则
?:\Recycler\*.* 不允许的
?:\System Volume Information\*.* 不允许的
5、如何防止U盘病毒的入侵
对于u盘,我始终认为u盘只是为了携带方便,不适合直接运行程序,所以我建议大家建立如下规则
==================
新建路径规则
x:\
级别:不允许
===============
x是你的u盘盘符,这个就是禁止任何东西在U盘里面运行,所以不用担心任何的u盘病毒,当然,想运行复制到电脑里面就可以了.千万不要写下c:\的限制策略,后果是什么自己想像吧~~但是可以写c:\*.exe等.c:\表示禁止任何c盘下面的东西运行,包括c盘文件夹下面的东西.c:\*.exe表示c盘根目录下面的exe文件不能运行,但是c:\xxx(任意的文件夹名)\里面的东西可以运行的.
6、预防双后缀名的典型恶意软件
许多恶意软件，他有双后缀，比如 mm.jpg.exe
这个我建议直接建立*.*.*这样就禁止任何的双后缀名的程序运行,当然包括cs1.5.exe,这改怎么办呢?新建散列规则,找到信任的*.*.*格式的程序,选择级别为不受限的,这样就可以了,毕竟正常的*.*.*格式的程序不多,自己稍微动动手设置一下就可以了
7、其他规则
注意 %USERPROFILE%\Local Settings\**\*.* 这条规则设置后，禁止了从临时文件夹执行文件，那么一些自解压的单文件就无法运行了，因为这类文件是首先解压到临时文件夹，然后从临时文件夹运行的。如果你的电脑中有自解压的单文件，那么，删除这条规则，增加3条：
%USERPROFILE%\Local Settings\Application Data\*.* 不允许的
%USERPROFILE%\Local Settings\History\*.* 不允许的
%USERPROFILE%\Local Settings\Temporary Internet Files\*.* 不允许的
8,设置完成后，将C:\Windows\system32\GroupPolicy\Machine\Registry.pol文件拷贝出来
这个文件就是你所设置的规则。重做系统后，将备份的这个文件覆盖到源路径中，就可以恢复规则
也可以将这个文件做成一个自解压EXE格式的文件,自解压脚本为
=====================================================
Path=%windir%\system32\GroupPolicy\Machine\
SavePath
Setup=gpupdate /force
Silent=1
Overwrite=1
====================================================

同事的电脑在任务栏上击右键，却什么也不显示，在网上查了一下，找到了一个解决办法。

点击开始-运行“gpedit.msc”回车打开组策略编辑器，从左侧依次找到管理模板——任务栏和开始菜单，然后从右边找到“阻止访问任务栏的上下文菜单”选项，双击它打开属性，可以选择“未配置”运用确定即可。
如果本来显示的就是未配置，可以先选择“启用”应用。然后再重新选择“未配置”应用确定，刷新桌面即可。

Windows的正常关机涉及到多个组件和多个过程。我们来看一下它的基本过程。

　　①用户发起关机指令后，发起关机指令的程序会通知 Windows子系统CSRSS.EXE，CSRSS.EXE收到通知后会和 Winlogon.EXE做一个数据交换，接着由Winlogon.EXE通知 CSRSS.EXE开始关闭系统的流程。

　　②CSRSS.EXE收到Winlogon.EXE的通知后，会依次查询拥 有顶层窗口的用户进程，让这些用户进程退出。如果某一个用户 进程在一个默认的超时时间5000毫秒(可以通过修改注册表键值 HKEY_CURRENT_USERControl PanelDesktop HungAppTimeout设定超时时间)内没有退出的话，Windows会显示一个结束任务对话框用于询问用户是否结束这个任务。默认情况下这个对话框会一直显示而不会自动关闭。

　　对于控制台程序来说，基本情况类似，只不过Windows使 用HKEY_CURRENT_USERControl PanelDesktop WaitToKillAppTimeout来设置超时时间。

　　③接着是轮到终止系统进程了。系统进程包括SMSS.EXE 、Winlogon.EXE、Lsass.EXE等。Windows在终止系统进程的时候 并不像终止用户进程那样如果无法在规定时间内终止则提示用户，而是跳过这个进程，去执行下一个系统进程的终止操作。使用的超时时间和第2步使用的时间相同。

　　上述3个步骤是整个Windows关机过程中最耗费时间的一段，大多数关机缓慢的原因都是因为这3个步骤引起的。完成前3个步骤后，进入关机操作的第4个阶段，这也是最后一个阶段。

　　④Winlogon.EXE调用一个原生API函数NtShutdownSystem()来 命令系统执行后面的扫尾工作。在这个阶段里，Windows执行子系统会完成最后的关机操作，例如:设备驱动在这个阶段里完成一些驱动设定的特殊操作;也是在这个阶段，配置管理系统将被 修改过的注册表数据回写到磁盘里面。等除了电源管理以外的全部子系统完成退出以后，电源管理完成最后的操作:如重启、关机等。

这种方法也不错，可以做成脚本，在登录或注消的时候加载，具体格式为：net use \\hostname or ip　password /user:"username"，双斜杠后面也可以加机器名和共享文档的路径，尤其在2000下挺实用的。例如：net use \\192.168.1.1 8888 /user:"administrator"

      一块新硬盘先挂到有系统的电脑上，分区，然后把GHSOT文件复制到该硬盘的一个分区，重新把硬盘接回原电脑，执行GHSOT，成功，便重新启动电脑，不能进入系统，在论坛上请教高手，得知要在磁盘管理里面，右键点你新硬盘要引导的分区－将磁盘分区标记为活动的(M)

通过组策略，禁用本地连接的属性实现。

     启用"用户配置"   "管理模板"   "网络"  "网络连接" 中的"禁止访问LAN 连接的属性"和"为管理员启用Windows 2000 网络连接设置"策略即可。

2.编一个批处理，注消掉下面几个DLL文件

regsvr32 /u /s NETCFGX.DLL
regsvr32 /u /s NETSHELL.DLL
regsvr32 /u /s NETMAN.DLL

这样连接属性就打不开了。

在前面的和病毒斗智斗勇 利用非空目录手动解决U盘 Autorun运行病毒问题中，我们讨论了如何通过禁止Shell Hardware Detection服务的方式，来屏蔽光盘/U盘插入时候的自动运行，转载到cnbeta之后，也有相当多的讨论，去掉中间没有营养的不说，里面提出了3点值得注意：

1. 通过rd /s /q，可以直接删除包含带点目录的autorun.inf目录；
2. 通过改名操作，也可以直接对包含带点目录的autorun.inf目录进行重命名；
3. 禁用Shell Hardware Detection，会使得系统无法识别CD/DVD的驱动器类型；

最重要的是，就算禁用了自动运行，大部分的用户，还是因为在我的电脑里面的双击盘符操作，而”手动调用自动执行”，从而感染病毒……OK，今天的主角出场！

参考cnbeta上的cnlong朋友的意见，测试通过，通过注册表编辑器+权限控制，彻底杜绝双击盘符情况下的autorun.inf调用，具体的办法如下：

• 开始——运行——regedit；
  
• 定位到HKEY_CURRENT_USER\Software\Microsoft\Windows\
  CurrentVersion\Explorer\MountPoints2；
• 在MountPoints2上右键——权限；
  
• 添加——输入everyone——检查名称——确定；
  
• 选择完全控制栏的拒绝，应用，对安全警告回答是；
  

应该算是比较完美的方案了：经过这样的权限设置，任何情况下的autorun.inf调用将被屏蔽，在默认状态下，带autorun的光盘和优盘被装载的时候，目录会被打开，双击盘符的结果是打开目录，而不是执行程序，同时，右键也不会出现任何形式的自动运行菜单。

分析一下，那个键值应该就是Windows用来记录和管理双击盘符和盘符上的右键菜单的，在里面查找，然后决定执行什么操作，仔细查看的话，你会发现更多的内容。我们把这个键值的操作权限对everyone屏蔽之后，系统无法访问到这个对应表，于是只有打开的操作。

两篇文章里面提到的内容相结合，应该可以彻底的解决自动运行、以及双击盘符带来的染毒问题了，开心！

最近发现电脑的启动界面出现了微软的盗版提示，登录后屏幕的右下方出现了“您可能是盗版软件的受害者”的图标。上网搜索一下，了解到是因为安装了一个叫Windows Genuine Advantage的补丁，去除盗版提示的方法为：

1、运行regedit进入注册表，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon，删除它，重新启动。wgatray.exe就不会自动启动了，讨厌的“你可能是盗版软件的受害者”也就不见了。
2、把系统盘:\windows\system32中的wgatray.exe删除，烦人的“”没有了。（建议在安全模式下进行：启动电脑中按F8进入安全模式）
3、彻底清除相关多余垃圾，运行搜索文件wgatray，在另外的文件夹下还有，统统删除。

或者可以下载一个破解补丁RemoveWGA.exe，不过使用之后如果自动更新设为自动的话以后还会继续提示安装此更新。烦
不过没关系，点击托盘区的自动更新，在对话框中选择自定义安装，点击下一步，取消Windows Genuine Advantage 通知前面的勾，这时下面的安装按钮变成了关闭，点击它，出现对话框，选中不要再次通知我这些更新，点确定完成，终于可以安心了。

另：补丁编号KB905474

作者:陈静@金山毒霸

现在局域网中感染ARP病毒的情况比较多,清理和防范都比较困难,给不少的网络管理员造成了很多的困扰.下面就是个人在处理这个问题的一些经验,同时也在网上翻阅了不少的参考资料.

ARP病毒的症状

有时候无法正常上网，有时候有好了，包括访问网上邻居也是如此，拷贝文件无法完成，出现错误；局域网内的ARP包爆增，使用ARP查询的时候会发现不正常的MAC地址，或者是错误的MAC地址对应，还有就是一个MAC地址对应多个IP的情况也会有出现。

ARP攻击的原理

ARP欺骗攻击的包一般有以下两个特点，满足之一可视为攻击包报警：第一以太网数据 包头的源地址、目标地址和ARP数据包的协议地址不匹配。或者，ARP数据包的发送和目标地址不在自己网络网卡MAC数据库内，或者与自己网络MAC数据 库MAC/IP不匹配。这些统统第一时间报警，查这些数据包(以太网数据包)的源地址(也有可能伪造)，就大致知道那台机器在发起攻击了。现在有网络管理 工具比如网络执法官、P2P终结者也会使用同样的方式来伪装成网关，欺骗客户端对网关的访问，也就是会获取发到网关的流量，从而实现网络流量管理和网络监 控等功能，同时也会对网络管理带来潜在的危害，就是可以很容易的获取用户的密码等相关信息。

处理办法

通用的处理流程

1.先保证网络正常运行

方法一：编辑一个***.bat文件内容如下：

arp.exe s

**.**.**.**（网关ip） ****

**

**

**

**（

网关MAC地址）

end

让网络用户点击就可以了!

办法二：编辑一个注册表问题，键值如下：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MAC"="arp s

网关IP地址网关MAC地址"

然后保存成Reg文件以后在每个客户端上点击导入注册表。

2.找到感染ARP病毒的机器

a、在电脑上ping一下网关的IP地址，然后使用ARP －a的命令看得到的网关对应的MAC地址是否与实际情况相符，如不符，可去查找与该MAC地址对应的电脑。

b、使用抓包工具，分析所得到的ARP数据报。有些ARP病毒是会把通往网关的路径 指向自己，有些是发出虚假ARP回应包来混淆网络通信。第一种处理比较容易，第二种处理比较困难，如果杀毒软件不能正确识别病毒的话，往往需要手工查找感 染病毒的电脑和手工处理病毒，比较困难。

c、使用MAC地址扫描工具，Nbtscan扫描全网段IP地址和MAC地址对应表，有助于判断感染ARP病毒对应MAC地址和IP地址。

预防措施

1、及时升级客户端的操作系统和应用程式补丁；

2、安装和更新杀毒软件。

3、如果网络规模较少，尽量使用手动指定IP设置，而不是使用DHCP来分配IP地址。

4、如果交换机支持，在交换机上绑定MAC地址与IP地址。（不过这个实在不是好主意）

用系统光盘引导进入故障恢复台，先执行bootcfg /scan命令在所有磁盘上扫描Windows 安装，找到Windows XP后，输入bootcfg /redirect重建Boot.ini，同时使用copy命令将Windows XP的安装光盘上i386目录下的NTDETECT.com和NTLDR复制到C盘根目录下。最后执行fixboot c:，把Windows XP的系统分区写入启动扇区。

用eXeScope修改browselc.dll文件

先复制browselc.dll文件到任意一个地方，然后用eXeScope打开此文件，找到"资源"－"字串表"下的809字－2052，打开找到12936，把"12936,http://www.%s.co.cn"改为 "12936,http://www.%s.com"即可。

宽带连接点击右键－属性－把提示名称、密码、和证书等前面的对勾去掉，把这个链接的快捷方式放到开始菜单的启动里面。

(1) 不用卸载原来的版本(因为也卸载不掉的，回滚不回去的)，然后强制安装wmp11-windowsxp-x86-zh-cn.exe，安装完后打开是英文版的(不要紧，下面是解决办法)。

(2)手动解压缩wmp11-windowsxp-x86-zh-cn.exe文件，在接压缩后的文件里，再手动解压缩wmp11.exe文件，这个文件夹里有个文件叫wmploc.dll，复制到系统所在盘的system32夹里替换掉原来的文件就OK了 这样已经是中文的了。

如果感觉还不爽的话，再卸载了重装一遍就是了不知道这样的算不算地道的中文的。