世间本无沙漠, 我每想你一次, 上帝就落下一粒沙, 从此便有了撒哈拉! 这世界本来没有海, 只因为我每想你一次, 上帝就掉下一滴眼泪, 于是就有了太平洋!

8大方法!解决CPU资源占用100%

上一篇 / 下一篇  2007-02-15 11:23:28 / 个人分类:有用才行

第1页:CPU资源占用100%:看驱动,看启动,看病毒    相信你的一定遇到过电脑动弹不得的时候,或许是只能眼看鼠标滑动而不能进行任何操作的时候,很多人都会经常遇到这样的问题:CPU占用率100%改如何解决,本文将从多个角度给你全方面的解析,希望阅读完本文希望在今后你遇到问题的时候能够带给你一些帮助。
0S!H9k/hJ*X0f0
V&\L sv/z3o0★黑基空间★O1\8`xP'xD W'B
★黑基空间★P*W1U s&f(s"m^

-axuS/x!HN*Q'b0★黑基空间★]-zB6?h?

4K)d;V#HBS&n0

3a!H%X-l H!}*rL+`0★黑基空间★7b-a A"eQO
★黑基空间★9P a3O4K)Q#zhd

CPU经常性占用率100%,你说烦不烦

a oa$p6E|tjT#sh0★黑基空间★&E,~kd'UrO5|%v!ri
★黑基空间★v&z DR2l,h&_F

6k `WQ/M:\U6U0   1、驱动没有经过认证,造成CPU资源占用100%。大量的测试版的驱动在网上泛滥,造成了难以发现的故障原因。★黑基空间★0M7d5i g*N ZB ?
   2、杀毒软件CPU使用率占用100%
!}#CW%@@5O!EYTB0★黑基空间★| r1JyW(k.HF
  现在的杀毒软件一般都加入了,对网页、邮件、个人隐私的即时监空功能,这样无疑会加大系统的负担。比如:在玩游戏的时候,会非常缓慢。关闭该杀毒软件是解决得最直接办法。
j5b_T'x0★黑基空间★!K1qBE/K,S2T.Lw

4l.~` E5_DR |[0★黑基空间★ ZY m/^x%K-u:b

{eA!V#x&e0f4?N1z0   3、病毒、木马造成。
a ^9xx2Hv1l4W0★黑基空间★#f JC DO0DKp
    出现CPU占用率100% 的故障经常是因为病毒木马造成的,比如震荡波病毒。应该首先更新病毒库,对电脑进行全机扫描 。接着,在使用反间谍软件Ad—Aware,检查是否存在间谍软件。论坛上有不少朋友都遇到过svchost.exe占用CPU100%,这个往往是中毒的表现。间谍广告杀手Ad-aware★黑基空间★V M YM y k j#u q
★黑基空间★E&I7C~!M]

★黑基空间★+g H \(^;g.r h+|Z

★黑基空间★1CZ_y&ZG

:e&P{T|2V A0

7p:F(shU1fs O*X0★黑基空间★N`Z$A@z-[

-X Uy p3Xs6b0

★黑基空间★"t e'_2b-ph?.J7d%c b!H


po+[\)TSk0★黑基空间★Qee;gfu1H-h
  svchost.exe Windows中的系统服务是以动态链接库(DLL)的形式实现的,其中一些会把可执行程序指向svchost.exe,由它调用相应服务的动态链接库并加上相应参数来启动服务。正是因为它的特殊性和重要性,使它更容易成为了一些病毒木马的宿主。
,Ej\h%e&rK0
{0o5L8z_\W0    大量的蠕虫病毒在系统内部迅速复制,造成CPU占用资源率据高不下。解决办法:使用最新的杀毒软件在DOS模式下进行杀毒。经常性更新升级杀毒软件和防火墙,加强防毒意识,掌握正确的防杀毒知识。
Hq/w CmEA3_0
4?mR:Nh.bL5U}*`0    4、开始->运行->msconfig->启动,关闭不必要的启动项,重启。
★黑基空间★$d2T5y*al7L6X a;}(^[
★黑基空间★Z3`z)rjD

★黑基空间★hsl&x z hq@


ePe] @0★黑基空间★^M}!i cih

KCf0K|w0★黑基空间★y iK|3T+}

0IK-n6Qc#F5?n1u0

  5、网络连接导致CPU使用率占用100%★黑基空间★ xW$T~K$C Z


mm\(}_%R:A0
Kel cmZyx5c.W0

★黑基空间★ ^B6qzZ*F
  查看网络连接。主要是网卡。当你的Windows2000/xp作为服务器时,收到来自端口445上的连接请求后,系统将分配内存和少量CPU资源来为这些连接提供服务,当负荷过重,就会出现上述情况。要解决这个问题可以通过修改注册表来解决,打开注册表,找到HKEY—LOCAL—MACHNE\SYSTEM\CurrentControlSet\Services\lanmanserver,在右面新建一个名为";maxworkitems";的DWORD值.然后双击该值,如果你的电脑有512以上内存,就设置为";1024";,如果小于512,就设置为256.★黑基空间★My;Q)Z5V9i0N9D&r

N`A*z R F H/?5[O+J0第2页:CPU资源占用100%:看进程,看硬件,看系统
hdS4U#]2c4u6G R0
?@-R2gZ z0   6、查看“svchost”进程。★黑基空间★FX;@}u2Rh!S"Rl
★黑基空间★+l5ZZCVE.d:?

-Ps tlry8p0★黑基空间★:m7E Sz0L;~!W
    Svchost.exe是Windows XP系统的一个核心进程。Svchost.exe不单单只出现在Windows XP中,在使用NT内核的Windows系统中都会有Svchost.exe的存在。一般在Windows 2000中Svchost.exe进程的数目为2个,而在Windows XP中Svchost.exe进程的数目就上升到了4个及4个以上。★黑基空间★+y)c+j6bss

mErMs/[!^0

★黑基空间★ZO;H|T m8\0d a


t$gH#N[$J0★黑基空间★4u1r)pE_"n
   如何才能辨别哪些是正常的Svchost.exe进程,而哪些是病毒进程呢?★黑基空间★%_G0U`){JH

,M3^I.Zo%O7p4| V*UnQ0  Svchost.exe的键值是在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost”,每个键值表示一个独立的Svchost.exe组。
★黑基空间★6r+RWX`

Eig$bK4goZ0  7、把网卡、显卡、声卡卸载,然后重新安装一下驱动。
sN0K0zq0
Qk7tnV/G%a0

★黑基空间★2Nj [f9Pw9C

★黑基空间★%W$}M F@:HG

7z1D B6oY/aKtav]0    微软还为我们提供了一种察看系统正在运行在Svchost.exe列表中的服务的方法。以Windows XP为例:在“运行”中输入:cmd,然后在命令行模式中输入:tasklist /svc。系统列出服务列表。如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为:“tlist -s”即可。★黑基空间★B0Uw-\0t O |e"|Z
★黑基空间★w8j)XH#jX.A
  如果你怀疑计算机有可能被病毒感染,Svchost.exe的服务出现异常的话通过搜索Svchost.exe文件就可以发现异常情况。一般只会找到一个在:“C:\Windows\System32”目录下的Svchost.exe程序。如果你在其他目录下发现Svchost.exe程序的话,那很可能就是中毒了。★黑基空间★,p@'x5cn)\
★黑基空间★1OA:?eh
  还有一种确认Svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径,所以要使用第三方的进程察看工具。★黑基空间★8XUNg*ya:_:g
★黑基空间★9[aIy_"}uBHr/{R,hd
  上面简单的介绍了Svchost.exe进程的相关情况。总而言之,Svchost.exe是一个系统的核心进程,并不是病毒进程。但由于Svchost.exe进程的特殊性,所以病毒也会千方百计的入侵Svchost.exe。通过察看Svchost.exe进程的执行路径可以确认是否中毒。
%w]6O-Um(AdK.d0
+G8N1F3ah6\3E9Z.b0


E)Mlm#y s4lE0

a+oc8by3r.ho0★黑基空间★_F8WT3g'E2K&b
★黑基空间★+{:G\nlRX

★黑基空间★ Ghy*bS+I9B['K#FM


&v\R_B7P M pe0★黑基空间★l+|I,Z{$EM
   8、重装系统、常用软件、当然也要装驱动。用几天看一下,若不会出现这种问题,再装上其他软件,但是最好是一个软件装完,先用几天。出现问题再接着装!★黑基空间★Gv!a]'G ^2Z!Mv
★黑基空间★)b!O O3`e5A!Ne;t
第3页:CPU占用100%案例分析:是dllhost进程在搅局!
s| X0uP }/kb0
8Q0@&s7RQ%Ja0    特征:服务器正常CPU消耗应该在75%以下,而且CPU消耗应该是上下起伏的,出现这种问题的服务器,CPU会突然一直处100%的水平,而且不会下降。查看任务管理器,可以发现是DLLHOST.EXE消耗了所有的CPU空闲时间,★黑基空间★GNf"['{,T

Q)D1@/ZM0★黑基空间★^ H&f(cR bDB _
★黑基空间★N d g%y0k}]

★黑基空间★B:vw dz

★黑基空间★)W-U%B"q%Na

#x#hl(abp c8Tu F0

x.`L izpiE0
9c2b[t-W&o+nnr0★黑基空间★2i hZeeA

dllhost进程★黑基空间★M/LdvV1tgH#H O~


*q+J(L,}r1s0★黑基空间★v{{"LO Z~f6S
    管理员在这种情况下,只好重新启动IIS服务,奇怪的是,重新启动IIS服务后一切正常,但可能过了一段时间后,问题又再次出现了。★黑基空间★pk2z5v-w
★黑基空间★0QFD$g%SUP2j
  直接原因:
A2k1KK0?/K$q0
+LYmANk{+JQ0  有一个或多个ACCESS数据库在多次读写过程中损坏,微软的MDAC系统在写入这个损坏的ACCESS文件时,ASP线程处于BLOCK状态,结果其它线程只能等待,IIS被死锁了,全部的CPU时间都消耗在DLLHOST中。
s0Bq6lm?[ b0
|LH(qYr3H3f0  解决办法:★黑基空间★;Um#a$qiu\^#i
★黑基空间★:{*{p!g)i6J
  安装“一流信息监控拦截系统”,使用其中的“首席文件检查官IIS健康检查官”软件,
:O l,ji&g4Z x0
Xi G ?|[ E;lP0  启用”查找死锁模块”,设置:★黑基空间★;DF J+m,l*_
★黑基空间★'`I)~o\ix#G
  --wblock=yes★黑基空间★8y7gB4~+P"kx-m8?
  监控的目录,请指定您的主机的文件所在目录:★黑基空间★6G;B-fzD6X!{!Z
  --wblockdir=d:\test

3}#U J8DN5Zs'm0
n*O c`2v0  监控生成的日志的文件保存位置在安装目录的log目录中,文件名为:logblock.htm
p[k$s_R0
9@H,T6`;Y0U D0  停止IIS,再启动“首席文件检查官IIS健康检查官”,再启动IIS,“首席文件检查官IIS健康检查官”会在logblock.htm中记录下最后写入的ACCESS文件的。★黑基空间★ \0O/du*fA$n9O
★黑基空间★9r M*x#jU;A}
  过了一段时间后,当问题出来时,例如CPU会再次一直处100%的水平,可以停止IIS,检查logblock.htm所记录的最后的十个文件,注意,最有问题的往往是计数器类的ACCESS文件,例如:”**COUNT.MDB”,”**COUNT.ASP”,可以先把最后十个文件或有所怀疑的文件删除到回收站中,再启动IIS,看看问题是否再次出现。我们相信,经过仔细的查找后,您肯定可以找到这个让您操心了一段时间的文件的。★黑基空间★D B$C!GT#{Z;c8{

7X~:I5C:Cr CP,u0  找到这个文件后,可以删除它,或下载下来,用ACCESS2000修复它,问题就解决了。★黑基空间★|UW1z/cR} ?
★黑基空间★2pW2]:N7fKA-b
   
#H|v6X^ Q(l*T0
N(L9N3di x7u0第4页:如何打开进程列表? 看系统资源杀手-进程★黑基空间★ J,r6[R4q}
★黑基空间★.}kT`B6j Is~ i
    要通过进程列表查看系统是否染毒,必须打开当前的执行程序进程列表,Microsoft的每种系统都有相应的打开方法,但能够显示的能力却因(系统)不同,有所差异:★黑基空间★0TOS [r n

F#zv2CP6R7j c0★黑基空间★Ds,B!Thr
★黑基空间★ZOO6O Z|B(G1r

7c*p-f6?ehPZ o#}0

★黑基空间★j^p'uEs
 

]"Q viP sg"~1k0

Windows任务管理器下的进程列表★黑基空间★(SC/x!~3|`v2C.F


2K){/a Q5D~ Sl0
b9x;B;g;h2}j u6W0  1.Windows 98 /Me系统
7L1m.v8~F3]0
jy$o2o@/ne0  打开系统进程的方式很简单,快捷键“Ctrl+Alt+Delete”(如图1),这个窗口大家应该比较熟悉,使用Windows系统的用户都知道用这个方法来关闭程序,不过它同样用于显示系统进程,只是Windows 98系统较初级,对进程的显示局限于名称,且里面所显示的还有打开的文件及目录名,查看时易混淆。Windows Me的进程打开方式和Windows 98相同。★黑基空间★fO-`\T(C

$C8q*lS;P2W-_O o%P8}0  Windows 9X系统打开的进程列表混乱且不完全,显然不便于查看系统的具体进程状况,所以建议使用一些工具程序来为Windows 9x系统显示进程,如“Windows优化大师”,在“优化大师”的“系统安全优化”项内打开“进程管理”,在图2所示的“Windows 进程管理”窗口内,可以详细查看当前计算机所运行的所有进程,及具体程序所在的位置,这样更方便完成后面要介绍的如何利用进程进行查毒、杀毒。
#E!ktU*|9u a\|?0
2t"]^[m%j0  2.Windows 2000/ XP/2003系统★黑基空间★2E g*v!w I]&v
★黑基空间★"xZ5L l6l~9e
  Windows 2000、Windows XP、Windows 2003打开进程窗口的方式与Windows 9x系统相同,只是三键后打开的是“Windows 任务管理器”窗口,需要选择里面的“进程”项。Windows 2000系统只显示具体进程的全名,占用的内存量;Windows XP、Windows 2003系统相比Windows 2000会显示该进程归属于那个用户下,如操作系统所必须的基础程序,会在后面的“用户名”内显示为“SYSTEM”,由用户另外开启的程序则用户名为当前的系统登录用户名。★黑基空间★f7j H Py [u-q
★黑基空间★pAA*k|
第5页:如何发现病毒?怎么手动把病毒干掉!
Sd+[4_D wB/Z0
L SH)G? H ^ }4u7I0   经进程发现病毒
tZF3O }0★黑基空间★V.i)\)[#mLd:?){

_2d]+NTw1z0★黑基空间★?i\T J(y'Z
  在介绍具体的查毒和杀毒前,笔者先回答开篇提出的两个问题。为什幺杀毒软件并不能全面的查找和杀掉病毒?★黑基空间★KQn kY/aWL

G/J4U+TC i0★黑基空间★ W%Mcz-cZ;X0n!p
    首先,病毒防火墙是通过对程序进行反汇编,然后与自己的病毒库进行对比来查找病毒,如果病毒较新,而杀毒软件又未能及时升级便不能识别病毒。★黑基空间★ S k Y1I8FEx4jb

,zQyv*p0R0

电脑蠕虫病毒袭击多台电脑

y`%hEIg6B0P0C0


s$U[j5H*A)i0★黑基空间★9EEb&~N3|.}z9hn3Q
    其次,杀毒软件在发现病毒后,如果是独立的可执行病毒程序,会选择直接删除的处理方式,而病毒如果被当作进程执行了,杀毒软件就无能为力了,因为它没有功能和权限先停止掉系统的这些进程,被当作进程执行的程序是不能被删除的(这也是大家在删除一个程序时,提示该程序正在被使用不能删除的原因)。所以在使用杀毒软件杀毒时,才会有杀毒完成后,又出现病毒提示的原因。   
0?1Mh0k)x0★黑基空间★/@TzM.B
    回到原来话题上!通过进程如何发现和杀掉病毒呢?
y:T~8~a ~!yj0★黑基空间★!L-YX]6P
    由前面的知识介绍可知,Windows 9X和Windows 2000系统只能显示进程的名称,这对判断该进程是否是病毒还不够,如果要准确的断定病毒,最好使用前面介绍的“Windows优化大师”来查看进程程序的源路径。
E2T:?B*^yg:d0
{f bEc K+u0    如果是“C:\Windows\system”下的一些未知的“EXE”那便极有病毒的可能性了。Windows XP和Windows 2003系统,进程后会有“用户名”的显示,病毒是不可能获得“SYSTEM”权限的,所以应注意“用户名”是当前登录用户的进程,一旦发现是病毒,可以立即“杀掉”。这里介绍两个技巧:
!B'p%zw*dj PK a0
_2Tm] em3C'n0  1.发现可疑进程后,利用Windows的查找功能,查找该进程所在的具体路径,通过路径可以知道该进程是否合法,譬如由路径“C:\Program Files\3721\assistse.exe”知道该程序是3721的进程,是合法的。
w o"C*H&r"v&i7G0★黑基空间★ w P8y-_/C
  2.在对进程是否病毒拿不定主意时,可以复制该进程的全名,如:“xxx.exe”到googl.com或baidu.com这样的全球搜查引擎上进行搜查,如果是病毒会有相关的介绍网页。
y0M(e7[TV:H1]0★黑基空间★Gg H&Z })k
  确定了该进程是病毒,首先应该杀掉该进程,对于Windows 9x系统,选中该进程后,点击下面的“结束任务”按钮,Windows 2000、Windows XP、Windows 2003系统则在进程上单击右键在弹出菜单上选择“结束任务”。“杀掉”进程后找到该进程的路径删除掉即可,完成后最好在进行一次杀毒,这样就万无一失了。
(DydK3HK'{v9kv0★黑基空间★w"mefVm:`}
第6页:svchost.exe造成CPU使用率占用100%(一)
(O(v-E'uD C4P0★黑基空间★m;[2g cn]Sq
    在win.ini文件中,在[Windows]下面,“run=”和“load=”是可能加载“木马”程序的途径,必须仔细留心它们。一般情况下,它们的等号后面什幺都没有,如果发现后面跟有路径与文件名不是你熟悉的启动文件,你的计算机就可能中上“木马”了。当然你也得看清楚,因为好多“木马”,如“AOL Trojan木马”,它把自身伪装成command.exe文件,如果不注意可能不会发现它不是真正的系统启动文件。
'IA D$Q*R-SR0★黑基空间★x{\/g:~Ej
★黑基空间★~5}WpE0H
★黑基空间★ _1k*?b&V!KX?
★黑基空间★s!di4j%ezO.B
★黑基空间★#w6Y0w-KocB(A/K
  在system.ini文件中,在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”,如果不是“explorer.exe”,而是“shell= explorer.exe 程序名”,那幺后面跟着的那个程序就是“木马”程序,就是说你已经中“木马”了。★黑基空间★S/@.FvMAV^
★黑基空间★-t _~Y(DBQ;uh@
  在注册表中的情况最复杂,通过regedit命令打开注册表编辑器,在点击至:“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”目录下,查看键值中有没有自己不熟悉的自动启动文件,扩展名为EXE。
$\4}_*^U0★黑基空间★y$F9bN|%N"y0B\3H
    这里切记:有的“木马”程序生成的文件很像系统自身文件,想通过伪装蒙混过关,如“Acid Battery v1.0木马”,它将注册表“HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”下的Explorer 键值改为Explorer=“C:\Windows\expiorer.exe”,“木马”程序与真正的Explorer之间只有“i”与“l”的差别。★黑基空间★*^\9Fgpv9AFqz7|

\5L%u$e^y0
!y hDB*a Z}0t0    当然在注册表中还有很多地方都可以隐藏“木马”程序,如:“HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run”、“HKEY-USERS\****\Software\Microsoft\Windows\CurrentVersion\Run”的目录下都有可能,最好的办法就是在“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马该病毒也称为“Code Red II(红色代码2)”病毒,与早先在西方英文系统下流行“红色代码”病毒有点相反,在国际上被称为VirtualRoot(虚拟目录)病毒。该蠕虫病毒利用Microsoft已知的溢出漏洞,通过80端口来传播到其它的Web页服务器上。受感染的机器可由黑客们通过Http Get的请求运行scrīpts/root.exe来获得对受感染机器的完全控制权。★黑基空间★e [A[;MM{1SR{
  当感染一台服务器成功了以后,如果受感染的机器是中文的系统后,该程序会休眠2天,别的机器休眠1天。当休眠的时间到了以后,该蠕虫程序会使得机器重新启动。该蠕虫也会检查机器的月份是否是10月或者年份是否是2002年,如果是,受感染的服务器也会重新启动。
3E2vwm0Jx4K$ZN0
5s TF*E6k:_4L-C0    当Windows NT系统启动时,NT系统会自动搜索C盘根目录下的文件explorer.exe,受该网络蠕虫程序感染的服务器上的文件explorer.exe也就是该网络蠕虫程序本身。该文件的大小是8192字节,VirtualRoot网络蠕虫程序就是通过该程序来执行的。同时,VirtualRoot网络蠕虫程序还将cmd.exe的文件从Windows NT的system目录拷贝到别的目录,给黑客的入侵敞开了大门。
Wva VvI6T"W^2kiE0
y4N'~qU(?0    它还会修改系统的注册表项目,通过该注册表项目的修改,该蠕虫程序可以建立虚拟的目录C或者D,病毒名由此而来。值得一提的是,该网络蠕虫程序除了文件explorer.exe外,其余的操作不是基于文件的,而是直接在内存中来进行感染、传播的,这就给捕捉带来了较大难度。★黑基空间★r,LG2otZV#~)[
★黑基空间★:n[5UO(pw
  程序的文件名,再在整个注册表中搜索即可。★黑基空间★r!Pw+Gu9F PK
★黑基空间★*@&\,_4SB{%iF
  我们先看看微软是怎样描述svchost.exe的。在微软知识库314056中对svchost.exe有如下描述:svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。★黑基空间★%]S'x li)w P*z

N0vQ|"Uv0  其实svchost.exe是Windows XP系统的一个核心进程。svchost.exe不单单只出现在Windows XP中,在使用NT内核的Windows系统中都会有svchost.exe的存在。一般在Windows 2000中svchost.exe进程的数目为2个,而在Windows XP中svchost.exe进程的数目就上升到了4个及4个以上。所以看到系统的进程列表中有几个svchost.exe不用那幺担心。
j!i3E B8]*j9B@ C4i0
5Ej2C*K.I1vI0第7页:svchost.exe造成CPU使用率占用100%(二)★黑基空间★J1Iy`C\3D9v

7ZI(r"T B1~Z.T0   svchost.exe到底是做什么用的呢?
7l;I$XEF%YHl0
jr*vB G ?*r0★黑基空间★8P^6~Y)@^

&aIH-l} }x*D9n0  首先我们要了解一点那就是Windows系统的中的进程分为:独立进程和共享进程这两种。由于Windows系统中的服务越来越多,为了节约有限的系统资源微软把很多的系统服务做成了共享模式。那svchost.exe在这中间是担任怎样一个角色呢?★黑基空间★&A3uhKZ3kx

3{wuxf5c%q \-Q0  svchost.exe的工作就是作为这些服务的宿主,即由svchost.exe来启动这些服务。svchost.exe只是负责为这些服务提供启动的条件,其自身并不能实现任何服务的功能,也不能为用户提供任何服务。svchost.exe通过为这些系统服务调用动态链接库(DLL)的方式来启动系统服务。
wtHTXa3T L0{ lM6?0
v|Jy(] ]S0  svchost.exe是病毒这种说法是任何产生的呢?★黑基空间★t6S5C+{^O]e:S+Z
★黑基空间★7n,l-BA3d|rC
★黑基空间★$Mgg(m@$Dl
  因为svchost.exe可以作为服务的宿主来启动服务,所以病毒、木马的编写者也挖空心思的要利用svchost.exe的这个特性来迷惑用户达到入侵、破坏计算机的目的。
+tfiM8Q*`&b UX0  如何才能辨别哪些是正常的svchost.exe进程,而哪些是病毒进程呢?
W@b7w.]6Y/Hn|0
3{4f O(K6IC%q!^0★黑基空间★Ct#qqf
  svchost.exe的键值是在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost”,每个键值表示一个独立的svchost.exe组。
#l(n:KR2G(zn%D-OvC0  微软还为我们提供了一种察看系统正在运行在svchost.exe列表中的服务的方法。以Windows XP为例:在“运行”中输入:cmd,然后在命令行模式中输入:tasklist /svc。系统列出如图2所示的服务列表。图2中红框包围起来的区域就是svchost.exe启动的服务列表。如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为:“tlist -s”即可。如果你怀疑计算机有可能被病毒感染,svchost.exe的服务出现异常的话通过搜索svchost.exe文件就可以发现异常情况。一般只会找到一个在:“C:\Windows\System32”目录下的svchost.exe程序。如果你在其它目录下发现svchost.exe程序的话,那很可能就是中毒了。
)yk9b6h5Z3{9x`X'VO6A e0★黑基空间★-\$Tb:^#?!|Ni o
  还有一种确认svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径,所以要使用第三方的进程察看工具。★黑基空间★`(VOf`[5X]0A
★黑基空间★)V&\"\ F-h9z g#l
  上面简单的介绍了svchost.exe进程的相关情况。总而言之,svchost.exe是一个系统的核心进程,并不是病毒进程。但由于svchost.exe进程的特殊性,所以病毒也会千方百计的入侵svchost.exe。通过察看svchost.exe进程的执行路径可以确认是否中毒。
S!d}0rzBF0
e'lU7a)T;~#\QY0第8页:Services.exe造成CPU使用率占用100%
8T(_8Cr2`:l(N0
2`1D/SN}0   症状★黑基空间★,|\o/zI9q!c&H1t1M
★黑基空间★i)Kyd'i1pdr
★黑基空间★9Q j6q cs"y
★黑基空间★(t6B2M\ X
  在基于 Windows 2000 的计算机上,Services.exe 中的 CPU 使用率可能间歇性地达到100 %,并且计算机可能停止响应(挂起)。出现此问题时,连接到该计算机(如果它是文件服务器或域控制器)的用户会被断开连接。您可能还需要重新启动计算机。如果 Esent.dll 错误地处理将文件刷新到磁盘的方式,则会出现此症状。★黑基空间★+w&bq8_4}1^p`v.uL

u7]|}1tqi3b0  解决方案★黑基空间★ GM!x9J#esM h\

Q,c+Kk6~ \ ~0  Service Pack 信息★黑基空间★G?0kT4m8_1I&`
★黑基空间★ xF q;}LG;sh
  要解决此问题,请获取最新的 Microsoft Windows 2000 Service Pack。有关其它信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
)n)|(M7PM0★黑基空间★ s8h+FX@BR-|

)|6r1tPz-f%^cx0  260910 如何获取最新的 Windows 2000 Service Pack★黑基空间★8B3K[K5}?
  修复程序信息★黑基空间★3|!W ~l*~#I

4b VeI&{0  Microsoft 提供了受支持的修补程序,但该程序只是为了解决本文所樯艿奈侍狻V挥屑扑慊 龅奖疚奶岬降奶囟ㄎ侍馐辈趴捎τ么诵薏钩绦颉4诵薏钩绦蚩赡芑够峤邮芷渌 恍┎馐浴R虼耍 绻 飧鑫侍饷挥卸阅 斐裳现氐挠跋欤琈icrosoft 建议您等待包含此修补程序的下一个 Windows 2000 Service Pack。
|?.E&Tuw(u!U0
,IDr#wv0  要立即解决此问题,请与“Microsoft 产品支持服务”联系,以获取此修补程序。有关“Microsoft 产品支持服务”电话号码和支持费用信息的完整列表,请访问 Microsoft Web 站点:★黑基空间★`1A1G,fjtq

EolRNGY W0★黑基空间★#Y0p*\su
  注意 :特殊情况下,如果 Microsoft 支持专业人员确定某个特定的更新程序能够解决您的问题,可免收通常情况下收取的电话支持服务费用。对于特定更新程序无法解决的其它支持问题和事项,将正常收取支持费用。★黑基空间★ ` {_)[%O1K8{0J9j
  下表列出了此修补程序的全球版本的文件属性(或更新的属性)。这些文件的日期和时间按协调通用时间 (UTC) 列出。查看文件信息时,它将转换为本地时间。要了解 UTC 与本地时间之间的时差,请使用“控制面板”中的“日期和时间”工具中的 时区 选项卡。★黑基空间★*M8x#fy?|w
★黑基空间★a%tVWoi!I ps y
  状态
0L5\,hH mR ^0★黑基空间★(rv5m,N_
  Microsoft 已经确认这是在本文开头列出的 Microsoft 产品中存在的问题。此问题最初是在 Microsoft Windows 2000 Service Pack 4 中更正的。★黑基空间★ b1_3S+x-IEi;},f
★黑基空间★!V2l}L#J#w;fx'j
第9页:explorer.exe进程造成CPU使用率占用100%★黑基空间★3y,bUC%{&l&ldn
★黑基空间★ bV B9\"F`pH
    explorer.exe进程造成CPU使用率占用100%★黑基空间★K}M4O+Q s'_(L

}/LZ9p q/m0
K^bIR I0★黑基空间★-@%jee:us

2}%i kvw5\4e0  在system.ini文件中,在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”,如果不是“explorer.exe”,而是“shell= explorer.exe 程序名”,那幺后面跟着的那个程序就是“木马”程序,就是说你已经中“木马”了。★黑基空间★o E1]Y&Q/q/C
  在注册表中的情况最复杂,通过regedit命令打开注册表编辑器,在点击至:“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”目录下,查看键值中有没有自己不熟悉的自动启动文件,扩展名为EXE,这里切记:有的“木马”程序生成的文件很像系统自身文件,想通过伪装蒙混过关,如“Acid Battery v1.0木马”,它将注册表“HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”下的
4q%S ^$h:m&]kE7T&c'a0
U6k?|6aV%B?0  Explorer 键值改为Explorer=“C:\Windows\expiorer.exe”,“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序,如:“HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run”、“HKEY-USERS\****\Software\Microsoft\Windows\CurrentVersion\Run”的目录下都有可能,最好的办法就是在“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马”程序的文件名,再在整个注册表中搜索即可。★黑基空间★WlCL7pl3b

Wi Rb c` |'sT0
's#Gk]&T2}0第10页:CPU资源占用100%:超线程,看视频,大文件……
&D^S8jD!r0  这类故障的共同原因就是都使用了具有超线程功能的P4 CPU。我查找了一些资料都没有明确的原因解释。据一些网友总结超线程似乎和天网防火墙有冲突,可以通过卸载天网并安装其它防火墙解决,也可以通过在BIOS中关闭超线程功能解决。★黑基空间★;S,wz;TY x2n
★黑基空间★,}K+I-c5M0\4n;zd
★黑基空间★(Y6v%ns!}'Adyrt7T
  AVI视频文件造成CPU使用率占用100%★黑基空间★jh@e-?&`\oW
  在Windows XP中,单击一个较大的AVI视频文件后,可能会出现系统假死现象,并且造成exploere.exe进程的使用率100%,这是因为系统要先扫描该文件,并检查文件所有部分,建立索引。如果文件较大就会需要较长时间并造成CPU占用率100%。解决方法:右键单击保存视频文件的文件夹,选择”属性—>常规—>高级“,去掉”为了快速搜索,允许索引服务编制该文件夹的索引“前面复选框的对钩即可。★黑基空间★Gl(LYe)NZ(n-A7of

-Z:zc5mn(o"e0
c wC0?.Me(M7f N0★黑基空间★@2_\ z!m

X8Z2E t1i2p2V0★黑基空间★-m6d K o @E Et H+^
  处理较大的Word文件时CPU使用率过高
6d vpS [P-Q0
4h[ CHdS0P0
U`]%QK+e0
w%n&A b1k0  上述问题一般还会造成电脑假死,这些都是因为WORD的拼写和语法检查造成的,只要打开WORD的“工具—选项”,进入“拼写和语法”选项卡,将其中的“键入时检查拼写”和“键入时检查语法”两项前面的复选框中的钩去掉即可。★黑基空间★Z$UMl^f7Fu;?
★黑基空间★+_U|0b*]w-\
★黑基空间★]3ObC9X.YzDx7U^*i

mk tJ `rS(C0★黑基空间★#U*Q5@$Y:@2p g6@

vIgv)~4qW0  正常软件造成CPU使用率占用100%
4a3`C D)AY4R"m%x:d!M0
Z"G)uR)w0
z3x2B@'T x{m0★黑基空间★Yo'E3ZAc/J
  首先,如果是从开机后就发生上述情况直到关机。那幺就有可能是由某个随系统同时登陆的软件造成的。可以通过运行输入“msconfig”打开“系统实用配置工具”,进入“启动”选项卡。接着,依次取消可疑选项前面的对钩,然后重新启动电脑。反复测试直到找到造成故障的软件。或者可以通过一些优化软件如“优化大师”达到上述目的。另:如果键盘内按键卡住也可能造成开机就出现上述问题。
7B2O N cJ(F"|V0
wy]*~W |(U0  如果是使用电脑途中出项这类问题,可以调出任务管理器(WINXP CTRL+ALT+DEL WIN2000 CTRL+SHIFT“ESC),进入”进程“选项卡,看”CPU“栏,从里面找到占用资源较高的程序(其中SYSTEM IDLE PROCESS是属于正常,它的值一般都很高,它的作用是告诉当前你可用的CPU资源是多少,所以它的值越高越好)通过搜索功能找到这个进程属于哪个软件。然后,可以通过升级、关闭、卸载这个软件或者干脆找个同类软件替换,问题即可得到解决。★黑基空间★d3Ej GP&}

+jek)b L%Sf'd0

TAG: 有用才行

 

评分:0

我来说两句

显示全部

:loveliness: :handshake :victory: :funk: :time: :kiss: :call: :hug: :lol :'( :Q :L ;P :$ :P :o :@ :D :( :)

日历

« 2008-06-25  
1234567
891011121314
15161718192021
22232425262728
2930     

数据统计

  • 访问量: 279847
  • 日志数: 129
  • 图片数: 27
  • 建立时间: 2006-08-26
  • 更新时间: 2007-04-28

RSS订阅

Open Toolbar