tqtvfhpgu

十九、硬盘不能启动的常见故障分析及处理

  作为微机最主要的存储设备，硬盘在微机系统中占有举足轻重的地位。如果硬盘不能启动，则会使你陷于手忙脚乱之中，这里向你介绍几种"武器"，专门对付硬盘不能启动的"顽症"，你可得小心使用哟，不然，损伤了硬盘，白花花的银子可就白费了哟!

　　故障现象一：
  开机后屏幕显示："Device error\"，然后又显示："Non－System disk or disk error,Replace and strike any key whenready\"，说明硬盘不能启动，用软盘启动后，在A:\\>后键入C:，屏幕显示："Invalid drive specification\"，系统不认硬盘。

　　故障分析及处理：
造成该故障的原因一般是CMOS中的硬盘设置参数丢失或硬盘类型设置错误造成的。

　 进入CMOS，检查硬盘设置参数是否丢失或硬盘类型设置是否错误，如果确是该种故障，只需将硬盘设置参数恢复或修改过来即可，如果忘了硬盘参数不会修改，也可用备份过的CMOS信息进行恢复，如果你没有备份CMOS信息，也别急，有些高档微机的CMOS设置中有"HDD AUTO DETECTION\"(硬盘自动检测)选项，可自动检测出硬盘类型参数。若无此项，只好打开机箱，查看硬盘表面标签上的硬盘参数，照此修改即可。
　　故障现象二：
  开机后，"WAIT\"提示停留很长时间，最后出现"HDD Controller Failure\"。

　　故障分析及处理：
  造成该故障的原因一般是硬盘线接口接触不良或接线错误。先检查硬盘电源线与硬盘的连接，再检查硬盘数据信号线与多功能卡或硬盘的连接，如果连接松动或连线接反都会有上述提示，最好是能找一台型号相同且使用正常的微机，可以对比线缆的连接，若线缆接反则一目了然。

　　故障现象三：
开机后，屏幕上显示："Invalid partition table\"，硬盘不能启动，若从软盘启动则认C盘。

　　故障分析及处理：
  造成该故障的原因一般是硬盘主引导记录中的分区表有错误，当指定了多个自举分区(只能有一个自举分区)或病毒占用了分区表时，将有上述提示。

　　主引导记录(MBR)位于0磁头/0柱面/1扇区，由FDISK.EXE对硬盘分区时生成。MBR包括主引导程序、分区表和结束标志55AAH三部分，共占一个扇区。主引导程序中含有检查硬盘分区表的程序代码和出错信息、出错处理等内容。当硬盘启动时，主引导程序将检查分区表中的自举标志。若某个分区为可自举分区，则有分区标志80H，否则为00H，系统规定只能有一个分区为自举分区，若分区表中含有多个自举标志时，主引导程序会给出"Invalid partion table\"的错误提示。最简单的解决方法是用NDD修复，它将检查分区表中的错误，若发现错误，将会询问你是否愿意修改，你只要不断地回答YES即可修正错误，或者用备份过的分区表覆盖它也行(KV300，NU8.0中的RESCUE都具有备份与恢复分区表的功能)。如果是病毒感染了分区表，格式化是解决不了问题的，可先用杀毒软件杀毒，再用NDD进行修复。

　　如果上述方法都不能解决，还有一招，就是先用FDISK重新分区，但分区大小必须和原来的分区一样，这一点尤为重要，分区后不要进行高级格式化，然后用NDD进行修复。修复后的硬盘不但能启动，而且硬盘上的信息也不会丢失。其实用FDISK分区，相当于用正确的分区表覆盖原来的分区表。尤其当用软盘启动后不认硬盘时，这一招特灵。

　　故障现象四：
  开机后自检完毕，从硬盘启动时死机或者屏幕上显示："No ROM Basic，System Halted\"。

　　故障分析及处理：
  造成该故障的原因一般是引导程序损坏或被病毒感染，或是分区表中无自举标志，或是结束标志55AAH被改写。从软盘启动，执行命令"FDISK/MBR\"即可。FDISK中包含有主引导程序代码和结束标志55AAH，用上述命令可使FDISK中正确的主引导程序和结束标志覆盖硬盘上的主引导程序，这一招对于修复主引导程序和结束标志55AAH损坏既快又灵。对于分区表中无自举标志的故障，可用NDD迅速恢复。

　 故障现象五：
  开机后屏幕上出现"Error loading operating system\"或"Missing operating system\"的提示信息。
　 故障分析及处理：
  造成该故障的原因一般是DOS引导记录出现错误。DOS引导记录位于逻辑0扇区，是由高级格式化命令formAT生成的。主引导程序在检查分区表正确之后，根据分区表中指出的DOS分区的起始地址，读DOS引导记录，若连续读五次都失败，则给出"Error loading opearting system\"的错误提示，若能正确读出DOS引导记录，主引导程序则会将DOS引导记录送入内存0:7C00h处，然后检查DOS引导记录的最后两个字节是否为55AAH，若不是这两个字节，则给出"Missing operation system\"的提示。一般情况下用NDD修复即可。若不成功，只好用formAT C:/S命令重写DOS引导记录，也许你会认为格式化后C盘数据将丢失，其实不必担心，数据仍然保存在硬盘上，格式化C盘后可用NU8.0中的UNformAT恢复。如果曾经用DOS命令中的MIRROR或NU8.0中的IMAGE程序给硬盘建立过IMAGE镜像文件，硬盘可完全恢复，否则硬盘根目录下的文件全部丢失，根目录下的第一级子目录名被更名为DIR0、DIR1、DIR2......，但一级子目录下的文件及其下级子目录完好无损，至于根目录下丢失的文件，你可用NU8.0中的UNERASE再去恢复即可。

　　综上所述，硬盘不能启动大都是由于硬盘上的主引导记录、DOS引导记录、三个系统隐含文件出现错误导致的，因此平时要养成备份主引导记录、DOS引导记录的好习惯，关键时刻才能顺利解决问题。

tqtvfhpgu

二十、硬盘不启动的错误现象及解决方法

　　硬盘启动过程
　 在BIOS 自检确认所有的硬件(包括硬盘)连接正确后，硬盘开始启动，以启动分区装有Win98操作系统为例，其启动过程是：

　　(1)根据CMOS 设置的参数，硬盘将磁头定位在物理扇0柱0面1扇上，接着先后读取扇区结束标志55AAH、主引导记录MBR、硬盘分区表HDPT。

　　(2)根据硬盘分区表提供的数据，硬盘将磁头定位在活动分区(主DOS 引导分区)的引导扇区上(一般为物理扇0柱1面1扇)，接着先后读取扇区结束标志55AAH、操作系统参数。 　

　 (3)根据操作系统参数，读取文件分配表FAT和两个隐含系统文件io.sys、msdos.sys。

　　(4)根据config.sys，读取command.com，使电脑能够进入DOS 的实模式，启动基本成功。

　　(5)根据autoexec.bat，msdos.sys进一步配置Win98，并决定进入哪一种模式，如果进入窗口模式，还要根据user.dat，system.dat，win.ini ，system.ini 等读取相关文件，直到桌面最终出现，启动完毕。

　　这里我只讨论前4步(因为关于第5步文章太多了)。为了能够挖掘出所有错误现象，我做了一次破坏性实验(初学者不宜模仿)，实验如下： 让硬盘不启动。

　　1.实验目的：通过模拟因病毒、Bug、误操作等原因导致硬盘不启动的故障，总结归纳错误现象，当以后真的遇到硬盘不启动时，能积极应对。(总之一句话：危险我一个，幸福所有人)。

　2.实验环境：AWARD BIOS 4.51，一硬盘、一光驱都设成主盘(分别连在两个IDE数据线上)，硬盘6.4GB(c，d，e，f 四个分区)，c区安装可引导的Win98(FAT16)系统。

　　3.实验工具：诺顿(NU)8.0中文版的磁盘编辑器(DISKEDIT) 　

　4.实验对象：

  六种硬盘启动时的必须因素：
　 (1)物理连线
　　(2)CMOS 硬盘参数
　　(3)主引导扇区(包括主引导记录和硬盘分区表)
　　(4)主DOS 引导记录
　　(5)文件分配表
　　(6)三个启动文件。

　　5.实验之前的准备：
　　(1)备份要破坏的所有重要数据
　　(2)制作一张启动软盘 　
　 (3)把diskedit.exe，nlib200.rtl，chin16.fnt三个文件拷到该软盘中。 　

  6.实验的简单过程：破坏某个要害因素→重新启动电脑→记录错误现象→恢复破坏→再破坏下 一个要害因素……如此循环往复，直到破坏完成最后一个。

　　7.实验结果：经过整理后，详见下一小节。

　　硬盘不启动的故障、原因和处理

　　(一)黑屏的故障原因：连接硬盘一端的数据线插反(主板一端不可能插反)
　　处理：将其重插(数据线上的红线与电源线的红线相邻)

　　(二)显示“Primary master hard disk fail”的故障原因：
　　(1)硬盘数据线、电源线两者至少有一个没插好
　　(2)硬盘跳线设成从盘，而CMOS 硬盘参数没做相应修改(仍然是主盘) 　　
  处理： * 将其插牢 　　* 重设CMOS 中的硬盘参数

　　(三)无提示信息的故障原因：
　　(1)CMOS 硬盘参数的某些数值设置错误
　　(2)主引导记录错误或丢失
　　(3)主DOS 引导记录第一个重要数据(每扇字节数)错误
　　(4)文件分配表FAT错误处理： 　
　 * 重设CMOS 中的硬盘参数
　　 * 用FDISK /MBR命令恢复。

tqtvfhpgu

二十一、硬盘的常见错误提示及解决方法

  一、显示：“C：Drive Failure Run Setup Utility，Press（F1）To Resume”
　　此类故障是硬盘参数设置不正确所以从软盘引导硬盘可用，只要重新设置 硬盘参数即可。

  二、显示：“No ROM Basic，System Halted”
  病因分析：
  造成该故障的原因一般是引导程序损坏或被病毒感染，或是分区表中无自举标志，或是结束标志55AAH被改写。

  治疗方法：
  从软盘启动，执行命令“FDISK/MBR"即可。FDISK中包含有主引导程序代码和结束标志55AAH，用上述命令可使FDISK中正确的主引导程序和结束标志覆盖硬盘上的主引导程序，这一招对于修复主引导程序和结束标志55AAH损坏既快又灵。对于分区表中无自举标志的故障，可用NDD迅速恢复。

  三、显示“Error loading operating system”或“Missing operating system”
  病因分析：
  造成该故障的原因一般是DOS引导记录出现错误。DOS引导记录位于逻辑0扇区，是由高级格式化命令formAT生成的。主引导程序在检查分区表正确之后，根据分区表中指出的DOS分区的起始地址，读DOS引导记录，若连续读五次都失败，则给出“Error loading opearting system”的错误提示，若能正确读出DOS引导记录，主引导程序则会将DOS引导记录送入内存0:7C00h处，然后检查DOS引导记录的最后两个字节是否为55AAH，若不是这两个字节，则给出“Missing operation system”的提示。

  治疗方法：
  一般情况下用NDD修复即可。若不成功，只好用formAT C:/S命令重写DOS引导记录，也许你会认为格式化后C盘数据将丢失，其实不必担心，数据仍然保存在硬盘上，格式化C盘后可用NU8.0中的UNformAT恢复。如果曾经用DOS命令中的MIRROR或NU8.0中的IMAGE程序给硬盘建立过IMAGE镜像文件，硬盘可完全恢复，否则硬盘根目录下的文件全部丢失，根目录下的第一级子目录名被更名为DIR0、DIR1、 DIR2……，但一级子目录下的文件及其下级子目录完好无损，至于根目录下丢失的文件，你可用NU8.0中的UNERASE再去恢复即可。

  四、显示：“Invalid Drive Specification”
  治疗方法：
  1、重新分区格式化。
  2、如0磁道损坏需要低级格式化，然后用Set Comspec（指定Command文件位置），使得Command远离0磁道。
　　当硬盘出现分区故障后，希望用户先用上述方法解决，若不成功，对硬盘分区格式化是解决软故障的基本方法，但信息将被清除。
  其使用原则是：能用高格解决的不用分区，能用分区解决的不用低级格式化。

  五、显示：“Device error”，然后又显示：“Non－System disk or disk error，Replace and strike any key when ready”，说明硬盘不能启动，用软盘启动后，在A：>后键入C：，屏幕显示：“Invalid drive specification"，系统不认硬盘。

  病因分析：
  造成该故障的原因一般是CMOS中的硬盘设置参数丢失或硬盘类型设置错误造成的。

  治疗方法：
  进入CMOS，检查硬盘设置参数是否丢失或硬盘类型设置是否错误，如果确是该种故障，只需将硬盘设置参数恢复或修改过来即可，如果忘了硬盘参数不会修改，也可用备份过的CMOS信息进行恢复，如果你没有备份CMOS信息，也别急，有些高档微机的CMOS设置中有“HDD Auto Detection”(硬盘自动检测)选项，可自动检测出硬盘类型参数。若无此项，只好打开机箱，查看硬盘表面标签上的硬盘参数，照此修改即可。

  六、显示：“HDD Controller Failure”
  病因分析：造成该故障的原因一般是硬盘线接口接触不良或接线错误。   治疗方法：先检查硬盘电源线与硬盘的连接，再检查硬盘数据信号线与多功能卡或硬盘的连接，如果连接松动或连线接反都会有上述提示，最好是能找一台型号相同且使用正常的微机，可以对比线缆的连接，若线缆接反则一目了然。

  七、显示：“Invalid partition table”，硬盘不能启动，若从软盘启动则认C盘。

  病因分析：
  造成该故障的原因一般是硬盘主引导记录中的分区表有错误，当指定了多个自举分区(只能有一个自举分区)或病毒占用了分区表时，将有上述提示。主引导记录(MBR)位于0磁头/0柱面/1扇区，由FDISK.EXE对硬盘分区时生成。MBR包括主引导程序、分区表和结束标志55AAH三部分，共占一个扇区。主引导程序中含有检查硬盘分区表的程序代码和出错信息、出错处理等内容。当硬盘启动时，主引导程序将检查分区表中的自举标志。若某个分区为可自举分区，则有分区标志80H，否则为00H，系统规定只能有一个分区为自举分区，若分区表中含有多个自举标志时，主引导程序会给出“Invalid partion table"的错误提示。

  治疗方法：
  最简单的解决方法是用NDD修复，它将检查分区表中的错误，若发现错误，将会询问你是否愿意修改，你只要不断地回答YES即可修正错误，或者用备份过的分区表覆盖它也行(KV300，NU8.0中的RESCUE都具有备份与恢复分区表的功能)。如果是病毒感染了分区表，格式化是解决不了问题的，可先用杀毒软件杀毒，再用NDD进行修复。如果上述方法都不能解决，还有一招，就是先用FDISK重新分区，但分区大小必须和原来的分区一样，这一点尤为重要，分区后不要进行高级格式化，然后用NDD进行修复。修复后的硬盘不但能启动，而且硬盘上的信息也不会丢失。其实用Fdisk分区，相当于用正确的分区表覆盖原来的分区表。尤其当用软盘启动后不认硬盘时，这一招特灵。
二十二、55种木马手工清除法

1. 冰河v1.1 v2.2
这是国产最好的木马 作者：黄鑫
清除木马v1.1
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查找以下的两个路径，并删除
" C:\windows\system\ kernel32.exe"
" C:\windows\system\ sy***plr.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:\windows\system\ kernel32.exe和C:\windows\system\ sy***plr.exe木马程序
重新启动。OK
清除木马v2.2
服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。
因此，不能明确说明。
你可以察看注册表，把可疑的文件路径删除。
重新启动到MSDOS方式
删除于注册表相对应的木马程序
重新启动Windows。OK

2. Acid Battery v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer ="C:\WINDOWS\expiorer.exe"
关闭Regedit
重新启动到MSDOS方式
删除c:\windows\expiorer.exe木马程序
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
重新启动。OK

3. Acid Shiver v1.0 + 1.0Mod + lmacid
清除木马的步骤：
重新启动到MSDOS方式
删除C:\windows\MSGSVR16.EXE
然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
关闭Regedit
重新启动。OK
重新启动到MSDOS方式
删除C:\windows\wintour.exe然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
关闭Regedit
重新启动。OK

4. Ambush
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的zka = "zcn32.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:\Windows\ zcn32.exe
重新启动。OK

5. AOL Trojan
清除木马的步骤：
启动到MSDOS方式
删除C:\ command.exe（删除前取消文件的隐含属性）
注意：不要删除真的command.com文件。
删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）
打开WIN.INI文件
在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：
run=
load=
保存WIN.INI
还要改正注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的WinProfile = c:\command.exe
关闭Regedit，重新启动Windows。OK

6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1
清除木马的步骤：
注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
打开system.ini文件
在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。
保存退出system.ini
打开win.ini文件
在[WINDOWS]下面有个run=
如果你看到=后面有路径文件名，必须把它删除。
正确的应该是run=后面什么也没有。
=后面的路径文件名就是木马，把它查找出来，删除。
保存退出win.ini。
OK

7. AttackFTP
清除木马的步骤：
打开win.ini文件
在[WINDOWS]下面有load=wscan.exe
删除wscan.exe ，正确是load=
保存退出win.ini。
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Reminder="wscan.exe /s"
关闭Regedit，重新启动到MSDOS系统中
删除C:\windows\system\ wscan.exe
OK

8. Back Construction 1.0 - 2.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的"C:\WINDOWS\Cmctl32.exe"
关闭Regedit，重新启动到MSDOS系统中
删除C:\WINDOWS\Cmctl32.exe
OK

9. BackDoor v2.00 - v2.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的'c:\windows\notpa.exe /o=yes'
关闭Regedit，重新启动到MSDOS系统中
删除c:\windows\notpa.exe
注意：不要删除真正的notepad.exe笔记本程序
ＯＫ

10. BF Evolution v5.3.12
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的(Default)=" "
关闭Regedit，再次重新启动计算机。
将C:\windows\system\ .exe（空格exe文件）
ＯＫ

11. BioNet v0.84 - 0.92 + 2.21
0.8X版本是运行在Win95/98
0.9X以上版本有运行在Win95/98 和WinNT上两个软件
客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑
NT被感染的系统完全一样。
清除木马的步骤：
首先准备一张98的启动盘，用它启动后，进入c:\windows目录下，用attrib libupd~1.
exe -h
命令让木马程序可见，然后删除它。
抽出软盘后重新启动，进入98下，在注册表里找到：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
的子键WinLibUpdate = "c:\windows\libupdate.exe -hide"
将此子键删除。

12. Bla v1.0 - 5.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Systemdoor = "C:\WINDOWS\System\mprdll.exe"
关闭Regedit，重新启动计算机。
查找到C:\WINDOWS\System\mprdll.exe和
C:\WINDOWS\system\rundll.exe
注意：不要删除C:\WINDOWS\RUNDLL.EXE正确文件。
并删除两个文件。
OK

13. BladeRunner
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
可以找到System-Tray = "c:\something\something.exe"
右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要
的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。
重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。

14. Bobo v1.0 - 2.0
清除木马v1.0
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的DirrectLibrarySupport ="C:\WINDOWS\SYSTEM\Dllclient.exe"
关闭Regedit，重新启动计算机。
DEL C:\Windows\System\Dllclient.exe
OK
清除木马v2.0
打开注册表Regedit
点击目录至：
HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/Apps/ICQ Accel/
ICQ Accel是一个“假象“的主键，选中ICQ Accel主键并把它删除。
重新启动计算机。OK

15. BrainSpy vBeta
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
右边有 ??? = "C:\WINDOWS\system\BRAINSPY .exe"
???标签选是随意改变的。
关闭Regedit，重新启动计算机
查找删除C:\WINDOWS\system\BRAINSPY .exe
ＯＫ

16. Cain and Abel v1.50 - 1.51
这是一个口令木马
进入MS-DOS方式
查找到C:\windows\msabel32.exe
并删除它。ＯＫ

17. Canasson
清除木马的步骤：
打开WIN.INI文件
查找c:\msie5.exe，删除全部主键
保存win.ini
重新启动计算机
删除c:\msie5.exe木马文件
ＯＫ

18. Chupachbra
清除木马的步骤：
打开WIN.INI文件
[Windows]的下面有两个行
run=winprot.exe
load=winprot.exe
删除winprot.exe
run=
load=
保存Win.ini，再打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的'System Protect' = winprot.exe
重新启动Windows
查找到C:\windows\system\ winprot.exe，并删除。
ＯＫ

19. Coma v1.09
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的'RunTime' = C:\windows\msgsrv36.exe
重新启动Windows
查找到C:\windows\ msgsrv36.exe，并删除。
ＯＫ

20. Control
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的Load MSchv Drv = C:\windows\system\MSchv.exe
保存Regedit，重新启动Windows
查找到C:\windows\system\MSchv.exe，并删除。
ＯＫ

21. Dark Shadow
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\RunServices
删除右边的winfunctions="winfunctions.exe"
保存Regedit，重新启动Windows
查找到C:\windows\system\ winfunctions.exe，并删除。
ＯＫ

22. DeepThroat v1.0 - 3.1 + Mod (Foreplay)
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
版本1.0
删除右边的项目'System32'=c:\windows\system32.exe
版本2.0-3.1
删除右边的项目'SystemTray' = 'Systray.exe'
保存Regedit，重新启动Windows
版本1.0删除c:\windows\system32.exe
版本2.0-3.1
删除c:\windows\system\systray.exe
ＯＫ

23. Delta Source v0.5 - 0.7
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：DS admin tool = C:\TEMPSERVER.exe
保存Regedit，重新启动Windows
查找到C:\TEMPSERVER.exe，并删除它。
ＯＫ

24. Der Spaeher v3
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：explore = "c:\windows\system\dkbdll.exe "
保存Regedit，重新启动Windows
删除c:\windows\system\dkbdll.exe木马文件。
ＯＫ

--

25. Doly v1.1 - v1.7 (SE)
清除木马V1.1-V1.5版本：
这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。
首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。
把下列各项全部删除：
C:\WINDOWS\SYSTEM\tesk.sys
C:\WINDOWS\Start Menu\Programs\Startup\mstesk.exe
c:\Program Files\MStesk.exe
c:\Program Files\Mdm.exe
重新启动Windows。
接着，打开win.ini文件
找到[WINDOWS]下面load=c:\windows\system\tesk.exe项目，删除路径，改变为load=
保存win.ini文件。
最后，修改注册表Regedit
找到以下两个项目并删除它们
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Ms tesk = "C:\Program Files\MStesk.exe"
和
HKEY_USER\.Default\Software\Microsoft\Windows\CurrentVersion\Run
Ms tesk = "C:\Program Files\MStesk.exe"
再寻找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ss
这个组是木马的全部参数选择和设置的服务器，删除这个ss组的全部项目。
关闭保存Regedit。
还有打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\StartMenu\Startup Items\
del c:\win.reg
关闭保存autoexec.bat。
ＯＫ

清除木马V1.6版本：
该木马运行时，将不能通过98的正常操作关闭，只能RESET键。彻底清除步骤如下：
1．打开控制面板――添加删除程序――删除memory manager 3.0，这就是木马程序，但
是它并不会把木马的EXE文件删除掉。
2．用98或DOS启动盘启动（用RESET键）后，转入C:\，编辑AUTOEXEC。BAT，把如下内容
删除：
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe
del c:\win.reg
保存AUTOEXEC。BAT文件并返回DOS后，在C：\根目录下删除木马文件：
del sys.lon
del windows\startm~1\programs\startup\mdm.exe
del progra~1\mdm.exe
3．抽出软盘重新启动，进入98后，把c:\program files\目录下的memory manager 目录
删除。

清除木马V1.7版本：
首先，打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe
del c:\win.reg
关闭保存autoexec.bat
然后打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
找到c:\windows\system\mdm.exe路径并删除这个项目
点击目录至：
HKEY_USER/.Default/Software/Marabilis/ICQ/Agent/Apps/
找到"C:\windows\system\kernal32.exe"路径并删除这个项目
关闭保存Regedit。重新启动Windows。
最后，删除以下木马程序：
c:\sys.lon
c:\iecookie.exe
c:\windows\start menu\programs\startup\mdm.exe
c:\program files\mdm.exe
c:\windows\system\mdm.exe
c:\windows\system\kernal32.exe
注意：kernal32是Ａ
ＯＫ

26. Revenger v1.0 - 1.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：AppName ="C:\...\server.exe"
关闭保存Regedit，重新启动Windows
在c:\windows查找相应的木马程序server.exe，并删除
ＯＫ

27. Ripper
清除木马的步骤：
打开system.ini文件
将shell=explorer.exe sysrunt.exe
改为shell= explorer.exe
关闭保存system.ini，重新启动Windows
在c:\windows查找相应的木马程序sysrunt.exe，并删除
ＯＫ

28. Satans Back Door v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：sysprot protection ="C:\windows\sysprot.exe"
关闭保存Regedit，重新启动Windows
删除C:\windows\sysprot.exe
ＯＫ

29. Schwindler v1.82
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：User.exe = "C:\WINDOWS\User.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\User.exe
ＯＫ

30. Setup Trojan (Sshare) +Mod Small Share
这个共享隐藏Ｃ盘的木马
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Network\LanMan\

选择右边有'C$'的项目，并全部删除
关闭保存Regedit，重新启动Windows
ＯＫ

31. ShadowPhyre v2.12.38 - 2.X
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：WinZipp = "C:\WINDOWS\SYSTEM\WinZipp.exe /nomsg"
或者WinZip = "C:\WINDOWS\SYSTEM\WinZip.exe /nomsg"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\ WinZipp.exe或者C:\WINDOWS\ WinZip.exe
ＯＫ


32. Share All
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Network\LanMan\

这里你将看到所有被木马共享出来的你的硬盘符号，把它们一个个删除掉。

33. ShitHeap
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：recycle-bin = "c:\windows\system\recycle-bin.exe"
或者recycle-bin = "c:\windows\system.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\system\recycle-bin.exe或者c:\windows\system.exe
ＯＫ

34. Snid v1 - 2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：System-tray = 'c:\windows\temp$01.exe'
关闭保存Regedit，重新启动Windows
删除c:\windows\temp$01.exe
ＯＫ

35. Softwarst
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：NetApp = C:\windows\system\winserv.exe
关闭保存Regedit，重新启动Windows
删除C:\windows\system\winserv.exe
ＯＫ

36. Spirit 2000 Beta - v1.2 (fixed)
清除木马v Beta版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：internet = "c:\windows\netip.exe "
关闭保存Regedit
打开win.ini文件
查找到run=c:\windows\netip.exe
更改为：run=
关闭保存win.ini，重新启动Windows
删除c:\windows\netip.exe和c:\windows\netip.exe
ＯＫ
清除木马v 1.2版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTray = "c:\windows\windown.exe "
关闭保存Regedit，重新启动Windows
删除c:\windows\windown.exe
ＯＫ
清除木马v 1.2(fixed)版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Server 1.2.exe = "c:\windows\server 1.2.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\server 1.2.exe
ＯＫ

37. Stealth v2.0 - 2.16
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Winprotect System = "C:\WINDOWS\winprotecte.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\winprotecte.exe
ＯＫ

38. SubSeven - Introduction
清除木马v1.0 - 1.1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTrayIcon = "C:\WINDOWS\SysTrayIcon.Exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\SysTrayIcon.Exe
ＯＫ
清除木马v1.3 - 1.4 - 1.5：
打开win.ini文件
查找到run=nodll
更改为run=
关闭保存win.ini，重新启动Windows
删除c:\windows\nodll.exe
ＯＫ
清除木马v1.6：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTray = "SysTray.Exe"
关闭保存Regedit，重新启动Windows
删除C:\windows\systray.exe
ＯＫ
清除木马v1.7：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
查找到右边的项目：C:\windows\kernel16.dl，并删除
关闭保存Regedit，重新启动Windows
删除C:\windows\kernel16.dl
ＯＫ
清除木马v1.8：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
查找到右边的项目：c:\windows\system.ini.，并删除
关闭保存Regedit。
打开win.ini文件
查找到run= kernel16.dl
更改为run=
关闭保存win.ini。
打开system.ini文件
查找到shell=explorer.exe kernel32.dl
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:\windows\kernel16.dl
ＯＫ
清除木马v1.9 - 1.9b：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
删除右边的项目：RegistryScan = "rundll16.exe"
关闭保存Regedit，重新启动Windows
删除C:\windows\rundll16.exe
ＯＫ
清除木马v2.0：
打开system.ini文件
查找到shell=explorer.exe trojanname.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除c:\windows\rundll16.exe
ＯＫ
清除木马v2.1 - 2.1 Gold + SubStealth- 2.1.3 Mod + 2.1.3 MUIE + 2.1 Bonus：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
删除右边的项目：WinLoader = MSREXE.EXE
hkey_classes_root\exefile\shell\open\command
将右边的项目更改为：@="\"%1\" %*"
关闭保存Regedit。
打开win.ini文件
查找到run=msrexe.exe和
load=msrexe.exe
更改为run=
load=
关闭保存win.ini。
打开system.ini文件
查找到shell=explore.exe msrexe.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:\windows\ msrexe.exe
C:\windows\system\systray.dll
ＯＫ
清除木马v2.2b1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
删除右边的项目：加载器 = "c:\windows\system\***"
注：加载器和文件名是随意改变的
关闭保存Regedit。
打开win.ini文件
更改为run=
关闭保存win.ini。
打开system.ini文件
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相对应的木马程序
ＯＫ

39. Telecommando 1.54
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemApp＝"ODBC.EXE"
关闭保存Regedit，重新启动Windows
删除C:\windows\system\ ODBC.EXE
ＯＫ
--


40. The Unexplained
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：InetB00st = "C:\WINDOWS\TEMPINETB00ST.EXE"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\TEMPINETB00ST.EXE
ＯＫ

41. Thing v1.00 - 1.60
清除木马v1.00-1.12：
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：(Default) = "C:\some\path\here\thing.exe"
也有一些是在：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\SessionManager\Known16DL
Ls\
删除右边的项目：wsasrv.exe = "wsasrv.exe"
关闭保存Regedit，重新启动Windows
删除C:\some\path\here\thing.exe
ＯＫ
清除木马v 1.20版本:
进入MS_DOS方式：
del winspc13.exe
del ms097.exe
打开system.ini文件
查找到shell=explorer.exe ms097.exe
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
ＯＫ
清除木马v1.50版本:
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
这个项目的路径和文件名是随机改变的，察看有可疑的文件路径，将它删除。
关闭保存Regedit。
打开system.ini文件
查找到shell=explorer.exe后面是木马文件
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相应的木马文件
ＯＫ
清除木马v1.50版本:
进入MS_DOS方式：
del winspc13.exe
del ms097.exe
打开system.ini文件
查找到shell=explorer.exe后面是木马文件
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相应的木马文件
ＯＫ

42. Transmission Scount v1.1 - 1.2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Kernel16" = C:\WINDOWS\Kernel16.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\Kernel16.exe
ＯＫ

43. Trinoo
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目： System Services = service.exe
关闭保存Regedit，重新启动Windows
删除C:\windows\system\service.exe
ＯＫ

44. Trojan Cow v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SysWindow = "C:\WINDOWS\Syswindow.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\Syswindow.exe
ＯＫ

45. TryIt
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Rc5Dec = C:\Program Files\Internet Explorer\_.exe -guistart
关闭保存Regedit，重新启动Windows
删除C:\Program Files\Internet Explorer\_.exe
ＯＫ

46. Vampire v1.0 - 1.2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Sockets ="c:\windows\system\Sockets.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\system\Sockets.exe
ＯＫ

47. WarTrojan v1.0 - 2.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Kernel32 = "C:\somepath\server.exe"
关闭保存Regedit，重新启动Windows
删除C:\somepath\server.exe
ＯＫ


48. wCrat v1.2b
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：MS Windows System Explorer ="C:\WINDOWS\sy***plor.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\sy***plor.exe
ＯＫ

49. WebEx (v1.2, 1.3, and 1.4)
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：RunDl32 = "C:\windows\system\task_bar"
关闭保存Regedit，重新启动Windows
删除C:\windows\system\task_bar.exe和c:\windows\system\msinet.ocx
ＯＫ

50. WinCrash v2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：WinManager = "c:\windows\server.exe"
关闭保存Regedit
打开win.ini文件
查找到run=c:\windows\server.exe
更改为：run=
保存关闭win.ini，重新启动Windows
删除c:\windows\server.exe
ＯＫ

51. WinCrash
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：MsManager ="SERVER.EXE"
关闭保存Regedit，重新启动Windows
删除C:\windows\system\ SERVER.EXE
ＯＫ

52. Xanadu v1.1
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SETUP = "c:\somepath\setup.exe"
关闭保存Regedit，重新启动Windows
删除c:\somepath\setup.exe
ＯＫ

53. Xplorer v1.20
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：PCX = "C:\WINDOWS\system\PCX.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\system\PCX.exe
ＯＫ

54. Xtcp v2.0 - 2.1
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：msgsv32 = "C:\WINDOWS\system\winmsg32.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\system\winmsg32.exe
ＯＫ

55. YAT
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：Batterieanzeige = 'c:\pathnamehere\server.exe /nomsg'
关闭保存Regedit，重新启动Windows
删除c:\pathnamehere\server.exe
ＯＫ

tqtvfhpgu

二十三、木马入侵的常用手法及避免木马入侵的方法

  虽然木马程序千变万化，但正如一位木马组织的负责人所讲，大多数木马程序没有特别的功能，入侵的手法也差不多，只是以前有关木马程序的重复，只是改了个名而已，现在他们都要讲究效率，据说他们要杜绝重复开发，浪费资源。当然我们也只能讲讲以前的一些通用入侵手法，因为我们毕竟不是木马的开发者，不可能有先知先觉。
  1、在win.ini文件中加载
　　一般在win.ini文件中的[windwos]段中有如下加载项：
  run= load= ，一般此两项为空。
　　如果你发现你的系统中的此两项加载了任何可疑的程序时，应特别当心，这时可根据其提供的源文件路径和功能进一步检查。我们知道这两项分别是用来当系统启动时自动运行和加载程序的，如果木马程序加载到这两个子项中之后，那么当你的系统启动后即可自动运行或加载了。当然也有可能你的系统之中确是需要加载某一程序，但你要知道这更是木马利用的好机会，它往往会在现有加载的程序文件名之后再加一个它自己的文件名或者参数，这个文件名也往往用你常见的文件，如command.exe、sys.com等来伪装。

  2、在System.ini文件中加载
　　我们知道在系统信息文件system.ini中也有一个启动加载项，那就是在[BOOT]子项中的“Shell”项。
　　在这里木马最惯用的伎俩就是把本应是“Explorer”变成它自己的程序名，名称伪装成几乎与原来的一样，只需稍稍改"Explorer”的字母“l”改为数字“1”，或者把其中的“o”改为数字“0”，这些改变如果不仔细留意是很难被人发现的，这就是我们前面所讲的欺骗性。当然也有的木马不是这样做的，而是直接把“Explorer”改为别的什么名字，因为他知道还是有很多朋友不知道这里就一定是“Explorer”，或者在“Explorer”加上点什么东东，加上的那些东东肯定就是木马程序了。

  3、修改注册表
　　如果经常研究注册表的朋友一定知道，在注册表中我们也可以设置一些启动加载项目的，编制木马程序的高手们当然不会放过这样的机会的，况且他们知道注册表中更安全，因为会看注册表的人更少。事实上，只要是”Run\Run-\RunOnce\RunOnceEx\ RunServices \RunServices-\RunServicesOnce 等都是木马程序加载的入口，如[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run或\RunOnce
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run或Run-或RunOnce或RunOnceEx或RunServices或RunServices-或RunServicesOnce。

　　你只要按照其指定的源文件路径一路查过去，并具体研究一下它在你系统这中的作用就不难发现这些键值的作用了，不过同样要注意木马的欺骗性，它可是最善于伪装自己呵！同时还要仔细观察一下在这些键值项中是否有类似netspy.exe、空格、.exe或其它可疑的文件名，如有则立即删除。

  4、修改文件打开关联
　　木马程序发展到了今天，他们发现以上的那些老招式不灵了，为了更加隐蔽自己，他们所采用隐蔽的手段也是越来越高明了（不过这也是万物的生存之道，你说呢？），它们采用修改文件打开关联来达到加载的目的，当你打开了一个已修改了打开关联的文件时，木马也就开始了它的运作，如冰河木马就是利用文本文件（.txt）这个最常见，但又最不引人注目的文件格式关联来加载自己，当有人打开文本文件时就自动加载了冰河木马。

　　修改关联的途经还是选择了注册表的修改，它主要选择的是文件格式中的“打开”、“编辑”、“打印”项目，如冰河木马.

　　如果感染了冰河木马病毒则在[HKEY_CLASSES_ROOT\txtfile\shell\open\command]中的键值不是“c:\windows\notepad.exe %1”，而是改为“syXXXplr.exe %1”。
　　以上所介绍的几种木马入侵方式，如果发现了我们当然是立即对其删除，并要立即与网络断开，切断黑客通讯的途径，在以上各种途径中查找，如果是在注册表发现的，则要利用注册表的查找功能全部查找一篇，清除所有的木马隐藏的窝点，做到彻底清除。如果作了注册表备份，最好全部删除注册表后再导入原来的备份注册表。

　　在清除木马前一定要注意，如果木马正在运行，则你无法删除其程序，这时你可以重启动到DOS方式然后将其删除。有的木马会自动检查其在注册表中的自启动项，如果你是在木马处于活动时删除该项的话它能自动恢复，这时你可以重启到DOS下将其程序删除后再进入Win9x下将其注册表中的自启动项删除。

  上面是讲了我们已发现的情况下可以采取这些补救措施，但是一般情况下我们没有那么容易发现它，只好利用专门的杀毒软件来帮助我们进行了。目前专门查杀木马病毒的反木马软件主要有以下几种，我们可以借助它们的功力来铲助木马。目前最常用的反木马程序有：

　　a、the cleaner
　　它可以随时自动升级，只要轻点UPDATE按纽即可，不象LOCKDOWN还要查你的密码。它的实时监控程序TCA，可即时显示当前所有运行程序并有详细的描述信息，是个帮你了解系统的好帮手。

　　b、Trojan Remover
　　它是一个专门用来清除特洛伊木马和自动修复系统文件的工具，能够检查系统登录文件、扫描WIN.INI、SYSTEM.INI和系统登录文件，且扫描完成后会产生Log信息文件，并帮你自动清除特洛伊木马和修复系统文件。

  c. iparmor
  0719版本可以查杀5021种国际木马，112种电子邮件木马，保证查杀冰河类文件关联木马，oicq类寄生木马，icmp类幽灵木马,网络神偷类反弹木马。内置木马防火墙，任何黑客试图与本机建立连接，都需要Iparmor 确认，不仅可以查杀木马，更可以查黑客。
　　当然还有许多反病毒软件也具有一些反木马的功能，而且功能还可以。

如何避免木马的入侵

　　1、 不要执行任何来历不明的软件
　　对于从网上下载的软件在安装、使用前一定要用多几种反病毒软件，最好是专门查杀木马的软件进行检查，确定无毒了再执行、使用。

  2、不要相信你的邮箱不会收到垃圾和带毒的邮件
　　永远不要相信你的邮箱就不会收到垃圾和带毒的邮件，即使从没露过面的邮箱或是ISP邮箱，有些时候你永远没办法知道别人如何得知你的mail地址的。

  3、不要轻信他人
　　不要因为是你的好朋友发来的软件就运行，因为你不能确保他的电脑上就不会有病毒，当然好朋友故意欺骗的可能性不大，但也许他（她）中了黑客程序自己还不知道！同时，网络发展到今天，你也不能保证这一定是你的朋友发给你的，因为别人也可冒名给你发邮件。

  4、不要随便留下你的个人资料
　　特别不要在聊天室内公开你的Email地址。 因为你永远不会知道是否有人会处心积虑收集起你的资料，以备将来黑你！更不要将重要口令和资料存放在上网的电脑里，以防黑客侵入你的电脑盗走你一切“值钱的东东”。

  5、网上不要得罪人
　　在聊天时，永远不要以为网络上谁也不认识谁就出言不逊，这样会不小心得罪某些高人，到时找你开刀。

  6、不要随便下载软件
　　特别是不可*的小FTP站点、公众新闻级、论坛或BBS上，因为这些地方正是新病毒发布的首选之地。

  7、最好使用第三方邮件程序
　　如Foxmail等,不要使用Microsoft的Outlook程序，因为Outlook程序的安全漏洞实在太多了，况且Outlook也是那些黑客们首选攻击的对象，已经选好了许多攻击入口；

  8、不要轻易打开广告邮件中附件或点击其中的链接
　　因为广告邮件也是那些黑客程序依附的重要对象，特别是其中的一些链接。

  9、将windows资源管理器配置成始终显示扩展名
　　因为一些扩展名为：VBS、SHS、PIF的文件多为木马病毒的特征文件，更有些文件为又扩展名，那更应重点查看，一经发现要立即删除，千万不要打开，只有时时显示了文件的全名才能及时发现。

  10、尽量少用共享文件夹
　　如果因工作等其它原因必需设置成共享，则最好单独开一个共享文件夹，把所有需共享的文件都放在这个共享文件夹中，注意千万不要系统目录设置成共享！

  11、给电子邮件加密
　　为了确保你的邮件不被其它人看到，同时也为了防止黑客们的攻击，可使用一些邮件加密软件，相信它一定不会让你失望的！

  12、隐藏IP地址
　　这一点非常重要！！你上网时最好用一些工具软件隐藏你的电脑的IP地址，或使用代理服务器。
  13、运行反木马实时监控程序
　　最后，好是最重要的一点就是你在上网时必需运行你的反木马实时监控程序，可即时显示当前所有运行程序并有详细的描述信息，加外如加上一些专业的最新杀毒软件、个人防火墙进行监控那更是放心了，当然这要你的爱机够档次才行，你说呢？

:::免费下载的图片管理工具Picasa:::

tqtvfhpgu

二十四、网上邻居找不到其他计算机

  既然在网上邻居中能够看到自己的计算机，说明网卡和软件安装均没有问题，可以从以下几个方面寻找原因：
  1. 线路或集线器的问题
  (1) ping其他主机的ip地址，检查其他计算机的连接速度是否正常，如正常，跳至第2步的第4小步，否则进行以下操作.

  (2) 检查机箱背后的网卡提示灯是否闪烁，如果闪烁，一般可以证明本机与集线器的连接正常。否则应当检查网线的两端是否插好，集线器的电源是否打开。

  (3) 检查集线器上端口和其他计算机端口的指示灯是否处于正常状态。如果正常，说明连网设备与计算机的连接没有问题。否则应当检查网线的两端是否已经插好，并用网线测试仪对网线的连同性重新进行测试。

  2．其他计算机的问题
  （1）检查其他计算机的网卡灯是否闪烁，如果网卡灯不亮，可能是网卡没有正确安装，也可能是没有和网络连接设备正常连接。打开“控制面板“----“系统“----“设备管理器“，检查是否有“网络适配器“，或者网络适配器下的设备是否带有“？”或者“！“。如果是，删除该设备，刷新并重新为其安装驱动程序。如果不是，则证明是网络设备没有问题，或者是网线的问题，按照第1步的第2小步所述的方法处理.

  （2）协议是否安装，选择“控制面板“----“网络“----“配置“，检查是否每台计算机都安装有tcp/ip协议和netbeui协议。如果没有，添加上述协议，删除IPX/SPX协议。

  （3）IP地址设置是否正确。当只选择安装TCP/IP协议时，该项检查尤为重要。在MS-DOS方式，运行IPCONFIG命令，将显示该机的IP地址和子网掩码(Subnet Mask)，检查该ip地址是否和其他计算机在同一网段。

  （4）是否已设置好文件和打印机共享。打开“控制面板“-----“网络“----“配置“----“文件及打印共享“，查看是否选中“允许其他用户访问我的文件“和“允许其他计算机使用我的打印机“复选框，如果没有，选中该选项。

  （5）是否以用身份登陆，无论是Microsoft网络用户，Microsoft友好登陆还是Windows登陆，在计算机启动时均要求输入用户名和密码，如果不是在输入用户名和密码后按确定登陆Windows98,而是按取消进入，那么他将不会出现在网络邻居之中。检查“开始”----“注销“，看“注销”后是否跟有计算机名，如果显示为“注销。。。“，则表明没有以用户身份登陆。单击“注销“，重新启动WINDOWS，输入用户名和密码，按确定，进入.

  （6）查找其他计算机。在“开始“----“查找“----“计算机“中，输入另外一台计算机名，进行查找，或者在“资源管理器“----“工具“----“查找“----”计算机“中输入另外一台计算机的名字，如果一切正常，应当能够寻找对方。

  有时候网卡配置正常，网上邻居也能看到自己（看不到别人），ping自己也可，这是最主要原因是网卡没有安装好造成的，（不过这样的网卡一般比较老，如ISA接口的）。

检查网卡I/O及DMA号：

  1、在DOS下用网卡检测盘检测I/O及DMA是否与WINDOWS下一致。不一至请将WINDOWS下配置改成DOS下一致即可。

  2、打开机箱检查网卡跳线是否设置AUTO方式。不是的成AUTO然后，在WINDOWS下重新安装网卡即可。

Windows优化大师的使用

Windows优化大师使用时要注意几个问题：
  1.不要完全依*软件，因为软件只是程序不是完全智能的。

  2.特别是在注册表清理时，要认真确认，有的错误信息需要修改，如果盲目删除就会使系统运行不正常。

  3.删除注册表信息时，要认真核对。

  4.优化项目，要有选择。

  5.要用好Windows优化大师，比较艰苦的每一条信息都要经过核对，特别是注册表信息要确认文件是否存在。不能只是优化、删除，以补充分析的智能化不足。

tqtvfhpgu

二十五、硬盘的优化与维护

  如果把CPU比作计算机的“心脏”，主板比作神经系统，那硬盘就好像计算机的“大脑”一样，我们的操作系统、数据文件、个人信息等内容都存储于其中。一旦这个“大脑”发生什么问题，不但我们的计算机会瘫痪，存储于内的劳动成果也会付诸东流。

  硬盘的正确安装
  硬盘的安装不同于其他部件，它是怕撞击震动的易损部件，所以安装的时候要注意轻拿轻放，在移动中也要避免强烈的震动，以免损坏硬盘盘片，造成不可修复的物理损伤。
大多数硬盘都安装在机箱的3.5英寸固定架上而不是安装CD－ROM的5寸固定架。首先要将硬盘轻轻放入插槽内，并将硬盘上的螺丝孔对准插槽固定架上的螺丝孔，然后用螺丝钉对硬盘进行固定。

  数据线
  目前，我们所使用的硬盘都为ATA66或更高规格的产品，因此IDE数据线也均为80芯的ATA133/100/66 IDE硬盘线。所有符合AC97规范的IDE数据线共有三个接口，均采用彩色标识，其中，蓝色的为系统接口，用于和主板上的IDE接口相连。黑色的为Master（主设备）接口，灰色的为Slave（从设备）接口，都是用来接硬盘、光驱等IDE设备的。
  如果硬盘设定为主设备，则一定要安装在IDE数据线的主设备接口上；如设定为从设备，就一定要安装在从接口上，否则就会发生错误。标准的IDE数据线，不同颜色的接口用途不同。在连接数据线时，注意不要接反。

  硬盘跳线
  除了接线外，硬盘安装过程中另一项不可忽视的内容就是硬盘的主从设备跳线。当然，主从盘跳线只在两块硬盘同时连接在一根数据线上时才需要。因为硬盘出厂前的默认设置均为主盘（即Master），如果数据线只连接了一块硬盘，那它当然就是主盘，所以安装单硬盘时不需要进行跳线设置。

  对大多数硬盘来说，跳线规格共有三种：Master(主)、Slave（从）和Cable Select（线缆自动选择）。当我们选择第三种规格的时候，计算机会自动设置硬盘的主从模式。至于跳线的设置方法，大多数厂商都会在硬盘背面给出详细的跳线设置图。有的则是在跳线接口上方给出简单的示意大多数硬盘都在其背面提供了跳线设置图。

  与硬盘相连时也要注意IDE数据线接口的正反，除了根据缺口判断之外，还要记住，IDE数据线有红色线的一边应该*近硬盘电源接口方向。有的硬盘则是在其侧面提供跳线的设置方法。硬盘的电源接口采用D型接口，因此无法反方向插入，避免了因误操作而烧毁硬盘。

  正确的硬盘分区方式
  在了解硬件的正确安装和使用之后，接下来让我们认识一下硬盘的分区方法，以及如何进行合理的分区等方面的内容。

  新硬盘在未分区和格式化之前，是无法引导系统的。我们可以通过可引导的光盘（如Win98/Me启动光盘）或带有引导功能的软盘来引导系统。如果您的系统还不支持这种启动方式，则要进入BIOS设置程序，将First Boot Device（第一启动设备）修改为“ATAPI CD-ROM Drive（光驱引导）”或“Floppy Devices（软驱引导）”。

  使用Fdisk命令进行分区
  用光盘或软盘引导系统后，进入DOS状态，运行“Fdisk”命令，屏幕会出现一大段英文提示信息，最后一行“Do you wish to enable large disksupport (y/n)?”询问用户是否希望使用大硬盘模式，在此需要键入“Y”，否则就无法创建超过2GB容量的硬盘分区。运行Fdisk后，系统会询问是否希望使用大硬盘模式，这时一定要选择“Y”，否则将无法创建超过2GB的硬盘。

  创建主DOS分区
  接下来，进入Fdisk主界面，这里有四个选项，具体含义如下：
  Create DOS partition or logical DOS drive：创建DOS分区和逻辑驱动器
  Set active partition：设置活动分区
  Delete partition or logical DOS drive：删除分区或逻辑驱动器
  Display partition information：显示分区信息

  在Fdisk中创建DOS分区。如果是一个全新的无分区的硬盘，选择“1”后按下回车键，会看到一个新的窗口，选择“1. Create Primary DOS partition”，创建主DOS分区，Fdisk程序会询问“Do you wish to use the Maximum available size for a Primary DOS Partition (Y/N)”，缺省选择是“Y”，这样就会将全部硬盘空间都创建为一个分区，建议选择“N”以创建多个分区，否则对磁盘管理不利，也容易造成硬盘空间的浪费。在创建主DOS分区之前，系统会询问您是否要将所有磁盘空间创建为一个分区。已经分好的主DOS分区，占用了21%的硬盘空间。
  接下来会有一个短暂的磁盘校验过程，然后您需要在接下来出现的窗口中，设置分配给主DOS分区的硬盘空间，单位是MB，请根据实际需要键入相应数据或者硬盘容量百分比后回车。创建完毕后，按Esc键返回主菜单。

  创建扩展DOS分区
  再次进入“创建DOS分区和逻辑驱动器”窗口，选择“2. Create Extended DOS Partition”，开始创建扩展DOS分区，程序会先告诉您当前硬盘中可建立扩展DOS分区的最大空间，直接回车即可。创建扩展DOS分区，不必更改系统默认设置，直接按回车即可。

  创建逻辑分区
  当扩展DOS分区创建结束后，程序会提醒您当前还不存在逻辑分区，按Esc键可以自动进入逻辑分区创建界面，缺省设置是将当前全部空间创建为一个逻辑分区，建议不要使用缺省设置，以便多建立几个逻辑分区，方便硬盘数据管理。创建逻辑DOS分区，您可以按照需要输入相应的数值。

  查看以及删除分区
  在Fdisk的主窗口中选择“4. Display Partition Information”，即可查看分区信息。如果不满意分区容量配置，我们还可以选择“3 Delete partition or logical DOS drive”来删除分区。删除硬盘分区的顺序同分区时的操作相反，首先删除逻辑分区，之后删除扩展分区，最后才能删除主DOS分区。

  设置活动分区
  在Fdisk主界面选择“2. Set Active Partition”设置活动分区，然后键入“1”（即C分区）以激活主分区。激活的意思是将该硬盘的主DOS分区设置为可引导分区，如不激活，则启动时会提示错误。
  现在，新硬盘的分区工作就已经全部结束了，接下来我们需要退出Fdisk程序并重新启动系统，然后用format命令进行高级格式化。

  高级分区技巧
  在讲解高级分区技巧之前，我们有必要先来了解一下簇的概念。

  文件系统是操作系统的重要组成，现在我们常用的Windows操作系统都可以支持多种文件系统，例如FAT16、FAT32以及NTFS文件系统等。文件系统是操作系统与驱动器之间的一个接口，当操作系统请求从硬盘里读取一个文件时，会请求相应的文件系统（FAT16、FAT32、NTFS）打开文件，而簇的概念也在此时出现。虽然我们知道扇区是磁盘最小的物理存储单元，但对于DOS操作系统来说，扇区要小得多（仅仅512个字节），DOS无法对数目众多的扇区进行寻址。根据DOS的设计初衷，DOS只能处理216个磁盘单元，而磁盘单元可以是扇区，也可以是由扇区集合所构成的簇。所以当使用FAT16格式时，扇区必须组成“簇”的形式，每个簇可以包括2、4、8、16、32或者是64个扇区。簇是操作系统所使用的逻辑概念，而非磁盘的物理特性。簇的大小直接影响硬盘分区表的大小，虽然簇变大之后能够管理更多磁盘空间，并且能加快读写速度，提高数据寻道时间，但由于分区表体积的增大以及簇容量的变大，也会导致磁盘空间的浪费。
    举例来说明，一个只有一字节的文件，在一个每簇为2KB的分区上，要占用2K字节磁盘空间；如果在每簇为16KB的分区上，则这一个字节的文件要占用16KB空间。从文件末尾到该文件簇末尾的空间称为簇悬置空间，积累的簇悬置空间越大，磁盘浪费的空间也越大。

  这时，我们就需要找到一个即能考虑性能也能兼顾容量的分区方法。通常这样的方法被称为按簇分区，而要想如此操作则需要第三方分区软件的支持，比如PQmagic（分区魔术师），就是最常见的一款。

  从PQmagic的分析图中我们不难看出，对于一个装有数据的分区来说，过大的簇会造成磁盘空间的浪费。

  通常情况下，对于8GB以下的分区容量，把簇的大小设置为8KB即可获得性能与容量的平衡。如果想要最大限度地利用硬盘空间，就需要按照使用用途来进行按簇分区。例如，如果分区为8G，并且分区为引导分区，那么把簇设置成8KB将比把簇设置成16KB更能节约磁盘空间。因为引导分区经常需要进行数据读写，而这些数据通常都非常多而小，使用大的簇将非常浪费磁盘空间，并且也不利于数据的寻址。但如果这个分区是逻辑分区，并且只存储一些大容量的视频文件，就没有必要把簇的值设定得太低，这样反而不利于读写。我们不难看出，过大的簇会造成磁盘空间的浪费。

  另外，也不能把容量非常大的分区的簇设定得太小，这样不仅影响读写速度，并且还容易产生文件碎片。

  硬盘的日常维护与整理
  我们在日常使用电脑的过程中，经常会删除、拷贝大量的文件，这会导致我们的硬盘产生大量碎片，一个个完整的文件就“四分五裂”地保存在磁盘中的各个角落，影响了电脑查找与执行文件的速度。因此，我们有必要定期进行磁盘整理。

  首先，我们可以通过Windows自带的磁盘碎片整理程序来完成这项工作，把文件连续排列，这样能大大提高磁盘读写速度。Windows自带的磁盘碎片整理程序包括两部分功能，一是碎片整理，二是启动项目优化。虽然这两个功能非常实用，但由于整理的时间太过漫长，并且经常对硬盘进行长时间磁盘整理会减少硬盘寿命，所以我们建议使用专用的磁盘整理软件，在此推荐VoptXP和Norton磁盘工具中的Speed Disk这两款软件。
磁盘整理软件VoptXP

  启动该软件，出现其主界面。软件默认从C盘开始整理，如果您需要整理其他硬盘，也可以在此按下下三角形的按钮，选择其他盘符。通过分析，我们看出，磁盘上有很多碎片，这无疑会影响磁盘的运行速度。

  在“Tools”菜单中选择“Error checking”，调用Windows自带的磁盘纠错程序检测磁盘，这样可以避免硬盘存在目录结构错误，影响磁盘整理的速度和效果。检查完错误之后，我们就可以进行磁盘碎片的整理了。

  点击窗口中的，开始整理磁盘，这一过程通常耗时较长，请耐心等候。整理完毕后，我们看到，文件的排列更加连续，中间没有碎片。现在，硬盘的读写速度会相应提升。整理之后，磁盘的碎片明显减少。

  Norton磁盘工具Speed Disk
  Norton Systemwoks 2003中提供了Speed Disk这个整理磁盘碎片的软件，它能够将磁盘按照不同的文件类型进行重新排列，被系统经常读取的文件会放在硬盘的最外圈磁道上，来提高硬盘对它们的读取速度。Norton Systemwork2003种提供的Speed Disk，可以对磁盘碎片进行非常有效的整理。

  在Norton磁盘工具中选择SpeedDisk项目。在该软件的主界面中，左侧为四个主功能按钮。它们依次是硬盘优化图表、硬盘分区分析、硬盘分区选项和定时设置。在进行优化之前，我们可以先选择第二项来分析一下硬盘上的数据内容，查看是否硬盘碎片过多需要整理。在点击“Start Analyzing”以后，硬盘开始分析所选分区中数据的类型，随后得出结论。我们看到，碎片文件占整个分区数据总量的8.4%，一般来说，小于10%的碎片都不必进行整理。对磁盘进行分析，发现碎片文件只占整个分区数据总量的8.4%。
  如果用户要进行磁盘碎片的整理，那么再按下“Optimization Map”里的“Start Optimazing”按钮就可以开始了。这是个非常耗费时间的过程，不过比起Windows自带的磁盘碎片整理程序来说要快不少。程序默认整理的是C盘，如果用户还要对其他分区进行碎片整理，继续选择其他分区再依次重复上面的各个步骤就可以了。经过整理之后，磁盘碎片明显减少，而且文件的排列也更加紧密。

  硬盘数据的拯救
  使用计算机很多年，难免磕磕碰碰，造成了一些安全隐患，系统文件丢失，或者数据损坏，都可能是磁盘坏道造成的。硬盘坏道包括软坏道与硬坏道，前者可以通过特定软件来进行修复，并可以继续使用，而后者则是真正物理意义上的损坏，轻则损失一定的磁盘空间，重则硬盘无药可救，彻底报废。

  修复硬盘的软/硬坏道
  修复软坏道的方法很简单，Windows自带的磁盘修复工具或者高级格式化就能够很好处理这类问题。而对于硬坏道，我们可以使用LF等软件，通过对硬盘进行低级格式化的方法试图修复。

  运行LF，选择驱动器ID，对硬盘进行低级格式化。所谓低级格式化，就是将空白的磁盘划分出柱面和磁道，再将磁道划分为若干个扇区，每个扇区又划分出标识部分ID、间隔区GAP和数据区DATA等。低级格式化只能在DOS环境下完成，而且只能针对一块硬盘而不能支持单独的某一个分区。低级格式化是一种对硬盘的损耗性操作，对硬盘寿命有一定的负面影响。因此，许多硬盘厂商均建议用户不到万不得已，不要使用低级格式化来格式硬盘。有些坏磁道和坏扇区能够通过低级格式化来修复，但对于真正的硬盘磁盘表面物理划伤则无法进行修复，这只有通过普通的format高级格式化来标出坏扇区的位置，以便让操作系统不去使用。物理坏道可能会随磁头的读写而渐渐扩大，导致坏道越来越多，最后达到无法使用的情况，因此建议硬盘在出现了坏道以后要及时备份硬盘上的重要数据。

  在DOS下运行LF，可以对磁盘进行低级格式化，修复磁盘的软坏道。具有图形化界面的Lformat，也可以对磁盘进行低级格式化。

  零磁道的修复
  硬盘的主引导记录区(MBR)在零磁道上，位于硬盘的0磁道0柱面1扇区，其中存放着硬盘主引导程序和硬盘分区表。在总共512字节的硬盘主引导记录扇区中，446字节属于硬盘主引导程序，64字节属于硬盘分区表(DPT)，两个字节(55 AA)属于分区结束标志。零磁道一旦受损，将使硬盘的主引导程序和分区表信息遭到严重破坏，从而导致硬盘无法引导。
通常的维修方法是通过Pctools9.0(或者其他类似的可以对磁盘扇区进行编辑的工具)的DE(磁盘编辑器)来修复，其原理是使零磁道偏转一个磁道，占用1磁道。

  用Windows 9x启动盘启动，运行PcTools目录下的de.exe，先进入“Options”菜单，选择“Configuration”(配置)命令，去掉Read Only(只读)前的勾，然后保存退出。
接着选择主菜单“Select”(选择)中的Drive(驱动器)，进去后在“Drive type”(驱动器类型)项中选择Physical(物理的)，再切换到“Drives”项，选中“Hard disk”(硬盘)，最后选择“OK”并回车。

  之后，回到主菜单中，打开“Select”菜单，这时会出现Partition Table(分区表)，选中并进入，出现硬盘分区表信息。如果硬盘有两个分区，1分区就是C盘，该分区是从硬盘的0柱面开始的。那么，将1分区的Beginning Cylinder(起始柱面)的0改成1就可以了。保存后退出。
  重新启动，进入CMOS设置，选择“IDE AUTO DETECT”，可以看到CYLS（磁道）数比原来减少了1，保存设置并退出。重新分区、格式化，即可救活硬盘。
  需要注意的是，DE工具仅对FAT16格式的硬盘有效，对于FAT32分区的硬盘则需要先通过分区大师等磁盘工具，将其转换为FAT16格式，然后再对其进行修改。

  修复损坏的分区表
  硬盘分区之后，为了安全起见，最好将分区表进行备份，以便一旦分区表被损坏，可以很方便地进行恢复。这方面，国内著名的杀毒软件KV3000和瑞星系列都提供了完整的解决方案。而对于没有备份分区表的硬盘，虽然KV3000也提供了相应的修复方法，不过成功率相对较低。
  大名鼎鼎的诺顿磁盘医生（NDD），是一款用来修复硬盘分区表的非常有效的工具，可以自动修复分区丢失等情况。当硬盘崩溃以后，用含有DOS系统的软盘引导系统，然后运行NDD，选择“Diagnose”进行诊断。NDD会对硬盘进行全面扫描，如果有错误，它会提示。您只要根据这些提示选择修复，就可以非常轻松地解决这些问题。在Windows 9x下，还有NDD32，它的图形化界面会让您事半功倍。

  功能强大的EasyRecovery，可以最大限度地恢复删除的硬盘数据。
  另外，中文磁盘工具DiskMan在这方面也是行家里手。重建分区表作为它的一个非常实用的功能，非常适合用来修复损坏的分区表。
  对于硬盘分区表被破坏的系统，使用DiskMan可通过未被破坏的分区引导记录信息重新建立分区表。在菜单的工具栏中选择“重建分区表”，DiskMan即开始搜索并重建分区。
  DiskMan将首先搜索0柱面0磁头从2扇区开始的隐含扇区，寻找被挪动过的分区表，然后搜索每个磁头的第一个扇区。搜索过程分为“自动”和“交互”两种方式。自动方式保留发现的每一个分区，适用于大多数情况。交互方式对发现的每一个分区都给出提示，由用户选择是否保留。当自动方式重建的分区表不正确时，可以采用交互方式重新搜索。不过，重建分区表功能不能做到百分之百地修复成功。

  硬盘数据的硬件保护
  说到硬件保护，自然要先提到硬盘保护卡。硬盘保护卡又称为硬盘还原卡，是彻底解决计算机数据保护问题的最佳方案。它从硬件的层面上对硬盘中的数据进行保护和恢复，可以瞬间恢复各种有意或无意导致的数据丢失。硬盘保护卡利用硬盘介质的冗余性（即每块硬盘都不能用尽所有的硬盘空间），使每块硬盘中的所有自由空间都自动成为自己的缓冲区，因此不必占用固定的硬盘空间。而且，使用硬盘保护卡后，在大多数情况下，即使用户对硬盘执行了Fdisk和format命令，或者其他软件层面的破坏，甚至包括病毒对硬盘数据的破坏，只要重新启动并按下特定的热键，短短几秒钟内硬盘数据就会恢复到最近一次存档时的状态，其速度是所有软件恢复方法都无法与之比拟的。再有，硬盘还原卡的安装使用极其简单，高度智能化，甚至连安装软盘都可以不要，真正的即插即用。安装后，所有的用户界面和操作与安装前毫无二致，用户根本不会感觉到还原卡的存在。
  硬盘还原卡不仅可以保护硬盘数据免遭各种破坏，而且也可以保护CMOS参数和主板BIOS数据免遭各种病毒的恶意破坏，即使是大名鼎鼎的CIH病毒对之也无可奈何，真正实现了对

  电脑数据的全方位保护。
  常见的硬盘保护卡有三茗的电脑卫士，以及看门狗智能型系统复原卡等。
  通过主板来实现对硬盘数据的保护
  现在，很多主板都提供了对硬盘数据的保护功能，例如捷波的“数据恢复精灵”和联想QDI的“宙斯盾保护系统”。
  宙斯盾（RecoveryEasy）是联想QDI主板的硬盘数据保护技术。使用该技术的主板可以备份、保护并且立即恢复硬盘资料，防止重要资料丢失。此外，宙斯盾还能保护和恢复CMOS中的数据。因为宙斯盾是建在BIOS中的，只要计算机进入BIOS启动后，就可以立即进入宙斯盾界面，极为简单、易用。

  硬盘数据的恢复
  我们知道，当您执行了删除命令后，计算机只是将该文件目录项第0个字节改为E5，并将文件所占簇号在文件分区表中的登记项清零，表示释放空间。格式化时，计算机也只是将根目录区清零。这意味着删除与格式化操作只是在文件名或根目录区上做了一些手脚，文件数据本身丝毫未动，这样，就给文件恢复提供了可能。利用一些反删除软件，可以轻松地恢复删除的数据。只要没有用Fdisk命令打乱分区，要恢复的文件所占用的簇不被其他文件占用，大部分数据都是可以被恢复的。

  如果您的Windows系统可正常使用，最简单的恢复方法就是用Windows版EasyRecovery，它恢复硬盘数据的功能十分强大，不仅能恢复从回收站清除的文件，而且还能恢复被格式化的FAT16、FAT32或NTFS分区中的文件。
  该软件的使用方法十分简单，运行EasyRecovery，出现主界面。它的左侧包括4个功能按钮以及两个软件支持按钮。点击“数据恢复”按钮，我们可以看出EasyRecovery Professional提供了多种数据恢复选项。其中包括：使用高级选项自定义数据恢复功能、查找并恢复已删除文件、从一个已格式化的卷中恢复文件、不依赖任何文件系统结构信息进行恢复等。此软件还可以保存恢复数据进度以及创建可引导的紧急引导软盘。

  EasyRecovery提供了多达6种数据修复模式，从各种途径恢复丢失的硬盘数据。对磁盘进行扫描，以找出丢失的数据。选择要恢复的文件，然后点击“应用”，就可以开始恢复了。

  安装了Norton UnErase Wizard之后，回收站上会出现一个蓝色的盾形图标，表示文件已经被保护。现在我们选择“使用高级选项自定义数据恢复功能”来进行数据恢复操作，经过扫描系统，会显示磁盘驱动器信息。我们在这里选择恢复资料的硬盘分区为C盘，此时EasyRecovery Professional将自动扫描分区，之后会把所有详细文件信息显示出来，其中包括目前还存在的和已经被删除的文件。之后，选择我们想要恢复的文件，然后点击“应用”就可以开始恢复了。除了EasyRecover外，这种软件还有很多，如Revival、Recover等，它们在关键的时候均可用来救急。

  如果用户在丢失资料之前已经安装过Norton Utilities或者Norton UnErase Wizard的话，资料的恢复将易如翻掌。安装完Norton UnErase Wizard之后，回收站上会出现一个蓝色盾牌图标。此时，如果我们删除了一个文本文件并且清空了回收站，使用Norton UnErase Wizard就可以轻松地恢复该文件。双击回收站图标，对已经删除的文件进行搜索，从列表中可以看到已经删除了的文件，选择该文件后点击Recover就可以恢复了。安装完Norton UnErase Wizard后，回收站上会出现一个蓝色盾牌图标。

  Norton Utilities提供了强大的磁盘文件修复功能。Norton Utilities中提供的三种不同的文件恢复模式。或者，我们也可打开Norton Utilities主界面的Find and Fix Problems中的UnErase Wizard选项，这里提供了三种不同的恢复方法。分别为寻找已删除文件、在特定分区中寻找所有被保护文件以及通过文件打开类型查找要恢复的文件。通过文件类型恢复被删除的文件。

  一般情况下，所丢失的大部分文件都可以通过上面的方法恢复。但有时您会发现，使用上面介绍的工具仍然不能找到丢失的文件，这是什么原因呢？前文已经说过，磁盘空间是以簇为单位进行分配的。磁盘簇是文件系统进行分配、释放、读出的最小空间单位，即使只有一个字节的文件也要占用整整一个簇的磁盘存储空间。当我们把文件写人磁盘时，文件即在磁盘上占用一定数量的簇，从磁盘上把文件删除后，磁盘就释放出一定数量的簇。这时若进行恢复删除的操作，则文件被恢复的可能性最大。如果在删除文件之后又对磁盘进行了写操作，那么新文件有可能会覆盖被删除文件原先所占据的簇，则该文件就不能成功地被恢复了。

  降低硬盘噪音
  很多硬盘厂家都提供了一些高级硬盘应用软件和工具，使专业用户可以更好地发挥硬盘的效能，比如迈拓的Maxtor Silent Store技术就是其中之一。通过这个技术我们可以调节硬盘寻道的声音，以降低硬盘工作时产生的噪音。

  基于该技术的软件叫做Maxtor Acoustic Management，可以让您控制迈拓硬盘工作时的音量级。它按控制程度分为Quiet和Fast两个级别。如果您选择了Quiet，那么磁盘将进入安静寻道模式，此时噪声明显减小，磁盘性能也大幅度下降；如果您选择了Fast，那么磁盘将进入快速寻道模式，此时磁盘性能下降幅度相对较小，但噪音减低的程度也不如前者那么明显。Acoustic Management的主执行文件是amset.exe，它拥有四个命令参数：
  amset.exe /quiet切入Quiet模式；
  amset.exe /fast切入Fast模式；
  amset.exe /off关闭降噪功能，此时硬盘性能最高但噪音最大；
  amset.exe /check可以查看当前硬盘降噪功能的运作状态。

  最后需要说明的是，您必须是DiamondMax Plus 40、DiamondMax 60、DiamondMax VL 30、DiamondMax Plus 40、D540X、D740X这几个系列的用户才能使用这些功能。利用Maxtor Silent Store技术降低硬盘噪音。

tqtvfhpgu

二十六、硬盘引导故障怎么处理？

　　有些朋友说，最怕的就是硬盘引导时有故障，面对一个黑乎乎的屏幕，不知道该如何处理。不用怕，看看下面的分析情况，也许你会发现处理问题的窍门哦。 高兴提示:在这几篇故障分析及处理的文章中，数硬盘引导故障最为棘手，也需要操作者具有一定的计算机知识和经验，如果你是一个计算机新手，高兴建议你先根据其他文章尝试修复一些简单的故障，以此来建立你的自信心，同时也积累实战经验，最后再学习如何修复硬盘引导故障。硬盘引导时的故障一般有如下几种情况:电脑黑屏;电脑自检完毕后不引导操作系统，报告无效的磁盘或者没有找到操作系统。

　 电脑黑屏
　 分析:黑屏故障可分为主机原因引起的黑屏和显示器自身故障引起的黑屏两类，而主机引起的故障又分为系统启动时的黑屏故障和系统运行中的黑屏故障两类，总体说来黑屏故障的原因比较复杂。

　　解决方法:
  读者请看2001年第24期步步高栏目的《被“黑”了，怎么办？》一文，此篇文章分析原因透彻，解决方案也非常详细清晰。

　　电脑自检完毕后不引导操作系统
　 分析:出现这种现象有几个可能:系统被病毒感染或者病毒发作破坏了启动数据;没有设置正确的活动分区;引导记录被破坏。

　　解决方法:
　　1.查看是否被病毒感染:首先用干净的启动盘启动系统（启动盘的制作可参看前文），检查硬盘是否感染了病毒，并清除病毒，一般情况下即可修复故障。

　　2.检查磁盘是否出错:将根据前文所制作的救命软盘放入软驱，运行SCANDISK程序扫描磁盘并自动修正错误，可以使用下面的命令:SCANDISK /ALL /AUTOFIX。（请注意:不要用Windows 98/Me带的SCANDISK扫描Windows NT/2000/XP所在的分区）

　　3.查看活动分区的设立是否有误，运行FDISK，查看是否设置了正确的启动分区标志。（请读者参看2001年第12期的步步高栏目第58页的文章）　 　

  4.将根据前文所备份的引导记录恢复。

　　计算机找不到硬盘
　　分析:计算机从硬盘引导前，必须要找到硬盘，如果硬盘出现了问题，则硬盘不能响应系统的请求。

　　解决方法:硬盘出现问题可分为两种:
  一是硬盘不工作了，则你需要考虑是否为电源线松动或者硬盘损坏等原因。
  二是硬盘在工作，则要检查数据线连接和计算机设置中的错误配置等原因。读者可参看2001年第19期杂志步步高栏目《拯救硬盘数据灌水》一文。系统在出现Starting Windows信息前出现错误信息

　　分析:
  一般情况下是系统找不到重要的引导文件，或者这个文件已经被破坏。

　　解决方法:
  记下启动时报告丢失的文件名，以Windows 98为例，我们经常会看到提示Himem.sys无法找到，随后就停止启动。先根据提示记录文件的位置，然后找到另一台与自己计算机运行相同版本的Windows的计算机，获取到一份新的Himen.sys文件，将它复制到指定位置。也可以从安装光盘中直接获得文件，方法是:使用命令D:\WIN98\extract D:\win98\base5.cab Himem.sys/I C:\Windows。

tqtvfhpgu

二十七、硬盘引导型故障分析及排除

  硬盘引导型故障一般在启动机器时出现，这种故障有可能是系统本身的原因造成的，也可能是由病毒引起的。由病毒引起的故障通过查杀毒就能解决，因此下面就分析病毒以外的故障，供大家参考：

  1、HDD controller failure(硬盘驱动器控制失败)
  这是启动机器时，由POST程序向驱动器发出寻道命令后，驱动器在规定时间内没有完成操作而产生的超时错误。出现这种错误，有可能你的硬盘已经损坏了。

  2、C:drive failure(硬盘C驱动失败)
  RUN SETUP UTTLITY(运行设置功能) Press to Resume(按键重新开始) 这种故障一般是因为硬盘的类型设置参数与格式化时所用的参数不符。由于IDE硬盘的设置参数是逻辑参数，所以这种情况多数由软盘启动后，C盘也能够正常读写，只是不能启动。

  3、Invalid Drive Specification(无效的驱动器号)
  如果一个分区或逻辑驱动器在分区表里的相应表项已不存在，那么对于操作系统来说，该分区或逻辑驱动器也就不存在了，因此这种故障问题一般出在分区表。修复这类故障，最简单的方法是事先做好分区表的备份，比如Pctools9.0、Kv3000等都有这项功能。

  4、Error Loading Operation System(调进操作系统错误)
  这类故障是在读取分区引导区（BOOT区）出错时提示的。

  其原因可能有以下几种：
  一是分区表指示的分区起始物理地址不正确。比如由于误操作而把分区表项的起始扇区号（在第三字节）由1改为0，因而INT 13H读盘失败后，即报此错；

  二是分区引导扇区所在磁道的磁道标志和扇区ID损坏，找不到指定扇区；

  三是驱动器读电路故障。

  5、硬盘不能引导系统
  如有软驱，则由A驱引导，显示：
  DRIVE NOT READY ERROR(设备未准备好)
  Insert Boot Diskette in A：(插入引导盘到A驱)
  Press any key when ready(准备好后按任意键)

  这是由于由硬盘引导系统，就要通过BIOS中INT 19H固定读取硬盘0面0道1扇区，寻找主引导程序和分区表。

  INT 19H读取主引导扇区的失败原因有：
  第一，硬盘读电路故障，使读操作失败，属硬件故障；

  第二，0面0道磁道格式和扇区ID逻辑或物理损坏，找不到指定的扇区；

  第三，读盘没有出错，但读出的MBR尾标不为"55AA"，系统认为MBR不正确，这是软故障。

  6、Non－System Disk or Disk Error Replace And Press any key when ready(非系统盘或磁盘错误，重新换盘后按任意键)

  DOS BOOT区中的引导程序执行后发现错误，报此信息。

  其可能的原因有：
  硬盘根目录区第一扇区地址出界(在540M之后)、读盘出错。这类故障大多为软件故障，如果BPB表损坏，即用软盘启动后，硬盘不能正常读写，可以用NDD修复；如果BPB表完好，只需简单的SYS C：传送系统就可引导。

  7、NO ROM BASIC(没有固化BASIC) SYSTEM HALT(系统停机)

  这种错误在486及以前的机器上常常出现，是相当古老的机器才会出现的提示。主引导程序的作用，就是在分区表的四个表项中找出一个激活分区(可自举分区)。如果四个表项中没有一个是激活分区，系统就不知从何处引导操作系统，只能执行INT188H，调用固化BASIC程序，如果没有固化BASIC，就会引起死机。所以最简单的修复方法，就是用FDISK在硬盘上设置一个活动分区。

  8、显示出"Starting Windows…"，然后死机

  一般来说，这是由于CONFIG.SYS和AUTOEXC.BAT中的可执行文件本身已经损坏，使得系统在执行到此文件时死机。这个故障非常简单，但因为没有什么故障信息，一般人很容易出现误判。当出现这种现象，并且确信系统文件是完好的，就可以取掉这两个文件，或者在屏幕上出现以上信息时，快速按下F8键，然后选择单步执行，找出已经损坏的文件。

  9、Invalid Partition table(无效的分区表)

  在找到激活分区后，主引导程序还将判断余下的三个表项的"分区引导标志"字节（首字节）是否均为0，即确认是否只有唯一的激活分区，如果有一个不为0，系统就报错并死机。

  10、Invalid Media Type Reading Drive X（X驱动器介质类型无效）

  Abort, Retry,Fail? 这条信息是针对DOS BOOT区中无效的BPB表而提示的。BPB表是DOS读写硬盘所用的逻辑地址换算成物理地址的桥梁，BPB表损坏，会使DOS对磁盘的操作无从谈起。

  11、HDC controller fail（硬盘控制器控制失败）

  这类故障是硬件故障，POST程序向控制器发出复位命令后，在规定的时间内没有得到控制器的中断响应，可能是控制器损坏或电缆没接好，另外，控制器控制失败与硬盘参数设置是否正确也有关。
二十八、用DEBUG修复硬盘不启动故障

　　前几天一个朋友拿来一块硬盘，告诉我说这块硬盘突然不能启动了，让我帮忙检查一下，我拿过硬盘看了一下，是一块昆腾15G的硬盘，用了还不到一年（因为不是在本地买的，要找到经销商很麻烦），把坏硬盘接到我的电脑上，在BIOS中可以检测到这块硬盘，但是启动到“Verifying DMI Data"时，硬盘灯长亮，系统却不动了。拔下原先电脑上的硬盘，把这块坏硬盘单独接到主盘上，用软盘启动，仍然是启动到“Verifying DMI Data"时就没有了响应，看来问题并不简单。

　　由于这块硬盘在出问题之前一直工作都很正常，从未发现过任何坏道，而且朋友用电脑一向很小心，也没有让硬盘受过什么碰撞，看来应该不是硬故障，估计是因为使用不当所造成的死锁，一般进行低格就可以解决问题了。但是现在也有一个问题，就是只要把这块坏硬盘接到电脑上，无论是接到主盘还是从盘上，那么不管是从硬盘还是从软件盘，都无法启动系统，这样所有的低格软件都无法使用了。尽管也可以先启动系统后再接上坏硬盘，但是这样热拔插有可能会造成硬盘或其它设备的损坏，还是不用为好。看来只能找一块主板BIOS中带有低格功能的电脑来对它进行低格了，而手边一时又找不到这样的电脑，我一下子陷入了困境。

　　正在我在这此烦恼时，我突然想到了几年前的KV300逻辑锁事件，当年KV300逻辑锁也是这样对硬盘进行了死锁，后来有人想出了对硬盘的主引导扇区清零的方法来恢复对硬盘的引导，故障的现象也和这块硬盘一模一样，幸好我还记得这种方法，为什么不用这种方法来试一下呢？

　 于是取下了那块坏硬盘，把我原先用的硬盘接了上去，重新开机后，启动到DOS实模式下，然后执行DEBUG命令 C:\windows\command\DEBUG（可能有些朋友对它不很熟悉，想当年我在上大学时它可是计算机专业的必修课），此时在软驱中插入一张空白的软盘，然后在DEBUG的软件环境中键入以下字符： -A 0100 XXXX:0100 XOR AX,AX XXXX:0102 PUSH AX XXXX:0103 POP DS XXXX:0104 PUSH AX XXXX:0105 POP ES XXXX:0106 MOV CX,100 XXXX:0109 MOV BX,7C00 XXXX:010C MOV WORD PTR [BX],00 XXXX:0110 INC BX XXXX:0111 INC BX XXXX:0112 LOOP 10C XXXX:0114 MOV AX,0301 XXXX:0117 MOV CX,0001 XXXX:011A MOV DX,80 XXXX:011D MOV BX,7C00 XXXX:0120 INT 13 XXXX:0122 JMP FFFF:0000 XXXX:0127 -W 100 0 0 1 -Q 　　此时,系统会在这张空白软盘上写入一段特殊的引导信息,这样这张特殊的引导盘就做好了。

　　最后关闭电脑，换上那块坏硬盘，并把它接到主盘上，重新在BIOS中设置硬盘的所有参数，并把系统设为从A盘启动，然后重新启动电脑，并把那张特殊的引导盘插入软驱，大约10秒钟后，电脑自动的重新启动，此时我将那张特殊的引导盘取出，插入WIN98的启动盘，1分钟后，系统顺利的启动了，熟悉的DOS提示符又出现在眼前，然后重新对硬盘分区，重装WIN98，至此硬盘的故障全部排除。

tqtvfhpgu

二十九、操作系统启动及关机故障

  一步步排除不能进入系统故障
  操作系统启动步骤
  1、贮存在ROM内读存储器中的Bootstrap Loader程序和自诊断程序移动到RAM随机存储器中
  2、随着Bootstrap Loader的运行储存在辅助记忆装置中的操作系统将系统文件送到 RAM中 24
  3、执行系统文件Io.sys和Msdos.sys这时画面上出现Starting Windows 98…… 的信息
  4、若有Config.sys则执行它
  5、执行系统文件的Command.com文件
  6、若有Autoexec.bat则执行它
  7、读取Windows的初始化文件System.ini和Win.ini 再读取注册表文件
  8、启动结束出现初始画面运行操作系统因此如果是系统不能加载，请按以下步骤来分析排除故障。

  一、进入安全模式
  开机时，按下F8键或是Ctrl键，进入开机选单，选择Safe mode进入Windows 安全模式。只要能顺利进入，不需要做任何设置，再次重启电脑。一般都能顺利进入正常模式。
  如果不能进入安全模式，就要重新安装系统了。至于具体安装方法将在后面的文章中为你作具体地介绍。
  如果能进入安全模式，而不能在正常模式下启动。请进行下一步工作   

  二、Step-by-step检错,在开机选单中，选择Step-by-step confirmation来启动系统。可以逐步检查系统启动中的问题。

  这里又可以分为以下几步：
  第一步检查注册表
  首先将出现Process the system registry 询问选项，选择Y载入注册表如果这时候电脑没有