这样做的好处是个人信息不会由于操作失误而丢失，同时也可以在重转系统后迅速恢复到以前的文件布局。建议采用MS建议的文件存放方式放置相关的文件。这个功能在Vista的时候我就喜欢，省去了修改注册表的麻烦过程，XP修改注册表的方法不推荐。

取得关键文件夹管理员所有权限

个人建议将“Program Files”和"Program Files（X86）"两个文件夹事先取得管理员权限，这样以后修改删除方便，如果以后安装软件多了再来速度就很慢了，文件多了嘛。

操作中

【1】备份激活文件

\Windows\System32\spp\tokens\pkeyconfig\pkeyconfig.xrm-ms

\Windows\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\SoftwareProtectionPlatform\tokens.dat

激活方法：三、备份激活。

1、已经激活的系统，备份这两个文件，记好激活序列号（Appdata是隐藏的文件夹）

%systemroot%\System32\spp\tokens\pkeyconfig\pkeyconfig.xrm-ms

%systemroot%\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\SoftwareProtectionPlatform\tokens.dat

2、正常方法先重装系统，不要输入激活号，也不要联网

3、找到上面的两个文件，右键点属性——安全——高级——所有者，修改为administrator，关闭窗口，再重新选择 高级——权限，修改Amdinistator为完全控制，这样就可以删除了

把Software Licensing服务关掉，用备份的激活文件替换上面的两个文件(如不关掉服务，tokens.dat无法替换滴 ）

4、重启机器，输入激活号，过一会就活了，看一下计算机属性，如激活了，就可以联网了

如果莫名其妙的原因没激活，在第三步之后，可以试试下个方法

3-1.开启Software Licensing服务，在运行中输入 “SLMGR.VBS -ipk *****-*****-*****-*****-*****”

3-2.提示激活号已修改成功后，重启机器

5、查看下激活状态，运行 “slmgr.vbs -xpr”或“slmgr.vbs -dlv”

【2】更改计算机名

计算机>属性>改变设置>计算机名>更改

【3】桌面显示IE图标

开始菜单中找到IE，点右键->发送到->桌面快捷方式

【4】开启Aero效果

1安装显卡驱动

2开始>管理工具>服务器管理器>功能摘要>添加功能>桌面体验>安装>重启

3开始>管理工具>服务>Themes>自动

4个性化>主题>***

5个性化>Windows 颜色与外观>Windows Aero>更改透明度

【5】启动系统声音

开始>管理工具>服务>Windows audio/Windows audio endpoint builder>自动

【6】取消开机按 CTRL+ALT+DEL登陆

控制面板>管理工具>本地安全策略>本地策略>安全选项>交互式登陆：无须按CTRL+ALT+DEL>启用

【7】取消关机时出现的关机理由选择

开始>运行gpedit.msc>计算机配置>管理模板>系统>显示“关闭事件跟踪程序”>禁用。

【8】关闭休眠功能

桌面右键>个性化>屏幕保护程序>更改电源设置>更改计算机的睡眠时间>使计算机进入睡眠状态>从不。

【9】彻底删除休眠文件

系统盘右键>属性>常规>磁盘清理>勾选休眠文件清理器>确定

【10】性能外观调整/优化前台程序运行

计算机>属性>改变设置>高级>性能设置>视觉效果>调整为最佳外观>高级>程序>数据执行保护>仅为基本Windows程序和服务启用 DEP

【11】更改默认启动时间和系统版本（双系统时）

计算机>属性>改变设置>高级>启动和故障恢复设置

【12】关闭系统还原

开始>运行gpedit.msc>计算机配置>管理模板>系统>系统还原>关闭系统还原>启用

【13】更改密码使用期限

控制面板>管理工具>本地安全策略>账户策略>密码策略>密码最长使用期限>0=密码不过期

【14】更改密码复杂性要求

控制面板>管理工具>本地安全策略>账户策略>密码策略>密码必须符合复杂性要求>禁用

【15】取消IE增强的安全配置

开始>管理工具>服务器管理器>安全信息>配置IE ESC>全部禁用

【16】禁用错误报告

开始>管理工具>服务器管理器>资源和支持>打开Windows 错误报告>我不想参与

开始>管理工具>服务>Windows error reporting service>禁用

【17】取消空闲通信协议

开始>管理工具>服务器管理器>计算机信息>查看网络连接>本地连接属性>取消IPv6勾选

【18】打开显卡的硬件加速

桌面右键>个性化>显示设置>高级设置>疑难解答>更该设置>硬件加速>完全

【19】禁止自动安装模块服务

开始>管理工具>服务>Windows Module Installer>手动

【20】关闭UAC

控制面板>用户帐户>打开或关闭用户账户控制>取消使用用户账户控制（UAC）帮助保护您的计算机。

【21】退出系统时清除最近打开的文档的历史

开始>运行gpedit.msc>用户配置>管理模板>“开始”菜单和任务栏>退出系统时清除最近打开文档的历史>启用

【22】解决无法登陆部分linux文件服务器（主要是由于smb的版本太低造成的）

开始>运行secpol.msc>本地策略>安全选项>网络安全：LAN管理器身份验证级别>发送LM和NTLM-如果已协商，则。。。。

【23】打开搜索功能

开始>运行ServerManager.msc>角色>添加角色>选择文件服务>Windows search 服务(不要选Windows server 2003文件服务)......

【24】其它优化软件推荐

1.windows 优化大师

2.Windows 7优化大师（这不错，有很多很方便的注册表操作，当年Vista时就一直使用）

3.Windows Manager（老米出的，功能很强大，不过是E文的，专业术语不过关的不要尝试，小心选错）。

4.驱动精灵（下载驱动，不解释，对X64特有用）

5.Win7codecs + X64Components（讨厌暴风的丑陋界面，用上这个Windows media Player就是无敌播放器）

【25】登陆界面模拟Win7

先下载它->(
Server 2008 R2登陆界面修改
),然后对应替换

【26】修改登录界面背景

下载它->(
Win7 & R2登陆画面修改器
)

【27】主题破解

下载它->(

UniversalThemePatcher

)

【28】TCP/IP限制破解

下载它->(

UniversalTcpipPatch

)

【29】Aero鼠标指针

下载它们->(
Aero大
)(
Aero特大
)(
Aero 系统默认)

【29】去除右下角可能出现的讨厌水印

下载它->(

RemoveWatermark

)

【30】笔记本安装无线服务

开始>运行ServerManager.msc>功能>添加功能>无线LAN服务

友情提示，上面的文件全是RAR压缩的，下载下来名字不对的自己修改为RAR后缀再解压就OK了,若连接出现问题，请到我的Skydrive下载，我的Skydrive

更完美

(1).注册使用者和组织

点击“开始菜单”--“运行”，输入“winver”，你会看到2008R2默认的使用者是“Windows 用户”，组织名则为空，在Microsoft office和Microsoft visual studio等一些软件中，将以这个作为默认的文件创建者。

可以通过注册表更改

点击“开始菜单”--“运行”，输入“regedit”，打开“注册表编辑器”，展开注册表HKEY_LOCAL_MACHINE-> SOFTWARE -> Microsoft -> Windows NT -> CurrentVersion”

在右边找到“RegisteredOwner”这个键值，更改"Windows 用户"为你的用户名“***”。

在右边找到“RegisteredOrganization”这个键值，更改为你的组织名“***-PC”

(2)打开windows开机声音(不一定有效)

单击“开始菜单”--“运行”，输入“gpedit.msc”，打开“本地组策略编辑器”，展开“计算机配置-> 管理模板 -> 系统 -> 登录”

在右边找到“关闭windows启动声音”，选择“已禁用”，点击“确定”。

(3)系统声音设置

点击“开始菜单” -- “运行”，输入“mmsys.cpl”，打开“声音”，在列表中选择你的播放设备，右键“属性”，选择“高级”，去掉“给予独占模式应用程序优先”前面的钩，点击“确定”。

(4)防止爆破声音

如果系统反应被设置为100(2008R2默认)，意味着所有进程的优先级都高于多媒体，但是在windows7中默认为20.

具体做法是：点击“开始菜单”--“运行”，输入“regedit”，打开“注册表编辑器”，展开注册表

更改右边的键值 "SystemResponsiveness"=dword:00000014"

(5)移植Win7新声音方案到Server2008 R2

点这里下载
移植Win7新声音方案到Server2008R2.rar

解压之，将其覆盖C:\windows下的Media目录，运行其中的media.reg文件。桌面点右键->个性化->声音.ok

注：原先下载的请将将下面绿色部分复制保存为.reg,导入注册表解决不能随主题切换声音的问题。现在的包修改了这个问题

================从下面开始==========================

REGEDIT5

@="@mmres.dll,-800"

@="@mmres.dll,-801"

@="@mmres.dll,-810"

@="@mmres.dll,-811"

@="@mmres.dll,-812"

@="@mmres.dll,-813"

@="@mmres.dll,-814"

@="@mmres.dll,-815"

@="@mmres.dll,-816"

@="@mmres.dll,-817"

@="@mmres.dll,-818"

@="@mmres.dll,-819"

@="@mmres.dll,-820"

@="@mmres.dll,-821"

@="@mmres.dll,-822"

WScript.echo "您当前的Windows系统序列号为：" & GetWindowsSN

Function GetWindowsSN()
Const HKEY_LOCAL_MACHINE = &H80000002
strKeyPath = "SOFTWARE\Microsoft\Windows NT\CurrentVersion"
strValueName = "DigitalProductId"
strComputer = "."
Dim iValues()
Set oReg = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & strComputer & "\root\default:StdRegProv")
oReg.GetBinaryValue HKEY_LOCAL_MACHINE, strKeyPath, strValueName, iValues
Dim arrDPID
arrDPID = Array()
For i = 52 To 66
ReDim Preserve arrDPID( UBound(arrDPID) + 1 )
arrDPID( UBound(arrDPID) ) = iValues(i)
Next
' <--------------- Create an array to hold the valid characters for a microsoft Product Key -------------------------->
Dim arrChars
arrChars = Array("B", "C", "D", "F", "G", "H", "J", "K", "M", "P", "Q", "R", "T", "V", "W", "X", "Y", "2", "3", "4", "6", "7", "8", "9")
' <--------------- The clever bit !!! (Decrypt the base24 encoded binary data)-------------------------->
For i = 24 To 0 Step -1
k = 0
For j = 14 To 0 Step -1
k = k * 256 Xor arrDPID(j)
arrDPID(j) = Int(k / 24)
k = k Mod 24
Next
strProductKey = arrChars(k) & strProductKey
' <------- add the "-" between the groups of 5 Char -------->
If i Mod 5 = 0 And i <> 0 Then strProductKey = "-" & strProductKey
Next
GetWindowsSN = strProductKey
End Function

    开始休眠方法：手工键入如下命令：

  powercfg -hibernate on（关闭则为powercfg -hibernate off）

    命令执行之后立即就可以生效，无需要重新启动系统，再次执行“powercfg -a”命令，这里会提示当前系统已经支持休眠、混合睡眠。

  这时候点开win开始菜单可能只有一个睡眠按钮而没有休眠按钮，这是所谓的混合休眠……那怎么再把休眠按钮找出来呢……

    打开控制面板——电源选项——选择电源计划——平衡/节能/高性能——更改计划设置——更改高级电源设置——睡眠——允许混合睡眠——更改为“关闭”。保存退出。
    然后就可以看到多出了一个“休眠”按钮了。哈哈。

    因为原来启用了混合睡眠，所谓混合睡眠就是把待机和休眠合在了一起。如果你混合睡眠后电脑不断电，实质就是在待机；如果断电了，实质就是休眠。当你关闭混合睡眠后，那个睡眠按钮就是真正的待机，即仍然维持对内存供电；而连内存都断电的休眠模式就出来了。

　　获得超级管理员权限最简单的办法是，打开Win7旗舰版的控制面板，在“系统和安全-管理工具”目录下找到并打开“计算机管理”。

打开Win7旗舰版中的计算机管理工具

　　在“计算机管理”窗口左侧展开“本地用户和组”目录，点击“用户”文件夹，窗口右侧会列出当前系统中的所有账户。

Win7旗舰版用户列表

    在默认情况下，Administrator账户是处于禁用状态的，用鼠标右键点击“Administrator”账户，打开“属性”设置对话框，取消“账户已禁用”前的对勾，点击“确定”保存设置后，就可以将Administrator账户激活了。

激活Win7旗舰版中的Administrator账户

    Administrator账户激活后，只要注销当前的登录账户，并选择使用Administrator登录Win7旗舰版，就可以获得所有管理员权限了。如果以后只用Administrator登录Win7的话，建议大家再按照以上的方法将其它账户禁用。

　　在 Windows 7 中浏览图片或视频文件时，有时图标、缩略图会无法正常显示，通常这样的情况若不是中毒了，十之八九是相关缓存文件出了问题，下面是缓存异常时的截图：

图片文件 缩略图显示为视频格式

　　顺便提一下，您浏览文件时显示的缩略图，一般都存储在缓存文件夹中，以方便下次更快速地浏览，但有时缓存文件会崩溃，这时就需要重建缓存文件。

　　重建 Windows 7 缩略图缓存方法一：

　　1.在开始搜索栏中键入“磁盘清理”，然后按回车键打开磁盘清理工具。

　　2.选择系统盘盘符。（此处，以系统盘C为例）

　　3.现在您需要做的，仅仅是在“要删除的文件”一栏中，勾选“缩略图”项。然后，确认删除。

　　重建 Windows 7 缩略图缓存方法二：

　　1.在地址栏中输入如下地址，回车。

　　%USERPROFILE%\AppData\Local\Microsoft\Windows\Explorer

　　2.根据图标大小的不同，文件夹中分别存有下列四个.db 文件，请将它们全部删除即可。

　　thumbcache_32.db
　　thumbcache_96.db
　　thumbcache_256.db
　　thumbcache_1024.db

　　清除完这些图标缓存后，再打开文件，缩略图应该能恢复正常了。

第一步：----安装J2SDK:
　　到SUN官方站点(http://java.sun.com)下载J2SDK的安装文件：j2sdk-1_4_2_04-windows-i586-p.exe，下载之后安装好J2SDK；安装完之后，设置环境变量：我的电脑---属性---高级---环境变量；

　　选择---系统变量(S)：
　
　　设置JAVA_HOME环境变量：

　　单击---新建，在变量名中输入：JAVA_HOME

　　在变量值中输入：D:\Java

　　(假设J2SDK安装在目录D:\Java下，反正就是J2SDK的安装目录。)

　　然后---确定，到此已经设置好JAVA_HOME环境变量。

　　设置CLASSPATH环境变量：

　　单击---新建，在变量名中输入：CLASSPATH

　　在变量值中输入：D:\Java\bin;.;D:\Java\lib;D:\Java\lib\dt.jar;D:\Java\lib\tools.jar

　　(中间的点号“.”和分号“;”必不可少。)

　　然后---确定，到此已经设置好CLASSPATH环境变量。

　　设置PATH环境变量：

　　单击---新建，在变量名中输入：PATH

　　在变量值中输入：D:\Java;.;D:\Java\bin

　　(中间的点号“.”和分号“;”必不可少。)

　　然后---确定，到此已经设置好JAVA_HOME环境变量。

　　三个环境变量设置好后，写一个简单的java程序来测试J2SDK是否已安装成功：

　　在D:\下新建一个目录test；然后写如下程序：　
　 public　class　Test　{　
　　public　static　void　main(String　args[])　{　
　　　　System.out.println("This　is　a　test　program.");　
　　　}　
　　}

　　将上面的这段程序保存为文件名为Test.java的文件，保存在目录D:\test下。

　　然后打开命令提示符窗口，cd到你的test目录，然后键入下面的命令　　

　　　　javac　Test.java　
　　　　java　Test　

　　此时如果看到打印出来This　is　a　test　program.的话说明安装成功了，

　　如果没有打印出这句话，你需要仔细检查一下你的配置情况。　

　　如果上面的J2SDK安装成功的话，接下来继续安装Tomcat:

　　第二步：----安装Tomcat:

　　　到tomcat官方站点(http://www.apache.org/dist/jakarta/tomcat-4/)下载tomcat:

　　　jakarta-tomcat-4.1.30.exe，下载之后安装。(比如安装在D:\Tomcat下。)

　　　安装完之后，设置环境变量：我的电脑---属性---高级---环境变量；

　　　选择---系统变量(S)：

　　　设置CATALINA_HOME环境变量：

　　　单击---新建，在变量名中输入：CATALINA_HOME

　　　在变量值中输入：D:\Tomcat

　　　然后---确定，到此已经设置好CATALINA_HOME环境变量。

　　　设置CATALINA_BASE环境变量：

　　　单击---新建，在变量名中输入：CATALINA_BASE

　　　在变量值中输入：D:\Tomcat

　　　然后---确定，到此已经设置好CATALINA_BASE环境变量。

　　　然后修改环境变量中的CLASSPATH，把Tomat安装目录下的common\lib下的servlet.jar追加到CLASSPATH中去，

　　　修改后的CLASSPATH如下：　

CLASSPATH=D:\Java\bin;.;D:\Java\lib;D:\Java\lib\dt.jar;D:\Java\lib\tools.jar;
D:\Tomcat\common\lib\servlet.jar　

　　　接着可以启动tomcat，在IE中访问http://localhost:8080，如果看到tomcat的欢迎页面的话说明安装成功了。

　　　如果上面的tomcat安装成功的话，接下来继续安装JSP访问SQL　Server　2000的驱动程序:

　　第三步：----安装JSP访问SQL Server 2000的驱动程序:

　　　从微软的网站上下载驱动程序：SQL　Server　2000　For　JDBC　驱动程序，在Google中随便搜索就有。

　　　然后将它安装好。(比如安装目录是D:\SQLDriverForJDBC。)

　　　然后必须将安装目录中的lib目录下三个jar文件：

　　　msbase.jar,mssqlserver.jar,msutil.jar拷贝到Tomcat目录下common\lib目录下，之后，修改环境变量中的CLASSPATH，
把SQL Server 2000 For JDBC 驱动程序安装目录下的
D:\SQLDriverForJDBC\lib\msbase.jar;D:\SQLDriverForJDBC\lib\mssqlserver.jar;
D:\SQLDriverForJDBC\msutil.jar;
追加到CLASSPATH中去，修改后的CLASSPATH如下：　

CLASSPATH=D:\Java\bin;.;D:\Java\lib;D:\Java\lib\dt.jar;
_D:\Java\lib\tools.jar;D:\LubeeTomcat\common\lib\servlet.jar;
_D:\SQLDriverForJDBC\lib\msbase.jar;D:\SQLDriverForJDBC\lib\mssqlserver.jar;
D:\SQLDriverForJDBC\msutil.jar

　　　　必须重新启动Tomcat！

　　　　这样做的目的是，jsp页面在编译过程中不会出现找不到sql　server　driver类库的问题

　　写一个简单的用来测试连接SQL　Server　2000的JSP代码

　　
　　
　　
　　
　　　　您的第一个字段内容为：
　　　　您的第二个字段内容为：
　　
　　
　　
　　
　　

　　将上面的JSP代码保存为sql_test.jsp，放在/Root目录下。

　　在地址中输入：http://localhost:8080/sql_test.jsp，如果全部配置成功的话，将显示如下：

　　您的第一个字段内容为：1
　　您的第二个字段内容为：New　Hire　-　Job　not　specified
　　您的第一个字段内容为：2
　　您的第二个字段内容为：Chief　Executive　Officer
　　您的第一个字段内容为：3
　　您的第二个字段内容为：Business　Operations　Manager
　　您的第一个字段内容为：4
　　您的第二个字段内容为：Chief　Financial　Officier
　　您的第一个字段内容为：5
　　您的第二个字段内容为：Publisher
　　您的第一个字段内容为：6
　　您的第二个字段内容为：Managing　Editor
　　您的第一个字段内容为：7
　　您的第二个字段内容为：Marketing　Manager
　　您的第一个字段内容为：8
　　您的第二个字段内容为：Public　Relations　Manager
　　您的第一个字段内容为：9
　　您的第二个字段内容为：Acquisitions　Manager
　　您的第一个字段内容为：10
　　您的第二个字段内容为：Productions　Manager
　　您的第一个字段内容为：11
　　您的第二个字段内容为：Operations　Manager
　　您的第一个字段内容为：12
　　您的第二个字段内容为：Editor
　　您的第一个字段内容为：13
　　您的第二个字段内容为：Sales　Representative
　　您的第一个字段内容为：14
　　您的第二个字段内容为：Designer
　　数据库操作成功，恭喜你　
　
　　以上所有的内容涉及的相关条件：

　　操作系统：Window　2000　Server
　　J2SDK版本：j2sdk-1_4_2_04-windows
　　Tomcat版本：jakarta-tomcat-4.1.30
　　本地数据库：SQL　Server　2000

指令

1
可以得出filename正在运行的进程
#pidof filename
2
可以通过文件或者tcp udp协议看到进程
#fuser -n tcp port
3
可以看文件修改时间，大小等信息
#stat filename
4
看加载模块
#lsmod
5
看rpc服务开放
#rpcinfo -p
6
看网卡是否混杂模式(promiscuous mod)
#dmesg|grep eth0

7
看命令是否被更改，象md5sum一样
#rpm -Vf /bin/ls
rpm -Vf /bin/ps正常无输出，否则输出SM5....T /bin/su之类提示
如果rpm的数据库被修改则不可靠了，只能通过网络或则cdrom中的rpm数据库来比较
如：rpm -Vvp ftp://mirror.site/dir/RedHat/RPMS/fileutils-3.16-10.i386.rpm
以下常用命令需要检查
/usr/bin/chfn
usr/bin/chsh
/bin/login
/bin/ls
/usr/bin/passwd
/bin/ps
/usr/bin/top
/usr/sbin/in.rshd
/bin/netstat
/sbin/ifconfig
/usr/sbin/syslogd
/usr/sbin/inetd
/usr/sbin/tcpd
/usr/bin/killall
/sbin/pidof
/usr/bin/find

8
如果检查的是已经确认被黑客攻击的机器，完美建议：
1.dd一个备份硬盘上
2.mount 一个光驱，上面有静态编译好的程序ls ps netstat等常用工具
3.用nc把执行步骤输出到远程机器上

9
用md5sum保存一个全局的文件
find /sbin -type f|xargs md5sum >1st
检查是否改变
md5sum -c 1st|grep OK

10
避免在已经攻击的机器上过多写操作，可以：
1.在另一个机器192.168.20.191上运行
nc -L -p 1234 >some_audit_output.log 注意L是大写，可以永久侦听
2.被攻击机器上运行
command|nc 192.168.20.191 1234
或
script >/mnt/export.log
检测完毕后用ctrl+d保存记录

11
通过进程查找可疑程序方法：
1.netstat -anp 这步主要靠经验，把可疑的都记录下来
2.进入内存目录 cd /proc/3299
3. ls -la，一般exe可以看到执行文件路径，
4.再进入fd目录查看文件句柄，至此一般都可以找出执行程序
5.ps -awx 把刚才可疑的进程观察一遍

12
如果hacker把日志删除了：
1.查找所有未被删除彻底的日志，比如history，sniffer日志
2./proc/pid/fd 目录里提示已经删除的文件
l-wx------ 1 root root 64 Aug 10 20:54 15 -> /var/log/httpd/error_log (deleted)
l-wx------ 1 root root 64 Aug 10 20:54 18 -> /var/log/httpd/ssl_engine_log (deleted)
l-wx------ 1 root root 64 Aug 10 20:54 19 -> /var/log/httpd/ssl_mutex.800 (deleted)
l-wx------ 1 root root 64 Aug 10 20:54 20 -> /var/log/httpd/access_log (deleted)
l-wx------ 1 root root 64 Aug 10 20:54 21 -> /var/log/httpd/access_log (deleted)
l-wx------ 1 root root 64 Aug 10 20:54 22 -> /var/log/httpd/ssl_request_log (deleted)
l-wx------ 1 root root 64 Aug 10 20:54 23 -> /var/log/httpd/ssl_mutex.800 (deleted)
lrwx------ 1 root root 64 Aug 10 20:54 3 -> /var/run/httpd.mm.800.sem (deleted)
lrwx------ 1 root root 64 Aug 10 20:54 4 -> /var/log/httpd/ssl_scache.sem (deleted)

3.用静态编译的lsof |grep deleted查看哪些被删除
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
gpm 1650 root 1u REG 8,2 5 149743 /var/run/gpm208raa (deleted)

4.得到文件inode号，这里是149743
5.使用sleuthkit工具来恢复，
df /var得出硬盘位置是sda1
icat /dev/sda1 149743
6.把恢复的文件仔细查看，一般都可以找到痕迹了

这样会使分析编译后的程序困难
gcc -04 -evil.c -o evil
strip ./evil

1.file查看文件类型，是否静态编译、是否strip过
2.strings显示程序中的asicc字符串,通过字符串再到google上找
3.strace是跟踪系统调用（这个还不知道怎么样用）strace -p pid
4.gdb（更不会用啦）

13
有些进程不在进程里显示，但在/proc中有痕迹，可比较找出隐藏的进程
proc是伪文件系统，为/dev/kmem提供一个结构化的接口，便于系统诊断并查看每一个正在运行的可执行文件的环境
#ps -ef|awk '{print $2}'|sort -n|uniq >1
#ls /porc |sort -n|uniq >2
#diff 1 2

14
应急工具tct，里面有许多使用工具，包括icat等数据恢复
如果在被攻击的机器取证，可以mount一块硬盘，也可以备份到网络中，方法：
a.在网络机器运行 nc -L -p 1234 >abc.img
b.肉鸡运行 dd if=/dev/hdb5 count 20000 bs=1024|nc 192.168.0.1 1234 -w 3
如果备份过大，则可以侦听多个端口，执行多个dd拷贝，然后把文件合并 cat 2 >>1.img

15
ldd可以显示一个可执行程序所依赖的动态库,但间接依赖库无法显示出来
[root@rh9bk root]# ldd /bin/ls
libtermcap.so.2 => /lib/libtermcap.so.2 (0x40022000)
libc.so.6 => /lib/tls/libc.so.6 (0x42000000)
/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)
strace工具是一个调试工具，它可以显示出一个程序在执行过程中的所有系统调用，
[root@rh9bk root]# strace -eopen /bin/ls >/dev/null
open("/etc/ld.so.preload", O_RDONLY) = -1 ENOENT (No such file or directory)
open("/etc/ld.so.cache", O_RDONLY) = 3
open("/lib/libtermcap.so.2", O_RDONLY) = 3
open("/lib/tls/libc.so.6", O_RDONLY) = 3
open("/usr/lib/locale/locale-archive", O_RDONLY|O_LARGEFILE) = 3
open(".", O_RDONLY|O_NONBLOCK|O_LARGEFILE|O_DIRECTORY) = 3
open("/etc/mtab", O_RDONLY) = 3
open("/proc/meminfo", O_RDONLY) = 3

strace -o out telnet 192.168.100.100
o参数的含义是将strace的输出信息生成到out文件中，这个文件名是可以随意制定的。
我们打开out文件会发现大量的系统调用信息，我们关心的主要是open这个系统调用的信息，open是用来打开文件的，不仅调用动态库要先用open打开，读取配置文件也使用open，所以用sed写一个简单的脚本就可以输出out文件中所有的open信息
sed -n -e ‘/^open/p’ out
输出信息如下：
open("/etc/ld.so.preload", O_RDONLY) = -1 ENOENT (No such file or directory)
open("/etc/ld.so.cache", O_RDONLY) = 3
open("/lib/libutil.so.1", O_RDONLY) = 3
open("/usr/lib/libncurses.so.5", O_RDONLY) = 3
open("/lib/i686/libc.so.6", O_RDONLY) = 3
open("/etc/resolv.conf", O_RDONLY) = 3
open("/etc/nsswitch.conf", O_RDONLY) = 3
open("/etc/ld.so.cache", O_RDONLY) = 3
open("/lib/libnss_files.so.2", O_RDONLY) = 3
open("/etc/services", O_RDONLY) = 3
open("/etc/host.conf", O_RDONLY) = 3
open("/etc/hosts", O_RDONLY) = 3
open("/etc/ld.so.cache", O_RDONLY) = 3
open("/lib/libnss_nisplus.so.2", O_RDONLY) = 3
open("/lib/libnsl.so.1", O_RDONLY) = 3
open("/var/nis/NIS_COLD_START", O_RDONLY) = -1 ENOENT (No such file or directory)
open("/etc/ld.so.cache", O_RDONLY) = 3
open("/lib/libnss_dns.so.2", O_RDONLY) = 3
open("/lib/libresolv.so.2", O_RDONLY) = 3
open("/etc/services", O_RDONLY) = 3
open("/root/.telnetrc", O_RDONLY) = -1 ENOENT (No such file or directory)
open("/usr/share/terminfo/l/linux", O_RDONLY) = 4
从输出中可以发现ldd显示不出来的几个库
/lib/libnss_dns.so.2 ，
/lib/libresolv.so.2 ，
/lib/libnsl.so.1，
/lib/libnss_nisplus.so.2，
/lib/libnss_files.so.2

strace -o aa -ff -p PID会产生aa名称开头的多个文件

grep open aa* | grep -v -e No -e null -e denied| grep WR 查看其打开调用的文件信息。

16
要把日志发送到日志主机步骤:
a.vi /etc/syslog.conf *.* @192.168.20.163 把所有日志发送到192.168.20.163
b.service syslog restart
c.在192.168.20.163安装kiwisyslogd
d.远程登陆,故意输入错误密码,可看到日志主机上马上有报警,也可以tcpdump port 514观察

17
如果知道黑客是0927入侵的，则：
touch -t 09270000 /tmp/a
find / \( -newer /tmp/a -o -cnewer /tmp/a \) -l
这样那天改变和创建的文件被列出

18
整盘复制
dd if=/dev/sda of=/dev/sdb bs=1024
分区复制 测试过
dd if=/dev/sda1 of=/abc bs=1024 这里是保存在了根分区，用mount查看是sda2
启动另一个linux
输入：mount /dev/sda2 /mnt
这里可以看到刚才的abc文件，输入：mount aa /tmp -o loop
这里看到就是刚才镜像的文件内容

19 find
查找指定字符的文件（测试发现二进制也可以发现，是strings后的内容）
find /tmp -type f -exec grep "no exist" {} \; -print

find /etc/rc.d -name '*crond' -exec file {} ;

查找/etc/rc.d目录下面所有以crond结束的文件，并使用file指令查看其属性，注意：exec和file间是一个空格，file和{}间是一个空格，file和;之间是一个空格，;是一个整体。

20
kill -SIGSEGV 进程号 会产生一个core文件，用strings可以看信息，用一个c程序可以重新构建它的可执行程序，study/unix/下保存一个文章。测试没产生core，原因不详

1,修改组策略。
开始－运行－gpedit.msc－计算机配置－管理模板－windows组件－终端服务－"限制连接数量"，选择一个数字，比如3或更多
2,安装终端服务器
在Windows Server 2003中，终端服务没有被默认安装，需要我们进行手动添加：
依次单击“开始→控制面板→添加或删除程序”，在“添加或删除程序”对话框中单击“添加/删除 Windows组件”选项卡。然后勾选“组件”列表中的“终端服务器”选项。这时可能会弹出一个关于IE安全配置的警告对话框，单击“是”按钮将其关闭并 依次单击“下一步”按钮。
在打开的“为应用程序兼容性选择默认权限”对话框中，系统给出了两种安装模式，即“完整安全模式”和 “宽松安全模式”。我们选择“完整安全模式”并单击“下一步”按钮。无需插入安装光盘，文件复制完毕单击“完成”按钮即可。
3,依次单击“开始→管理工具→终端服务配置”，在打开的“终端服务配置”对话框中双击右侧窗格中的“RDP-Tcp”连接。看看默认用户连接数是 不是在组策略中设置的值。
4,依次单击“开始→管理工具→终端服务配置->服务器设置下，限制每个用户使用一个会话，选择“否”，即可。

　　尝试用Mysql Adminstrator GUI Tool登入Mysql Server，Server却回复错误讯息：Host "60-248-32-13.HINET-IP.hinet.net" is not allowed to connect to this

　　Mysql server

　　这个是因为权限的问题，处理方式如下：

　　shell>Mysql --user=root -p

　　输入密码

　　Mysql>use Mysql

　　Mysql>GRANT SELECT,INSERT,UPDATE,DELETE ON [db_name].* TO [username]@[ipadd] identified by "[password]";

　　[username]:远程登入的使用者代码

　　[db_name]:表示欲开放给使用者的数据库称

　　[password]:远程登入的使用者密码

　　[ipadd]:IP地址或者IP反查后的DNS Name，此例的内容需填入"60-248-32-13.HINET-IP.hinet.net" ，包函上引号(")

　　(其实就是在远端服务器上执行，地址填写本地主机的ip地址。)

　　如果希望开放所有权限的话请执行：

　　Mysql>update user set select_priv="Y" , Insert_priv="Y", Update_priv="Y", delete_priv="Y", Create_priv="Y", Drop_priv="Y",Reload_priv="Y", shutdown_priv="Y", Process_priv="Y", File_priv="Y", Grant_priv="Y", references_priv="Y",Index_priv="Y", Alter_priv="Y", Show_db_priv="Y", Super_priv="Y",Create_tmp_table_priv="Y",Lock_tables_priv="Y", Execute_priv="Y",Repl_slave_priv="Y",Repl_client_priv="Y" where user="[username]";

　　方法二：

　　如何解决客户端与服务器端的连接(Mysql) ：xxx.xxx.xxx.xxx is not allowed to connect to this Mysql serv

　　1、进入Mysql，创建一个新用户xuys：

　　格式：grant 权限 on 数据库名.表名 用户@登录主机 identified by "用户密码";

　　grant select,update,insert,delete on *.* to xuys@192.168.88.234 identified by "xuys1234";

　　查看结果，执行：

　　use Mysql;

　　select host,user,password from user;

　　可以看到在user表中已有a刚才创建的xuys用户。host字段表示登录的主机，其值可以用IP，也可用主机名，

　　将host字段的值改为%就表示在任何客户端机器上能以xuys用户登录到Mysql服务器，建议在开发时设为%。

为了数据库的安全性，尽量不用 root 来连接网站的数据库，以前用 cPanel 面板时，这个不是问题，添加帐号很简单，现在 VPS 不提供任何面板，只能用phpmyadmin 来创建新用户帐号了，这个就有点陌生了，还是记录一下以备回顾。

1. 在左侧选中要管理的数据库，在右侧点击 "权限"，在出现的页面下部 点击 " 添加新用户"；

2. 在登录信息处：填入用户名，主机就选本地，密码可以自己输入，也可以自动生成密码（不要忘了哦）。接下去是用户数据库选项，如下图，我是先创建了数据库后添加新用户，选默认的正好；再下面的全局权限选项就不管它了，让它空着吧，点击 执行。

3. 添加新帐号基本结束。如下：

有人建议，新建用户的管理权限一个都不要选，只要全选数据、结构二者就行了，但我发现这样会造成 wp-dbmanager 插件不能备份和恢复数据库，所以，还是象上面那样的默认设置好了，不要再改动了，wp-dbmanager 插件工作正常，我的网站当然也能正常运行。

看看新创建的用户帐号 testtest，权限只能对某个数据库有效：

整理了一下，上传。麻烦要转贴或直接复制的人，注明下原帖（不然我心理会不平衡的~~脸红中……）。

Part 1：卸载（可选）
_1. 打开命令行提示符，并进入以下目录：
<WAS_HOME>/uninstall
_2. 运行卸载程序
windows 下：uninstaller.exe
unix/linux 下：./uninstaller.bin
_3. 向导将帮助您完成卸载过程
_a. 在欢迎界面，点击 Next
_b. 在概要文件删除确认界面，请确认“Remove all profiles”旁边的复选框已
经被选上，然后点击 Next


_c. 检查卸载界面上的摘要信息，然后点击 Next，开始卸载。


_d. 在你的操作系统上有越多的概要文件，卸载所需要的时间越长。在卸载向
导上有进度的显示。


_e. 在卸载完成之后，点击 Finish 关闭卸载向导。
_4. 在卸载完成之后，你会看到在目录<WAS_HOME>下仍然会有一些文件存在。
手动把目录<WAS_HOME>删除。而如果你的是WINDOWS 操作系统，请重新
启动计算机。您现在已经成功卸载IBM WebSphere Application Server V6.1。
Part 2：安装
_1. 运行WebSphere Application Server 安装程序
_a. 打开命令行提示符，进入目录<TEMP>/WAS61/WAS
_b. 执行install 命令
_2. 依照安装向导的指示安装WebSphere Application Server
_a. 查看欢迎界面上的安装信息，然后点击 Next


_b. 查看并接受许可协议，然后点击 Next

操作系统环境为：window server 2003，pack2

安装过程中遇到二个问题：

1、部署应用时候，提示web.xml格式不对，应该是(icon?,display-name?,description?,distributable?,context-param*,filter*,filter-mapping*,
listener*,servlet*,servlet-mapping*,session-config?,mime-mapping*,welcome-file-list?,error-page*,taglib*,resource-env-ref*,resource-ref*,security-constraint*,login-config?,security-role*,env-entry*,ejb-ref*,ejb-local-ref*)来进行排列

解决方案：对照上面提示，把web.xml顺序调整一下，问题解决。

2、部署服务成功了，但是部署后应用目录中只有一些配置文件，没有具体应用文件。

解决方案：websphere安装成功后，没有Application server，应用是在Deployment Manager中部署的，在控制管理台中应用服务启动失败。

用概要文件管理工具增加一个application server，然后启动此application server，在此服务下再次部署应用服务，ok。

在window server2003中安装部署：

如果系统已经安装was，需要卸载。

首先在was安装目录中找uninstaller.exe,把was服务都停掉，然后执行uninstaller.exe,，如果was中有多个概要文件，卸载可能比较慢。卸载完后，重启操作系统，然后把was目录中剩下文件手工删除掉。

安装was：

执行was安装程序中的installer.exe，根据安装向导点击下一步，安装到输入安装目录时候，需要填写一个不带空格和汉字的目录结构。安装时候可以建立概要文件，也可以安装好后利用概要文件管理工具来创建概要文件。只要有应用部署到此websphere环境中，就必须在此websphere环境中创建Application server。

 was中概要文件几个概念浅显认识：

概要文件目的：was管理文件与用户应用文件分开。

单元概要文件（cell profile）：一个单元概要文件包括一个部署概要文件和一个应用概要文件

确定病毒的进程
　　常见的系统进程有
csrss.exe，lsass.exe，explorer.exe，services.exe，svchost.exe，winlogon.exe
等。在任务栏按右键，选择“任务栏管理器”或同时按下 Ctrl + Alt + Delete 组合键就可以打开“Windows 任务管理器”，如图1所示：

这么多进程，如何确定病毒的进程，尤其是有些病毒常常伪装为系统进程？首先，看看有没异常的进程，可通过进程后的“描述”初步确定；再看看系统进程是不是比平常多了那么一两个，多了的就要引起注意了。下面举例说明，如
csrss.exe 和 svchost.exe 进程，正常情况下是在 Windows\System32\ 目录下，如果出现在 Windows
目录下或其它目录下，一般就是病毒。其它进程也是这样确定，如果还不能确定就上网搜索下。
　　清除病毒
　　（一）结束进程。 
　　打开“Windows 任务管理器”，在要结束进程的上面按下右键，选择“结束进程”，别管提示，直接结束；若不能结束就要强制结束。
　　强制结束进程方法（开始——运行——输入 cmd 回车打开命令执行窗口）：
　　1、ntsd -c q -pn 进程名。如 ntsd -c q -pn csrss.exe
　　2、ntsd -c q -p PID 号。获取 PID，“Windows 任务管理器”——“查看”——“选择列”打开“选择进程列”窗口，如图2，在
PID 前单击打上勾，确定后，进程后就会显示该进程的 PID。

（二）删除病毒文件。
　　1、删除病毒执行文件。在病毒进程上按下右键，选择“打开文件位置”，找到后把它删除。
 
　　2、删除病毒其它文件。病毒文件有可能在多个目录下，有些文件不容易确定，只能按常规方法来找。
　　A、确定可疑文件的方法。可根据文件创建时间、文件名和文件版本确定，主要查看
exe、ddl、ini、inf、dat、cfg 文件。此外，还可根据有些目录下只有一类文件确定，如windows/system32/drivers
目录下是驱动文件，一般都是 *.sys，若有 exe 文件，可能是病毒。
 
　　B、查看各盘根目录下是否有可疑文件，如 AUTORUN.INF 、_DESKTOP 和 INI
文件。若有，看看文件创建时间，确定是否是自己安装软件创建的，不是有可能是病毒；再看看文件名是不是糊乱的字母或数字组合，是就有可能是病毒；最后看文件版本信息是否有张冠李戴的情况。
　　注意：查看前要显示所有文件（文件夹窗口——工具——文件夹选项——选中“显示隐藏的文件和文件夹”），病毒文件常常是隐藏的。若不能选择“显示隐藏的文件和文件夹”，说明病毒把它屏蔽了，可以修改注册表中如下选项：
　　HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced\Folder\Hidden\SHOWALL，双击右边
CheckedValue 键值，修改为1；若隐藏文件还是没有显示，删掉CheckedValue，按下右键，选择“新建 Dword
值”，并命名为CheckedValue，设键值为1。
 
　　C、查看病毒常常出现的系统目录、软件安装目录、临时文件夹和IE缓存。
　　系统目录：windows、windows/system32、windows/system32/drivers 等；
　　软件安装目录：c:/program files/internet explorer、c:/program files/internet
explorer/plugin、c:/program files/common files/miscrosoft shared 等；
　　临时文件夹：c:/documents and settings/用户名/local settings/temp 和
c:/windows/temp。
　　还不能确定的可以上网搜索下该病毒进程，一般都有相关说明，确定后再把它的所有文件删除。
 
　　 （三）删除病毒在注册表中的信息。
　　1、删除病毒的执行文件
　　病毒在注册表中的信息也可能有多个置，也只能先确定执行文件的位置，方法：开始——运行——输入“regedit”——打开注册表，注册表编辑器——编辑——查找——打开查找窗口，如图3：

　输入病毒执行文件名（csrss.exe）查找，直到找到病毒执行文件（键值中的目录[C:\Windows\csrss.exe]与在“Windows
任务管理器”中确定的目录[C:\Windows\csrss.exe]一致）,在该文件名上按下右键，删除。其它位置的查找方法下文仅简单的列了三种，具体请看《病毒隐藏在注册表中的位置总结》一文。
 
　　2、检查 Run 启动项。常见的启动项如下：
　　A、HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　B、HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce
　　C、HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run
　　D、HKCU\Software\Microsoft\Windows\CurrentVersion\Run
　　E、HKCU\Software\Microsoft\Windows\CurrentVersion\Runonce
　　F、HKCU\Software\Microsoft\Windows\CurrentVersion\policies\explorer\run

　　确定以上这些启动项包含病毒的方法：
　　1）根据已确定的病毒文件确定。键值即为该文件的路径。
　　2）只有 Run 项是有键值的，其它的都只有一个默认串（98除外），所以若其它项中有键值，就可能是病毒启动项。
　　3）若键值是糊乱的文件名，如 1.exe；或路径是在临时文件夹的；也可能是病毒启动项。
 
　　3、检查驱动启动项
　　位置：HKLM\System\CurrentControlSet\Services
　　这里的项比较多，可以根据 windows/system32/drivers 目录下已确定的文件来确定。
 
　　4、检查 Winlong 启动项
　　位置：HKLM\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\Winlogon

qq中毒的原因以及表现是什么

qq盗号木马被运行后，会不断的查找QQ登陆窗口。一旦找到，就创建新的窗口将QQ输入密码的窗口覆盖。这样一来当你在qq登录窗口中输入qq密码的时候，密码输入窗口已被木马覆盖住，表面上却看不出异常。当用户输入QQ密码时，并没有输入到QQ程序中，而是被木马程序所拦截。造成用户账号被盗。

qq中毒表现如下几个方面

1.qq老是掉线，提示异地登录；

2.qq签名被改；

3.qq空间存在垃圾广告日志；

4.自动给好友发送垃圾消息；

工具/原料
金山卫士
步骤/方法
下载金山卫士杀掉活体木马病毒，点击“查杀木马”使用快速扫描功能，按提示修复处理，根据提示系统重启。
重启系统之后，不要打开qq，卸载qq软件，并删除qq文件夹。再用金山卫士的“查杀木马”的全盘扫描一次，
杀掉病毒后重新安装qq即可解决病毒问题。
去qq安全中心修改密码，提高qq密保的级别
检查系统是否存在漏洞，防止黑客入侵，二次qq中毒。打开金山卫士的百宝箱中的防黑客补丁，然后对其电脑漏洞修补即可，这样你可以安心继续使用你的qq上网聊天了。