动态嵌入式DLL木马的发现及清除
随着MS的操作系统从Win98过渡到Winnt系统（包括2k/xp），MS的任务管理器也一下子脱胎换骨，变得火眼金睛起来（在WINNT下传统木马再也无法隐藏自己的进程），这使得以前在win98下靠将进程注册为系统服务就能够从任务管理器中隐形的木马面临前所未有的危机，所以木马的开发者及时调整了开发思路，所以才会有今天这篇讨论如何清除动态嵌入式DLL木马的文章。
首先，我们来了解一下什么是动态嵌入式木马，为了在NT系统下能够继续隐藏进程，木马的开发者们开始利用DLL（Dynamic Link Library动态链接库）文件，起初他们只是将自己的木马写成DLL形式来替换系统中负责Win Socket1.x的函数调用wsock32.dll(Win Socket2中则由WS2_32.DLL负责)，这样通过对约定函数的操作和对未知函数的转发（DLL木马替换wsock32.dll时会将之更名，以便实现日后的函数转发）来实现远程控制的功能。但是随着MS数字签名技术和文件恢复功能的出台，这种DLL马的生命力也日渐衰弱了，于是在开发者的努力下出现了时下的主流木马－－动态嵌入式DLL木马,将DLL木马嵌入到正在运行的系统进程中.explorer.exe、svchost.exe、smss.exe等无法结束的系统关键进程是DLL马的最爱，这样这样在任务管理器里就不会出现我们的DLL文件，而是我们DLL的载体EXE文件.当然通过进一步的加工DLL木马还可以实现另外的一些如端口劫持/复用(也就是所谓的无端口)、注册为系统服务、开多线程保护、等功能。简而言之，就是DLL木马达到了前所未有的隐蔽程度
那么我们如何来发现并清除DLL木马呢？
--------------------------------------------------------------------------------
一，从DLL木马的DLL文件入手，我们知道system32是个捉迷藏的好地方，许多木马都削尖了脑袋往那里钻，DLL马也不例外，针对这一点我们可以在安装好系统和必要的应用程序后，对该目录下的EXE和DLL文件作一个记录：运行CMD--转换目录到system32--dir *.exe>exeback.txt& dir *.dll>dllback.txt,这样所有的EXE和DLL文件的名称都被分别记录到exeback.txt和dllback.txt中,日后如发现异常但用传统的方法查不出问题时,则要考虑是不是系统中已经潜入DLL木马了.这是我们用同样的命令将system32下的EXE和DLL文件记录到另外exeback1.txt和dllback1.txt中,然后运行CMD--fc exeback.txt exeback1.txt>diff.txt & fc dllback.txt dllback1.txt>diff.txt.(用FC命令比较前后两次的DLL和EXE文件,并将结果输入到diff.txt中),这样我们就能发现一些多出来的DLL和EXE文件,然后通过查看创建时间、版本、是否经过压缩等就能够比较容易地判断出是不是已经被DLL木马光顾了。没有是最好，如果有的话也不要直接DLL掉，我们可以先把它移到回收站里，若系统没有异常反应再将之彻底删除或者提交给杀毒软件公司。
二、上文也曾提到一些系统关键进程是这类木马的最爱，所以一旦我们怀疑系统已经进驻了DLL木马，我们当然要对这些关键进程重点照顾了，怎么照顾？这里推荐一个强大的脱壳工具工具Procedump.exe他可以帮您看出进程到底调用了那些DLL文件,但是由于有的进程调用的DLL文件非常多，使得靠我们自己去一个核对变的不太现实，所以我们会用到一个shotgun写的NT进程/内存模块查看器ps.exe，用命令ps.exe/a /m >nowdlls.txt将系统目前调用地所有DLL文件地名称保存到nowdlls.txt，然后我们再用fc将之于事先备份dllback.txt比较一下，这样也能够缩小排查范围。
三、还记得木马的特征之一端口么？所有的木马只要进行连接，只要它接受/发送数据则必然会打开端口，DLL木马也不例外，这也为我们发现他们提供了一条线索，我们可以使用foundstone的进程端口查看工具Fport.exe来查看与端口对应的进程,这样可以将范围缩小到具体的进程,然后结合Procedump来查找DLL木马就比较容易了.当然有如上文提到的有些木马会通过端口劫持或者端口重用的方法来进行通信,139、80、1443、等常见端口则是木马的最爱。因为即使即使用户使用端口扫描软件检查自己的端口，发现的也是类似TCP UserIP:1026 ControllerIP:80
ESTABLISHED 的情况，稍微疏忽一点，您就会以为是自己在浏览网页(防火墙也会这么认为的)。所以光看端口还不够，我们要对端口通信进行监控，这就是第四点要说的。
四、我们可以利用嗅探器来了解打开的端口到底在传输些什么数据。通过将网卡设为混杂模式就可以接受所有的IP报文，嗅探程序可以从中选择值得关注的部分进行分析，剩下的无非是按照RFC文档对协议进行解码。这样就可以确定木马使用的端口，结合Fport和Procedump我们就能够查找到该DLL木马了。至于嗅探器个人推荐使用IRIS，图形界面比较容易上手。
五、通常说道查杀木马我们会习惯性地到注册表碰碰运气，以前可能还蛮有效的，但如果碰到注册为系统服务的木马（原理：在NT/2K/XP这些系统中，系统启动时会加载指定的服务程序)这时候检查：启动组/注册表/autoexec.bat/win.ini/sysytem.ini/wininit.ini/*.inf(例如autorun.inf)/config.sys等文件 就发现不了丝毫的异样，这时候我们就应该查看一下系统服务了：右击我的电脑－－管理－－服务和应用程序－－服务，这时您会看到100多个服务，（MS也真是的，其中75％对个人用户无用，可以禁止。），慢慢找吧，看谁不顺眼就把它拎出来：），当然如果您以前曾经用导出列表功能对服务备份过，则用文件比较的方法会很容易发现哪些是外来客，这时您可以记录下服务加载的是那个文件，然后用Resource Kits里提供的srvinstw.exe来移除该服务并清除被加载的文件。
通过以上五步，基本能发现并清除狡猾的动态嵌入式DLL木马了,也许您也发现如果适当地做一些备份，会对我们的查找木马的过程有很大的帮助，当然也会减轻不少工作的压力哦。
恢复XP管理员密码的五大秘诀
秘诀1：大家知道，WindowsXP的密码存放在系统所在的Winnt\System32\Config下SAM文件中，SAM文件即账号密码数据库文件。当我们登录系统的时 候，系统会自动地和Config中的SAM自动校对，如发现此次密码和用户名全与SAM文件中的加密数据符合时，你就会顺利登录;如果错误则无法登录。既然如此，我们的第一个方法就产生了：删除SAM文件来恢复密码。
如果你不用管本来系统卡包含的任意账号，而且有两个操作系统的话，可以使用另外一个能访问NTFS的操作系统启动电脑，或者虽然没有安装两个系统，但可以使用其他工具来访问NTFS。然后删除C：\WINNT\system32\config目录下的SAM文件，重新启动。这时，管理员Administrator账号就没有密码了。当然，取下硬盘换到其他机器上来删除SAM文件也算个好办法。
小提示：WindowsNT/2000/XP中对用户账户的安全管理使用了安全账号管理器(Security AccountManager,SAM)的机制，安全账号管理器对账号的管理是通过安全标识进行的，安全标识在账号创建时就同时创建，一旦账号被删除，安全标识也同时被删除。安全标识是惟一的，即使是相同的用户名，在每次创建时获得的安全标识都是完全不同的。因此，一旦某个账号被删除，它的安全标识就不再存在了，即使用相同的用户名重建账号，也会被赋予不同的安全标识，不会保留原未的权限 。
安全账号管理器的具体表现就是%SystemRoot%\system32\config\sam文件。SAM文件是WindowsNT/2000/XP的用户账户数据库，所有用户的登录名及口令等相关信息部会保存在这个文件中。
秘诀2：下面介绍一个比较与众不同的方法。你可以在别的分区上再装一个XP，硬盘分区格式要和原来的一样，并且请你注意一定不要和原来的XP安装在同一分区!在开始之前，一定要事先备份引导区MBR(Master Boot Record).备份MBR的方法有很多，可以自己编程，或使用工具软件，如杀毒软件KV3000等。装完后用Administrator登录，现在你对原来的XP就有绝对的写权限了。你可以把原来的SAM拷下来，用lOphtcrack得到原来的密码。也可以把新安装的XP的Winnt\System32\Config\下的所有文件覆盖到C\Winnt\System32\Config目录中(假设原来的XP安装在这里)，然后用KV3000恢复以前备份的主引导区MBR，现在你就可以用Administrator身份登陆以前的XP了。
小提示：MBR俗称"主引导区"，它的作用是读取磁盘分区表(Partition Table)里面所设定的活动分区 (Active Partition)，位于硬盘的柱面0、磁头0、扇区1的位置，也即俗你的0磁道位置。它是由分区命令fdisk产生的。MBR包括硬盘引导程序和分区表这两部分。MBR结束标志为55AA，用杀毒软件KV3000的F6功能即可查看，其默认画面即为MBR。如果MBR找不到活动分区，就会在屏幕上显示像Missing operating System等错误讯息，所以，如果你的WindowsXP无法正常开启。而你又在屏幕上看到类似这样的错误讯息，原因大多就是出在这里了。
秘诀3：使用Off1ine NT Password & Registry Editor。用该软件可以制作Linux启动盘，这个启动盘可以访问NTFS文件系统，因此可以很好地支持Windows2000/XP。使用该软盘中的一个运行在Linux的工具Ntpasswd就可以解决问题。并且可以读取注册表并重写账号密码。使用的方法很简单，只需根据其启动后的提示一步一步做就可以了。在此，建议你使用快速模式，这样会列出用户供你选择修改哪个用户的密码。默认选择Admin组的用户，自动找到把Administrator的名字换掉的用户，十分方便。
秘诀4：使用Windows Key 5.0。该软件包含在PasswareKit5.0中，用于恢复系统管理员的密码，运行后生成3个文件：txtsetup.oem.winkey.sys和winkey.inf,3个文件一共才50KB,短小精悍。把这3个文件放到任何软盘中，然后使用XP安装光盘启动电脑，启动过程中按F6键让系统安装第三方的驱动程序。此时，正是我们切入的最好时机，放人该软盘就会自动跳到WindowsKey的界面。它会强行把Administrator的密码换成 "12345"，如此一来何愁大事不成?呵呵!当你重新启动以后，你会被要求再次修改你的密码。
秘诀5：使用NTFS DOS这个可以从DOS下写NTFS分区的工具。用该软件制作一个DOS启动盘，然后到C;\Winnt\System32下将屏幕保护程序logon.scr改名，接着拷贝command.com到C：\Winnt\system32下(2000可以用cmd.exe),并将该文件改名为logon.scr。这样启动机器后等待5分钟，本应该出现的屏幕保护现在变成了命令行模式，而且是具有Administrator权限的，通过它就可以修改密码或者添加新的管理员账号了。改完后不要忘了把屏幕保护程序的名字改回去啊。
操作系统重装完全攻略
首先要搞清楚的是，这里所说的“重装”是什么意思？其实，所谓“重装”，是指重新安装操作系统，从目前的实际情况出发，估计普通用户中很少会有朋友去选择Linux、OS/2、Unix等另类操作系统，因此我们这里所指的是重新安装Windows操作系统。
一般安装操作系统时，经常会涉及到全新安装、升级安装、Windows下安装、DOS下安装等安装方式，各种安装方式的含义如下：
● 全新安装：在原有的操作系统之外再安装一个操作系统，也就是我们通常所说的多操作系统并存。如果你还想使用以前的操作系统，或者说对新版本的Windows系统不那么放心，而只是想先试用一段时间，那么选择“全新安装”方式是最为理想的了。该方式的优点是安全性较高，原有的系统不会受到伤害，常见的有Windows 98/2000、Windows 98/XP。
● 升级安装：对原有操作系统进行升级，例如从Windows 98升级到Windows 2000或Windows XP，该方式的好处是原有程序、数据、设置都不会发生什么变化，硬件兼容性方面的问题也比较少，缺点当然是升级容易恢复难。
● Windows下安装：这是最简单的一种安装方式了，在Windows桌面环境中插入安装光盘运行安装程序，优点是界面熟悉、操作简单。
● DOS下安装：这是高手才用的安装方式，需要在漆黑一团的DOS提示符下进行，因此能够掌握此安装方式的一般都是高手。通常，我们只需要在BIOS中设置为光驱引导，然后用Windows安装光盘启动系统，安装程序就能自动运行；或者，你也可以在Windows环境下手工执行Setup.exe程序来进行。
小提示：如果你是在DOS下重装系统，请备份并事先加载smartdrv.exe(磁盘高速缓冲程序)，否则安装速度会慢得惊人。
由于我们考虑的是重装系统，因此自然就不涉及升级安装，一般来说有如下两种情形：
被动式重装：由于种种原因，例如用户误操作或病毒、木马程序的破坏，系统中的重要文件受损导致错误甚至崩溃无法启动，此时自然就不得不重装系统了。有些时候，系统虽然运行正常，但却不定期出现某个错误，与其费时费力去查找，不如重装了事。
主动式重装：一些喜欢摆弄电脑的DIY爱好者，即使系统运行正常，他们也会定期重装系统，目的是为了对臃肿不堪的系统进行减肥，同时可以让系统在最优状态下工作。
小建议：不管是主动重装还是被动重装，又可以分为覆盖式重装和全新重装两种，前者是在原操作系统的基础上进行重装，优点是可以保留原系统的设置，缺点是无法彻底解决系统中存在的问题，毕竟治标不治本嘛；后者则是对操作系统所在的分区进行重新格式化，有时为了彻底起见，可能还会进行重新分区，在这个基础上重装的操作系统，几乎就是全新安装的，这种重装方式比较彻底，不仅可以一劳永逸解决系统中原有的错误，而且可以彻底杀灭可能存在的病毒，强烈推荐采用此种重装方式。
系统重装前的准备工作
系统重装是一个比较大的工程，根据笔者的经验，分区、格式化、安装系统、安装驱动程序这些环节算下来，至少也需要2～3个小时，如果系统配置稍次一些，所需要的时间可能就更多了。在重装系统前，下面这些准备工作是必不可少的：
●备份重要的数据
虽然升级系统不会有多大危险，但总要有备无患。建议朋友们在升级之前先将系统中的重要数据备份下来，特别是电子邮件的帐户配置/地址簿、QQ好友名单/聊天记录、MSN Messenger联系人列表、收藏夹列表、Cookies等，当然还有你的个人文档。
备份上述资料时，你可以手工备份，也可以使用第三方工具软件逐个备份，如果使用的是Windows XP系统，不妨使用系统内置的“文件和设置转移向导”。这是一个非常不错的备份工具，可以从“开始” “所有程序” “附件” “系统工具”中找到。
●导出数据
http://img.zol.com.cn/article/2/321/liOVo4v7Sz13U.jpg
Step1：如图所示，由于我们是执行导出数据的操作，因此这里应该选择“旧计算机”，然后点击“下一步”按钮，稍等片刻后会看到一个提示选择转移方法的对话框，其中列出了直接电缆、家庭网络或小型办公网络、软盘驱动器、其他可移动媒体、其他等选项，建议选择“其他”项，这样可以将文件和设置保存到任意一个磁盘或文件夹中，例如软盘、优盘，用户的可选择性更自由、更丰富一些。
http://img.zol.com.cn/article/2/322/lioP4FQdwEd16.jpg
Step2：当看到图对话框时，你可以根据自己的需要在这里自由选择转移项目，可以只转移设置或只转移文件，也可以同时转移文件和设置，这些设置包括IE设置、Microsoft Messenger、Microsoft Netmeeting、MSN Explorer、Outlook Express、Windows Media Player、区域设置、任务栏选项、显示属性、共享文档、桌面、我的文档等内容。当然你也可以重新自定义文件和设置列表，点击“下一步”按钮后就可以导出到指定路径了。
●导入数据
http://img.zol.com.cn/article/2/331/liCnTZTjXmPAQ.jpg
需要导入数据时，应该在图1窗口中选择“新计算机”项，当看到图3窗口时，请根据实际情况选择，由于我们前面选择了“其他”项，因此这里应该选择“我不需要向导磁盘，我已从旧计算机收集了文件和设置”项，然后选择“其他”项，接下来点击“下一步”按钮即可导入数据。这其中的过程完全是自动完成，唯一需要手工干涉的是导入结束后需要重新启动系统或注销系统才能生效。
备份驱动程序
重装系统后，驱动程序的安装也是一个大问题，虽然Windows XP可以识别的硬件种类不少，但一些新推出的硬件设备恐怕还是需要手工安装驱动程序的。假如你手头可以找到相应的驱动程序光盘/软盘，那倒不用多说，但假如驱动程序光盘/软盘已经丢失，那该怎么办呢？
●上网下载：将事先上网下载的相应驱动程序保存在优盘或移动硬盘上，或者也可以刻录到光盘上。
●手工导出：这里当然不是指查找*.inf文件中的内容后手工导出，我们可以利用驱动精灵2004、驱动精灵2005等软件备份驱动程序(见图4)，具体操作这里就不多说了。
http://img.zol.com.cn/article/2/327/liOlt1oxSfKI.jpg
必备工具
请准备好一张Windows 98的超级启动盘，注意这不是指在Windows 98的命令行方式下使用Format A:/s命令制作的启动盘，也不是从“资源管理器”中格式化的软盘，而是指在安装Windows 98时制作的启动盘，或者安装结束后在“控制面板”｜”添加删除程序”｜”启动盘”中制作的启动盘。这就是所谓的超级启动盘，这张软盘可以加载光驱、创建虚拟磁盘、调用外部命令等。
当然，如果你的电脑支持光驱启动，而你恰好又有正版的Windows安装光盘，那么就可以省去制作超级启动盘的步骤，只要将系统设置为光驱引导然后用安装光盘启动系统就可以了。
快速重装系统
重装系统大体包括下面一些步骤：
Step1：调整系统引导顺序。进入BIOS设置程序，将系统引导顺序设置为光驱优先或软驱优先即可；
Step2：重新分区和格式化。为了保持系统的干净，强烈建议重装系统时对硬盘进行重新分区和重新格式化。如果你不想重新分区的话，格式化系统分区是必不可少的，运行FORMAT C:命令就可以了；
Step3：安装操作系统。用Windows安装光盘引导系统，然后按照安装向导的提示进行操作；
Step4：安装驱动程序。大多数情况下，需要我们手工安装的驱动程序并不会很多，一般有显卡、声卡、Modem、网卡等设备。如果前面已经用驱动精灵2005等软件备份了驱动程序，这里只需要恢复即可，或者插入驱动程序盘手工安装也行。
给新装系统打上安全补丁
虽然微软系统目前将安全性视为头等要务，但号称有史以来“最安全的操作系统”的Windows XP仍然不时曝出各种漏洞，尽管微软忙着发布相应的补丁程序和补丁包，但仍然防不胜防。例如2003年的冲击波和2004年的震荡波，给全世界的Windows用户造成了相当大的损失。
在系统重装刚刚完成，杀毒软件和防火墙软件还未安装的情况下，如何保证Windows操作系统的安全性呢？
断网安装补丁
冲击波和震荡波对Windows 2000/XP的威胁相当大。如果你使用的是永远在线的小区宽带，那么请在系统重装结束的第一次启动时断网(拔出网线)，然后手工安装SP1补丁包；如果你嫌太大的话，可以手工安装KB823980、KB835732等更新程序，这样可以解除冲击波、震荡波的威胁，这些更新程序当然在重装系统前就要下载好。
如果你使用的是Windwos XP操作系统，请不要忘记激活内置的防火墙功能，虽然这个内置的防火墙功能与专业的防火墙软件无法相比，但关上篱笆门阻止那些伪黑客的攻击是不成问题的。
安装更新程序
打开IE，从“工具”菜单下运行“Windows Update”命令，此时会自动链接到微软的更新站点http://windowsupdate.microsoft.com?..将自动从Windows Update自动搜索本机可用的更新数据。接着我们会看到一个进度条，很快就会显示所有更新信息，如图5所示，这些可用更新分成三大类：关键更新和Service Pack、Windows XP、驱动程序更新
http://img.zol.com.cn/article/2/344/liy0efcsuZ8JM.jpg
http://img.zol.com.cn/article/2/345/lihiqguEErTU.jpg
点击“复查并安装更新”按钮后，可以浏览相应的更新并查看到更详细的说明信息，如图6所示，这些说明信息包括编号、名称、文件大小、下载所需要的时间、主要介绍等，注意“关键更新和Service Pack”更新缺省是全部选择的，如果你觉得某项更新不需要的话则可以点击“删除”按钮将之从更新列表中清除，如果无误的话就可以点击“立即安装”按钮开始安装这些更新。如果是安装“Windows XP”更新，那么你需要一项一项手工添加后才能安装
激活自动更新功能
http://img.zol.com.cn/article/2/352/liddBnzkMSdY.jpg
从Windows Me开始，微软已经为用户提供了后台自动更新的功能，该功能可以在后台自动扫描可用的更新文件，当然前提是必须连接到Internet才行。右击“我的电脑”，切换到“系统属性/自动更新”选项页，如图7所示，在这里选择“自动下载推荐的更新，并安装它们”，设置好自动下载的时间，以后就省事多了。
利用MBSA发现系统漏洞
当然，如果仅仅依*微软发布的安全公告来查漏补缺的话，那实在是太危险了。这里笔者建议大家可以安装Microsoft Baseline Security Analyzer（MBSA，微软基准安全分析器），它的下载地址是[url=http://www.microsoft.com/technet/security/tools/tools/mbsahome.asp，它可以检查你的系统是否已安装了最新的安全补丁，目前最新版本是1.1，建议大家安装使用。
http://img.zol.com.cn/article/2/353/li00njA5NYZvE.jpg
http://img.zol.com.cn/article/2/354/liR1s2lWw6pS2.jpg
MBSA的主界面如图8所示，如果是扫描本机的话请选择“Scan a computer”项，在扫描过程中会显示一个进度条，扫描完毕后，MBSA将显示如图9所示的对话框，这里清楚地列出各测试项目在本系统内的状态，请朋友们注意各项目前面的“Store”一栏中符号的区别及颜色：
● 红色或黄色的*号：表示该项目未能通过测试；
● 雪花图标：表示该项目还可以进行优化，也可能是程序跳过了其中的某项测试；
● 感叹号：表示尚有更详细的信息；
● 绿色的对钩：这当然是最理想的，表示该项目已通过测试。
在那些未能通过测试的项目下面，一般都会提供“What was scanned”、“Result details”和“How to correct this”等选项，其中第一个将告诉我们分析器在该项目上主要进行了什么测试，而后两项告诉我们详细的结果，以及如何做才能够通过这项测试。你只需选择“How to correct this”选项，就可以按照系统提示去下载补丁程序以修补漏洞了。
自然，上面提到的方法只是治标不治本，如果要保证系统的稳定和安全，安装一款正版的杀毒软件和防火墙软件，绝对是必不可少的。
Windows XP的克隆功能
系统重装之所以被菜鸟们视为畏途，其操作之复杂倒在其次，关键是重装系统后，不仅需要重装所有更新程序或补丁包，而且还需要重装相应的应用程序，这样所花费的时间就非常可观了。
Windows XP提供了一个功能强大的克隆程序(Automatic System Recovery，简称ASR)，该工具对系统状态、系统服务以及与操作系统组件相关联的所有磁盘进行备份，同时它还创建一个包含备份信息、磁盘配置(包括基本卷和动态卷)以及恢复方式等内容的文件，其优点是可以完整的将Windows XP系统恢复为原来的面貌，包括系统中的各项配置和所安装的软件。
使用ASR的前提
要使用ASR功能，必须保证硬盘至少被划分为两个以上的分区，而且非系统分区上的可用空间必须超过系统分区，这是因为ASR恢复时会对系统分区进行格式化，然后准备好一张质量完好的空白软盘和Windows XP安装光盘。另外，ASR应该作为系统恢复过程中最后采取的手段，仅在安全模式启动或最后一次正常模式等恢复措施无效时方可使用。
http://img.zol.com.cn/article/2/355/liIcsXtC2vK.jpg
http://img.zol.com.cn/article/2/356/liV5l74fF6QAE.jpg
ASR之所以能够恢复系统，当然是事先进行了备份，这个备份工具可以在“附件” “系统工具”中找到。当弹出“欢迎使用备份或还原向导”对话框时，点击“高级模式”按钮切换到图10所示的“备份工具”对话框，选择“自动系统恢复向导”，此时会弹出图11所示的“自动系统故障恢复准备向导”对话框，然后按照提示进行操作。备份目的地当然是放在可用空间较大的非系统分区，建议备份文件名可以更改为当前的日期，这样恢复时就可以知道是何时备份的。
备份结束后，系统会提示插入一张格式化的软盘到软驱中，这张被称为ASR的紧急修复软盘将包含恢复系统所需要的信息，制作完成后请将其设置为写保护状态并妥善保管。
还原系统
如果Windows XP一旦出现什么问题，我们可以启用Windows XP安装光盘引导系统，当安装程序进入蓝底色的字符模式时，按下F2键，此时系统会提示插入ASR软盘，然后安装程序会自动启动ASR的恢复功能部分，并加载必要的文件和驱动。ASR将从先前创建的文件中读取磁盘配置信息，并在启动计算机所需的磁盘上恢复磁盘标记、卷及分区，也就是说会自动删除原先的系统分区并进行格式化，同时读取软盘中保存的磁盘配置信息，接着会利用Windows XP安装光盘重新安装一个最小化的操作系统，最后从备份文件中提取和恢复原来的系统文件和程序文件并导入原来的位置。
小提示：ASR不同于通常的覆盖式重装，因为后者只会对操作系统进行简单的覆盖，仅仅能够修复一些比较小的错误，并不能真正解决问题，而ASR既彻底重装系统(格式化），又可以自动提取和恢复原来的系统文件和程序文件，类似于Ghost的克隆功能，但稳定性要胜出一筹
XP不能软关机的解决方法
1.右击 我的电脑 属性
2,打开设备管理器
找到 计算机
按右键,选择"更改驱动程序
大多数电脑都是 Advanced Configuration Power Interface(ACPI)（高级电源管理）,如果你的新主板显示为acpi uniprocessor pc,那可能就无法软关机!
你可以选择改为
Advanced Configuration Power Interface(ACPI)
或 Standard PC
这样会提示重新启动计算机,这样就OK了!
你想知道如何使用PC3000吗
硬盘修复工具PC3000安装及使用详解
一、安装PC3000
1、 建立目录 C:\PC3000
2、将PC-3000 软件包连带所有子目录一起，复制到C:\PC3000
3、将工作盘分区（200M以上），格式化，并安装DOS系统文件。
4、将Vgaga.exe Pcdosemu.com emm386.exe(俄文版) himem.sys文件复制到C:\PC3000中。
5、编辑config.sys文件，其中必须有：
device=c:\PC3000\himem.sys
device=c:\PC3000\emm386.exe （加载maxtor模块要在emm386.exe后面加 RAM 参数）
dos=high,umb
buffers=60
files=45
6、编辑Autoexec.bat文件，建议如下：
path c:\PC3000;c:\dos;c:\
7、编辑pc3000.bat文件，建议如下：
cd c:\pc3000
vgaga （防止乱码驻留程序）
pcdosemu 2（指定PC3000AT待修硬盘接在哪个IDE接口，1=IDE 1，2=IDE 2。）
shell （PC3000 SHELL外壳程序，调入其他子程序（模块）的总调度）
重新启动进入DOS后，输入pc3000即自动进入PC-3000模块选择菜单。
注：以上设置，被修硬盘必须跳线为“MASTER”并且接在“IDE 2”口，还有就是针对现在带卡的pc3000 V14的WD模块运行慢（老是读盘，调用相应的菜单模块慢的情况，可以在Autoexec.bat文件中加Smartdrv,这样可以大幅提高运行的速度，经本人验证对WD模块有特效，因此而带来的负面影响还有待更多朋友的验证！）
二、PC3000升级方法
将升级包解压后，将得到的所有文件复制到 c:\pc3000目录中，覆盖同名文件。
三、PC3000文件说明
.EXE 执行程序
.INI 是配置信息文件，自动生成
.LDR 电路板状态装载文件，用于不能正常认盘,调整电路板使之处于准备状态
.RSC 代码文件，保存从硬盘读出的内部参数集
.CFG 配置文件
.BIN 从硬盘读出的BIOS文件（二进制）
.ROM 硬盘的BIOS文件（可以同时存放多个BIOS）
.LOG 用户使用某个模块的记录（自动生成，可以删除）
.SMA S.M.A.R.T参数集，用于复原相应系列硬盘的S.M.A.R.T参数
.SSO SELFSCAN指令集
.PGM 主菜单结构文件
.CP 昆腾硬盘的配置项，读出后保存形成的文件
.RPM 按BIOS调用顺序读出的内部参数，所存成的文件
.DAT 硬盘检测资料
.RAM 钻石硬盘的RAM内容，保存形成的文件
四、实战
本文全部事例如无特别说明，均使用迈拓DSP1.22为例。(可能现在用带卡的V14的朋友也应该不少了）
大家拿到PC3K，最主要的用途是固件和P表。先从固件讲起。
首先，我们要清楚：固件（FIREWARE）位于硬盘0道之前，它是存在硬盘盘片上的，而不是在盘体中的某个芯片中。因此，我们要写固件，首先要确保硬盘的负道（存放固件的磁道、UBA）没有坏道。怎么鉴别呢，拿到一个硬盘，通电时马上仔细听，看硬盘在启动时（寻道自检时）有没有“沙沙”一类的磨擦声，如果有，那个硬盘就不必修了。然后我们进到PC3K主界面，将硬盘跳线设为安全模式接入。这里我又要提一下，所谓安全（工厂）模式，其实就一个作用：硬盘通电后不会自动起转，必须由AT指令来唤醒。
接好硬盘后进入DSP模块，这时硬盘会自动起转，开始自检。如果正常的话，系统会找到硬盘的参数并在屏幕上部显示出来。如果没有，那么硬盘肯定有问题啦。
按照以下步骤来处理：
1、电路板正常否？换板试试。
2、加载LDR和RAM试试。这里要强调一个问题，一个硬盘的固件版本由三部分组成，例如：2B020H1110522-CMBA-A5FBA。其中第一项是硬盘型号（一个条码），第二项 是由逗号格开的4个字母，这一项与固件版本有关，请尽量找相同的。第三项电路板号与RAM有关，如果手上的固件没有你需要的电路板号，将硬盘电路板换成与固件相符的也行。（当然，有些是可以通用的，看运气了）。大家不要小看了电路板号，要修敲盘的硬盘，这是注意点之一。加载LDR和RAM以后，进入基本修复菜单。如果能正常进入，那么就把固件列表读出来看看，缺什么就写什么进去。如果什么都不缺，就做一下复位4模块，一般就OK了。如果不能正常进入，那就有很多情况了：
进入后只有硬盘参数，无型号、不能读出固件表。可以再加载一次RAM和LDR，注意是先加载RAM。如果RAM加载成功，会有一个短暂的加载过程（1---2秒），如果没有，那么加载失败，就把硬盘断一下电，试试刚才的操作。如果不行，退出DSP，硬盘断一次电再进，你会有发现的。如果上面两种方法还是不行的话，就做热交换吧。
方法1：先找个好的同型号硬盘（安全模式）进入DSP，停转硬盘，不拔电源线和数据线，将电路板换到待修盘体，读取固件列表。这招对美钻比较有效，对星钻就不行了
方法2：做完方法1后，加载待修硬盘的RAM，如果有1---3秒的加载过程后显绿色提示，那就成功了。这时硬盘会有“咯”的一声响。再加载LDR，成功的话基本上就可以读写固件啦。这里我要特别说明的是，加载RAM的成功率与电路板号相关，所以请尽量找相同的。如果没有，将电路板换到好的盘体上做一个RAM和LDR！！！！
什么？还不行，还是敲盘？**********，看我的必杀技。在热交换并加载RAM和LDR后，退出DSP，硬盘断一次电后再进DSP，加载LDR和RAM（星钻只加载LDR，进入基本修复菜单后再加载RAM和LDR）。应该行了吧？？？还不行就只有两条路了：A 换固件再试 B 放弃，除了拆板已经没什么维修价值了！
这里请务必注意，文中的加载顺序按文中的出现顺序进行。随时听硬盘有无“咯”的一声，只要有了，就可以去读固件列表，不必再进行后面的步骤。
QUANTUM盘常见故障说明
QUANTUM盘
1、表现为通电后或使用中硬盘噹噹响，大都电路板坏，CX、LD、AS盘则有可能是磁头坏。
2、表现为CMOS可以正确识别，但是自检后显示‘PRI DETECT FAIL’，FW出错，重写即可。
3、表现为开机自检在检测硬盘处停留很久，但可正确识别硬盘ID，在SYSTEM CONFIGURATIONS处可显示正确容量，0道坏；或系统进入很困难，硬盘前面有坏道。
IBM盘常见故障说明}
IBM盘
1、表现为开机自检时发出吱吱声，存在两种可能，第一是0道坏区；第二是电路板和硬盘体接触不良，即所谓的电路板移位问题。
2、表现为开机后在检测硬盘处停留很久，且没有检测到硬盘，但是硬盘通电后有磁头动作声，LODER问题，有些需重写FW。
3、表现为开机自检没有检测到，没有磁头动作声，但是有转动，磁头问题。
4、表现为通电后马达转动不畅，电路板或马达问题。
5、表现为通电后磁头来回扫动，电路板或马达问题。
6、使用过程中吱吱响，硬盘有坏区。
7、有些硬盘出现吱吱声和咵啦声，是磁头问题。
FUJITSU盘故障说明
FUJITSU盘
1、表现为认盘声正常，但是开机自检MODEL为乱码，且SYSTEM CONFIGURATIONS显示为NONE，FW出错，重写即可。
2、表现为认盘声正常，自检MODEL正确，SYSTEM CONFIGURATIONS显示的容量也正确，但是无法在DOS下进行磁盘操作，如FDISK、DM、LFORMAT等等；FW出错，纠正即可。
3、表现为开机自检在检测硬盘处停留很久，但可正确识别硬盘ID，在SYSTEM CONFIGURATIONS处可显示正确容量，0道坏，特别说明——这种故障极易导致故障1，需尽快送修。
4、表现为开机后系统很久都没法进去，硬盘有非0道坏道。
5、表现为开机后硬盘噹噹敲盘，电路板或磁头或FW问题，这种故障修复率比较低。
6、表现为时认时不认，电路板和FW的问题。
7、表现为使用过程中噹噹敲盘，电路板或FW问题。
火球其他电路板维修
火球其他系列电路板有CX，LE，VQ。CX与LCT相似，LE与LD相似，VQ与AS相似。这几种板的故障现象都以前面介绍的火球电路板维修相同，但这几种板损坏程度没有那么严重，一般都是换掉坏的芯片就可以了。特别是LE，大部分都是好的，盘坏的多。但由于其盘的型号不同，其电路板的设计与别的电路板还是有点不同。也有其比较特别的故障，也都是通病了，现将一一介绍，以供参考。
一：LE板：故障为打盘，它主要是磁头控制芯片坏，驱动坏的情况甚少。
二：VQ板：故障为寻道不完全，寻一点就停了，一般为主芯片坏。
三：LE，VQ板：故障为指示灯闪五下，一般为缓存坏。
四：CX板：多数坏驱动芯片和旁边的放电三极管，还有就是旁边的“排阻”
希捷电路板分类
酷鱼七代：长板：驱动芯片：6950D 100244097
酷鱼七代：短板：驱动芯片：6900D 100244097
酷鱼四代：主芯片：23400361-321 驱动芯片：6950D
主芯片：23400361-321 驱动芯片：100258192
酷鱼五代：主芯片：100226836 驱动芯片：100244097
主芯片：100226836 驱动芯片：6950D
希捷U5：主芯片：23400361 驱动芯片：100124433
主芯片：23400361 驱动芯片：SH6950C
希捷U6：主芯片：23400361 驱动芯片：100143434
按照以下步骤来处理：
1、电路板正常否？换板试试。
2、加载LDR和RAM试试。这里要强调一个问题，一个硬盘的固件版本由三部分组成，例如：2B020H1110522-CMBA-A5FBA。其中第一项是硬盘型号（一个条码），第二项 是由逗号格开的4个字母，这一项与固件版本有关，请尽量找相同的。第三项电路板号与RAM有关，如果手上的固件没有你需要的电路板号，将硬盘电路板换成与固件相符的也行。（当然，有些是可以通用的，看运气了）。大家不要小看了电路板号，要修敲盘的硬盘，这是注意点之一。加载LDR和RAM以后，进入基本修复菜单。如果能正常进入，那么就把固件列表读出来看看，缺什么就写什么进去。如果什么都不缺，就做一下复位4模块，一般就OK了。如果不能正常进入，那就有很多情况了：
进入后只有硬盘参数，无型号、不能读出固件表。可以再加载一次RAM和LDR，注意是先加载RAM。如果RAM加载成功，会有一个短暂的加载过程（1---2秒），如果没有，那么加载失败，就把硬盘断一下电，试试刚才的操作。如果不行，退出DSP，硬盘断一次电再进，你会有发现的。如果上面两种方法还是不行的话，就做热交换吧。
方法1：先找个好的同型号硬盘（安全模式）进入DSP，停转硬盘，不拔电源线和数据线，将电路板换到待修盘体，读取固件列表。这招对美钻比较有效，对星钻就不行了
方法2：做完方法1后，加载待修硬盘的RAM，如果有1---3秒的加载过程后显绿色提示，那就成功了。这时硬盘会有“咯”的一声响。再加载LDR，成功的话基本上就可以读写固件啦。这里我要特别说明的是，加载RAM的成功率与电路板号相关，所以请尽量找相同的。如果没有，将电路板换到好的盘体上做一个RAM和LDR！！！！
什么？还不行，还是敲盘？**********，看我的必杀技。在热交换并加载RAM和LDR后，退出DSP，硬盘断一次电后再进DSP，加载LDR和RAM（星钻只加载LDR，进入基本修复菜单后再加载RAM和LDR）。应该行了吧？？？还不行就只有两条路了：A 换固件再试 B 放弃，除了拆板已经没什么维修价值了！
这里请务必注意，文中的加载顺序按文中的出现顺序进行。随时听硬盘有无“咯”的一声，只要有了，就可以去读固件列表，不必再进行后面的步骤。
QUANTUM盘常见故障说明
QUANTUM盘
1、表现为通电后或使用中硬盘噹噹响，大都电路板坏，CX、LD、AS盘则有可能是磁头坏。
2、表现为CMOS可以正确识别，但是自检后显示‘PRI DETECT FAIL’，FW出错，重写即可。
3、表现为开机自检在检测硬盘处停留很久，但可正确识别硬盘ID，在SYSTEM CONFIGURATIONS处可显示正确容量，0道坏；或系统进入很困难，硬盘前面有坏道。
IBM盘常见故障说明}
IBM盘
1、表现为开机自检时发出吱吱声，存在两种可能，第一是0道坏区；第二是电路板和硬盘体接触不良，即所谓的电路板移位问题。
2、表现为开机后在检测硬盘处停留很久，且没有检测到硬盘，但是硬盘通电后有磁头动作声，LODER问题，有些需重写FW。
3、表现为开机自检没有检测到，没有磁头动作声，但是有转动，磁头问题。
4、表现为通电后马达转动不畅，电路板或马达问题。
5、表现为通电后磁头来回扫动，电路板或马达问题。
6、使用过程中吱吱响，硬盘有坏区。
7、有些硬盘出现吱吱声和咵啦声，是磁头问题。
FUJITSU盘故障说明
FUJITSU盘
1、表现为认盘声正常，但是开机自检MODEL为乱码，且SYSTEM CONFIGURATIONS显示为NONE，FW出错，重写即可。
2、表现为认盘声正常，自检MODEL正确，SYSTEM CONFIGURATIONS显示的容量也正确，但是无法在DOS下进行磁盘操作，如FDISK、DM、LFORMAT等等；FW出错，纠正即可。
3、表现为开机自检在检测硬盘处停留很久，但可正确识别硬盘ID，在SYSTEM CONFIGURATIONS处可显示正确容量，0道坏，特别说明——这种故障极易导致故障1，需尽快送修。
4、表现为开机后系统很久都没法进去，硬盘有非0道坏道。
5、表现为开机后硬盘噹噹敲盘，电路板或磁头或FW问题，这种故障修复率比较低。
6、表现为时认时不认，电路板和FW的问题。
7、表现为使用过程中噹噹敲盘，电路板或FW问题。
火球其他电路板维修
火球其他系列电路板有CX，LE，VQ。CX与LCT相似，LE与LD相似，VQ与AS相似。这几种板的故障现象都以前面介绍的火球电路板维修相同，但这几种板损坏程度没有那么严重，一般都是换掉坏的芯片就可以了。特别是LE，大部分都是好的，盘坏的多。但由于其盘的型号不同，其电路板的设计与别的电路板还是有点不同。也有其比较特别的故障，也都是通病了，现将一一介绍，以供参考。
一：LE板：故障为打盘，它主要是磁头控制芯片坏，驱动坏的情况甚少。
二：VQ板：故障为寻道不完全，寻一点就停了，一般为主芯片坏。
三：LE，VQ板：故障为指示灯闪五下，一般为缓存坏。
四：CX板：多数坏驱动芯片和旁边的放电三极管，还有就是旁边的“排阻”
希捷电路板分类
酷鱼七代：长板：驱动芯片：6950D 100244097
酷鱼七代：短板：驱动芯片：6900D 100244097
酷鱼四代：主芯片：23400361-321 驱动芯片：6950D
主芯片：23400361-321 驱动芯片：100258192
酷鱼五代：主芯片：100226836 驱动芯片：100244097
主芯片：100226836 驱动芯片：6950D
希捷U5：主芯片：23400361 驱动芯片：100124433
主芯片：23400361 驱动芯片：SH6950C
希捷U6：主芯片：23400361 驱动芯片：100143434
火球AS电路板维修
火球盘中7200转、2M缓存的有两种：一种为AS系列，另一种为LM，KA，KX系列。采用的驱动芯片都是ST公司。型号不同，不可代换。后者的电路板相对前者好修多了。
AS的盘在7200转状态下，驱动芯片的工作量大、发热量高，同时工作电压也高，AS板的供电也复杂。
驱动芯片引起的故障有：不转、不亮、空转、打盘。
由于电路板要比LCT系列的厚，小。所以一般不会出现虚焊现象，引起的故障有：闪、寻道不完全、打盘、不亮、不认盘、认错参数、转后熄灯等。
、火球AS的板的通病是驱动芯片旁边的三极管烧坏，而且换了也会烧哦，也难找到代换的三极管，许多维修人员都不能很好地解决这个难题。
驱动IC型号是L6279 V2.4，和L6279 V2.0不通用，不过许多维修人员都没有见过L6279 V2.0。驱动芯片虽小，但计得比较稳定，驱动芯片一般不会出现像飞利浦烧毁得那么严重。但旁边的小元件就比较容易坏，旁边的三极管烧坏就是首当其冲。它坏了的话，同时会产生其他的元件一起烧坏，所以直接换上去也会被烧坏。它坏了的情况下，同时会坏的元件有：470的电感，8V供电IC，驱动也有可能，但比较少。轻微的烧坏直拉换上去就可以好了，严重的烧伤那就要先检查电路了。看有没有其他坏了，如果还不行，那可能是PCB板坏了
火球CR/EX/EL电路板维修
火球CR/EX硬盘电路板采用的驱动芯片型号为AN8427FBP、TDA5147BH，与ST/SE的AN8426FBP、TDA5247CH驱动芯片不同，不可代换。AN8427FBP、TDA5147BH都具有耐高温和耐高压的特性，芯片比较稳定，一般情况下不会容易烧坏，但电路板的主芯片反而成为最容易坏的元件了。盘的使用时间长后温度升高，主芯片就越容易发生内部短路现象，从而造成3.3V的工作电压负荷再重，工作电压不稳定。严重的话也会造成磁头控制芯片及缓存的损坏，CR板还会把3.3V供电管烧坏。
CR/EX/EL电路板的工作电压有：12V，5V，8V，3.3V。常见的问题有：
一：指示灯长亮，为主芯片坏了。
二：指示灯亮一下，驱动芯片坏了或主芯片坏了
三：指示灯亮五下，缓存接触不良或坏了，主芯片接触不良或坏了
四：指示灯亮六下，磁头控制芯片坏了或8V工作电压没有电压。
五：指示灯不亮，工作电压不正常，主芯片坏了，晶振坏了，驱动芯片坏了。
*****主芯片的脚细，焊接时要很高的焊接技术的耐心**
火球LCT电路板维修
火球LCT系列电路板采用的驱动芯片为TDA5247/AN8428。TDA5247芯片的耐高温和耐高压的特性特差。甚至有的用不了半个钟就会了,耐用的很少。所以TDA5247芯片价格低。AN8428芯片是日本松下公司生产的芯片，具有耐高温和耐高压，用上几年也不会坏，可以说是LCT系列驱动芯片的精品，但价格高。但在市场上TDA5427芯片还是占多数。
换上好的飞利浦芯片后还是不转是维修火球电路板比较常见的问题。一般维修人员都会遇到这样的问题，现在我把我几年的修板经验交流出来。
一：焊接不当，还有的脚接触不良，需用烙铁加焊，也可用热风枪再吹。但最好是吹芯片时先加上松香水或松香膏，这样会提高焊接的效果。
二：“排阻”烧坏，可用万用表检查对其电阻值，为0.X欧。不是这坏了。换！
三：芯片的56，57脚的电路板上的接点已经烧烂。这也是常见的故障，需外接线连接，不连接好就会产生不转的现象。
四：电机接口旁边的放电三极管（只起二极管作用）击穿或接50-70脚边的元件掉了或坏了。但这一般是转不起的故障。
五：主芯片的1-3或倒数1-3是控制驱动芯片转的，其接触不良也不转。
六：IDE接口的脚接在一起，使主芯片不复位，特别是1-2脚。
七：上盘还是闪十下的，通常是8V电压没有或磁头控制芯片坏或没有电压输入
八：上盘还是闪五下的，缓存、主芯片接触不良或坏了。
九：如上都不行，那只能怀疑主芯片有问题了，换换看，不过要很高的焊接技术哦。
*****把主芯片也换了、磁头放大的芯片也换了，还是不行，灯依然不亮。如果电压正常的话，要看晶振的两端电压了。晶振也是很容易坏的其中一个元件，如果还不行，那可能是PCB板坏了。*****
火球电路板的分类
火球PCB板的每种系列都比较不同，主芯片也不同。从外观上能识别出来。就是LCT系列中的706、702、303还有SE、ST板比较难识别。现将火球的电路板分类出来，以供参考：
1 、板：03 主芯片：14-108406-03
2 、板：501 主芯片：14-108406-02
3 、板：812、主芯片：14-108413-02
4 、板：411、412 主芯片：D9046CM 101
5 、板：013 主芯片：14-113271-02
6 、板：110、111 主芯片：14-113271-04
7 、板：701、702 主芯片：D760006GJ 101
8 、板：706 主芯片：D760006GJ 102
9 、板：303 主芯片：D760006GJ 106
10、板：906、907、908 主芯片：D8915GJ 101
11、板：206、207、208 主芯片：D760009GJ 101
12、板：314、315 主芯片：D760009GJ 103
13、板：306 主芯片：760009BGJ 104
西数电路板分类
西数PCB板的每种系列都比较相同，只是主芯片不同。从外观上很难识别出来。现将西数AB、BB、EB系列的部分电路板分类出来，以供参考：
1、 主芯片：WD70C23-GP ST 2.3 驱动芯片：L6278AC
2、 主芯片：WD70C23-GP ST 2.3 驱动芯片：L6278 V1.2
3、 主芯片：WD70C23-GP ST 2.0 驱动芯片：L6278AC
4、 主芯片：WD70C23-GP ST 2.0 驱动芯片：L6262 V2.6
5、 主芯片：WD70C22-GP ST 2.0 驱动芯片：L6278 V1.2
6、 主芯片：WD80C24-IBM 1.1 驱动芯片：L6278AC
7、 主芯片：WD80C24-IBM 1.1PQ 驱动芯片：L6278AC
8、 主芯片：WD80C24-IBM 1.1 驱动芯片：L6278 V1.2
9、 主芯片：WD70C20 1.6 驱动芯片：L6262 V2.6
10、主芯片：WD70C20-SW ST 1.8 驱动芯片：L6262 V2.6
11、主芯片：WD70C20-SW ST 1.4 驱动芯片：L6262 V2.6
==========================================================
注意：该软件使用有一定的难度，使用时一定要小心！
Windows XP操作系统自动关机的实现
如果你想出门，但电脑又正在进行工作，这时就要用到自动关机。大多数实现自动关机的方法都是使用一些第三方软件，这样不仅麻烦，而且为实现这个小功能而专门动用一个软件，显的小题大做了！其实Windows XP(Windows 2000也可以)自身就具备定时关机的功能，下面我们就来看看如何实现Windows XP的自动关机。
Windows XP的关机是由Shutdown.exe程序来控制的，位于Windows＼System32文件夹中
。如果想让Windows 2000也实现同样的效果，可以把Shutdown.exe复制到系统目录下。
比如你的电脑要在22:00关机，可以选择“开始→运行”，输入“at 22:00 Shutdown -s”，这样，到了22点电脑就会出现“系统关机”对话框，默认有30秒钟的倒计时并提示你保存工作。如果你想以倒计时的方式关机，可以输入“Shutdown.exe -s -t 3600”，这里表示60分钟后自动关机，“3600”代表60分钟。
设置好自动关机后，如果想取消的话，可以在运行中输入“shutdown -a”。另外输入“shutdown -i”，则可以打开设置自动关机对话框，对自动关机进行设置。
Shutdown.exe的参数，每个都具有特定的用途，执行每一个都会产生不同的效果，比如“-s”就表示关闭本地计算机，“-a”表示取消关机操作，下面列出了更多参数，大家可以在Shutdown.exe中按需使用。
-f：强行关闭应用程序
-m ＼＼计算机名：控制远程计算机
-i：显示图形用户界面，但必须是Shutdown的第一个选项
-l：注销当前用户
-r：关机并重启
-t时间：设置关机倒计时
-c "消息内容"：输入关机对话框中的消息内容(不能超127个字符)
快速锁定计算机
如果你因为有急事而需要离开，但又不希望电脑进行系统注销，那该怎么办呢？哈，我们完全可以通 过双击桌面快捷方式来迅速锁定键盘和显示器，而无需使用CTRL+ALT+DEL组合键或屏幕保护程序。首先在桌面上单击鼠标右键，在随后出现的快捷菜单上选择"新建"→"快捷方式"，接着系统便会启动创建快捷方式向导，在文本框中输入“rundll32.exe user32.dll，LockWorkStation”，单击“下一步”，在弹出的窗口中输入快捷方式的名称。比如我们可将它命名为"锁定计算机"或选用你所喜欢的任何名称，单击"完成"。此时屏幕上会有一个空白的图标，如果你对图标的样式不满意，我们还可以对快捷方式图标进行修改，右键单击快捷方式，选择"属性"，单击"快捷方式"选项卡，点击“更改图标”按钮，在“在这个文件中查找图标”文本框中输入Shell32.dll，单击“确定”，再从列表中选择所需图标，并单击“确定”。怎么样？是不是变得好看多了。
远程桌面快捷方式
Windows XP提供了功能强大的“远程桌面连接”，通过它我们就可以把在公司未做好的事带回家去完成了。我们可以在家中计算机的桌面上添加一个快捷方式，以便快速启动“远程桌面连接”并与你公司中的计算机建立连接。
单击“开始”→“程序”→“附件”→“通讯”→“远程桌面连接”，在弹出的窗口中单击“选项”，再配置针对你公司中计算机的连接设置。点击“另存为”，输入名称(如“连接公司”)，单击“保存”。再打开刚才保存连接设置的文件夹，在名为“连接公司”的文件上单击鼠标右键。从随后出现的快捷菜单中点击“创建快捷方式”，再把快捷方式拖放到家中计算机的桌面上，如需启动“远程桌面连接”并与你公司中的计算机建立连接，只要双击此快捷方式，一切就OVER了。
在做本文的操作前，必须以管理员或 Administrators组成员身份登录才能完成该过程，登陆进入Windows XP操作系统。
一、自动关闭停止响应的程序
在Windows XP操作系统中，这个设置可以使Windows XP当诊测到某个应用程序已经停止相应时可以自动关闭它，而不需要进行麻烦的手工干预。想要实现这个功能，就请点击“开始”→“运行”输入“RegEdit”打开注册表编辑器，找到HKEY_CURRENT_USER\Control Panel\Desktop分支，将AutoEndTasks的键值设置为1即可。
二、加快启动和减少故障恢复时间
也许你的计算机中是Windows9X与WindowsXP共存，用户完全可以减少Windows XP操作系统启动的时候显示操作系统列表的时间。请点击“开始”→“运行”输入“msconfig”打开“系统配置实用程序”→“BOOT.INI”，将超时设置改为你想要的时间，如果你是一个忠实的Windows XP操作系统的使用者，笔者建议你完全可以把启动等待时间设置为5秒。或者右键单击“我的电脑”→“属性”→“高级”，在“启动和故障恢复”中点击“设置”，可以设置显示操作系统列表的时间，单击“编辑”也可以手动编辑启动选项，将timeout=30改为timeout=5即可。