操作系统遭遇滑铁卢

枫三侠

系统遭遇滑铁卢
昨晚系统崩溃了，电脑在60秒钟之后自动关闭，心里自然不是滋味。祸起萧墙，都是我的急性

子惹的祸，想心可以节约时间，这下可好啦，得不偿失！又在卸载软件，又在安全软件，本来

最近系统就有点慢，无意之中把services.exe这个系统进程结束了，系统进程不比运用进程，

结束了系统运行就不正常。但系统进程也有核心的与非核心的之分（这是我自己定义的，呵＾-

＾）有些系统进程结束了还能用，再说了，一般结束进程在重启电脑之生又会恢复正常，但重

启还是如此，都以失败而告终，最简单的办法，进入安全模式（安全模式有五大用途，在附里

说明）！进行系统还原，还是一路败北，可惜当时没有看看进程里有没有services.exe，我想

应该没有，如果有的话，效果一定是一样的，我怀疑我电脑的问题是services.exe文件被未知

的原因删掉了，所以在重启电脑后也加载不了，
   在忍不可忍的情况下，干脆重装系统，我现在很讨厌重装系统，重装系统后又装驱动又装运

用程序的，很麻烦。现在可是必上梁山啊！不屈服都不行。我自己又没有系统盘,找同学的找了

办天也没有找到,真是祸祸不单行.最后勉强用了张破片装上了.
   今天早上起来就装一个很大的运用程序--MATLAB，解压缩要十来分钟，安装二十来分钟（^

-^有点夸张,不过确实很慢,软件也很大,压缩包也有1.3G,7.0版的）.
   今天越想越不服,我还没有遭遇过这样的失败,心情难受之程度不亚于失恋(我还没有谈过恋

爱,^-^),我上网查查,到底是怎么回事,
  首先是找找services.exe在OS的什么位置,一搜,C:\WINDOWS\system32\services.exe.看字面

意思,services.exe就知道是一个服务方面的进程.详情还得在网上查查,用GOOGLE所查的结果简

要如下:
进程文件： services 或者 services.exe
进程名称： Windows Service Controller
  
描述：
services.exe是微软Windows操作系统的一部分。用于管理启动和停止服务。该进程也会处理在

计算机启动和关机时运行的服务。这个程序对你系统的正常运行是非常重要的。注意：

services也可能是W32.Randex.R(储存在%systemroot%system32目录)和Sober.P (储存在%

systemroot%Connection WizardStatus目录)木马。该木马允许攻击者访问你的计算机，窃取密

码和个人数据。该进程的安全等级是建议立即删除。



出品者： Microsoft Corp.
属于：Microsoft Windows Operating System

系统进程： 是
后台程序： 是
使用网络： 否
硬件相关： 否
常见错误： 未知N/A
内存使用： 未知N/A

安全等级 (0-5): 0
间谍软件： 否
Adware: 否
广告软件： 否
木马: 否

明白一些了,services.exe既是系统进程又是后台程序,是核心进程,没有它系统当然不能运行,

我想,如果在不重装系统的情况下怎么解决这个问题?昨晚我是不知道的了,要不然我才不重装系统呢。网上一查：
江民公布极速波(Zobot)病毒技术分析报告 　　　　　　
  病毒名称：极速波（I-Worm/Zobot）
  病毒类型：蠕虫、后门
  病毒大小：22528字节
  传播方式：网络
  危害程度：★★★
　　2005年8月15日，江民反病毒中心截获一个利用微软“即插即用服务代码执行漏洞”(MS05-039)的蠕虫病毒I-Worm/Zotob。该病毒利用最新漏洞传播，并且可以通过IRC接受黑客命令，使被感染计算机被黑客完全控制。
　　病毒具体技术特征如下：
　　1. 病毒运行后，将创建下列文件：

%SystemDir%\botzor.exe, 22528字节
图1
　　2. 在
注册表中
添加下列启动项：
　　[
HKEY_LOCAL_MACHINE
\SOFTWARE\Microsoft\Windows\CurrentVersion\
Run
]
　　"WINDOWS SYSTEM" = botzor.exe
　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
　　"WINDOWS SYSTEM" = botzor.exe
　这样，在Windows启动时，病毒就可以自动执行。

图2
　　3. 通过TCP端口8080连接IRC服务器，接受并执行黑客命令。可导致被感染计算机被黑客完全控制。
　　4. 在TCP端口33333开启FTP服务，提供病毒文件下载功能。利用微软即插即用服务远程代码执行漏洞(MS05-039)进行传播。如果漏洞利用代码成功运行，将导致远程目标计算机从当前被感染计算机的FTP服务上下载病毒程序。如果漏洞代码没有成功运行，未打补丁的远程计算机可能会出现services.exe进程崩溃的现象。

图3
　　5. 修改%SystemDir%\drivers\etc\hosts文件，屏蔽大量国外反病毒和安全厂商的网址。并有下列文本：
　　MSG to avs: the first av who detect this worm will be the first killed in the next 24hours!!!
　　针对该病毒，KV杀毒软件在8月15日升级病毒库后可以查杀。江民公司提醒广大用户，请注意及时升级病毒库，开启实时监控，立刻安装微软的安全补丁。保护您的系统不受此病毒的威胁。
经查，说是中毒了，真是越来越把我弄糊涂了，
　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
　　"WINDOWS SYSTEM" = botzor.exe
这个蠕虫也太厉害了，它把WINDOWS SYSTEM的键值都修了，我查看了一样，我的新的系统找不到这个路径，下图是我电脑上查到的：


我想来原WINDOWS SYSTEM的键值可能用空。
   我真诚在告诫朋友们，一定要照顾好自己的电脑，它比女人还难侍候。呵，同时也希望朋友们努力把解决问题当成一种乐趣，这样离电脑高手的距离就不远了，


附：
微软安全模式五大用途

   安全模式是Windows用于修复操作系统错误的专用模式，是一种不加载任何驱动的最小系统

环境，用安全模式启动电脑，可以方便用户排除问题，修复错误。进入安全模式的方法是：启

动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，

在出现的启动选项菜单中，选择“Safe Mode”，即可以安全模式启动计算机。那么安全模式到

底有哪些用途呢？下面就让我们具体来看一下。

1、修复系统故障

   如果Windows运行起来不太稳定或者无法正常启动，这时候先不要忙着重装系统，试着重新

启动计算机并切换到安全模式启动，之后再重新启动计算机，系统是不是已经恢复正常了？如

果是由于注册表有问题而引起的系统故障，此方法非常有效，因为Windows在安全模式下启动时

可以自动修复注册表问题，在安全模式下启动Windows成功后，一般就可以在正常模式(Normal)

下启动了。

2、恢复系统设置

   如果用户是在安装了新的软件或者更改了某些设置后，导致系统无法正常启动，也需要进入

安全模式下解决，如果是安装了新软件引起的，请在安全模式中卸载该软件，如果是更改了某

些设置，比如显示分辨率设置超出显示器显示范围，导致了黑屏，那么进入安全模式后就可以

改变回来，还有把带有密码的屏幕保护程序放在“启动”菜单中，忘记密码后，导致无法正常

操作该计算机，也可以进入安全模式更改。

3、删除顽固文件

   我们在Windows下删除一些文件或者清除回收站内容时，系统有时候会提示“某某某文件正

在被使用，无法删除”的字样，有意思的是，通常这些文件并没有正在被使用，那么是不是让

这些文件永远霸占我们的硬盘呢？请不要着急，重新启动计算机，并在启动时按下F8键进入安

全模式，试着删除那些顽固文件并清空回收站看一看，没了！原来Windows已经放弃了对这些文

件的保护，可以把它们删除了。

4、彻底清除病毒

   现在病毒一天比一天多，杀毒软件也跟着天天更新。但是，在Windows正常模式下有时候并

不能干净彻底地清除病毒，因为它们极有可能会交叉感染，而一些杀毒程序又无法在DOS下运行

，这时候我们当然也可以把系统启动至安全模式，使Windows只加载最基本的驱动程序，这样杀

起病毒来就更彻底、更干净了。

5、磁盘碎片整理

   在碎片整理的过程中，是不能运行其它程序的，因为每当其它程序进行磁盘读写操作时，碎

片整理程序就会自动重新开始，而一般在正常启动Windows时，系统会加载一些自动启动的程序

，有时这些程序又不易手动关闭，常常会对碎片整理程序造成干扰，这种情况下，我们就应该

重新启动计算机，进入安全模式，安全模式是不会启动任何自动启动程序的，可以保证磁盘碎

片整理的顺利进行。

遊客

唉，这年头病毒那叫多
前几天才中了backdoor
昨天又中了KLDown

枫三侠

真正可怕的病毒不是很多，多多学着点的话，问题不是很大的。

遊客

毒倒是好杀，就是后遗症比较烦
现在休眠以后启动了就进不去~必须强制关机

枫三侠

休眠启动我以前也做过，最近偶尔也干这事儿，应该没有太多的问题，休眼只是那些系统进程不再加载而矣，也你休眠之前没两样。

遊客

中毒以后的症状了，就是那个KLDown病毒
休眠再开机进入后只出现桌面工具栏不出来，任务管理器也调不出...

枫三侠

你到这个路径下搜一下：C:\WINDOWS\system32，看有没有，如果有直接删，如果不行，再看看安全模式。