问个问题 我们学校所有办公和家属的电脑都只用DHCP方式获取地址上网，但是有个别用户自己家中使用一个小路由器，而且DHCP协议也开着，这样就导致这个楼其他用户获取的是192的私有地址，上不了网。请问有没有知道我怎么才能快速的找到这个路由器

A：

1. 使用端口扫描工具扫描，看看那些机器在提供dhcp服务

2. 使用resource kit里面带的工具
安装win2k3 support tools ,使用其中的工具dhcploc.exe就可以定时侦测到非法的dhcp server.比如：
dhcploc -p -a:"dhcpadmin" -i:360 192.168.0.1 192.168.0.10 192.168.0.11
此命令以dhcpadmin的用户运行在192.168.0.1上面，将每隔360秒发送一次探测包，如果发现192.168.0.10和192.168.0.11之外的dhcp server，就会向dhcpadmin用户发送一个警告。
还有一些经验就是尽可能的把所有客户端加入域，不给随便安装软件，不予用户自设的dhcp server 授权。最简单的方法是行政管理，相信大家都明白这一点。

3. 在那些拿到非法ip的机器上面ipconfig /all 就可以看出非法的dhcp server ip了。

4. 可以使用sniffer工具来看那些机器在提供DHCPOFFER

5. 在交换机上使用DHCP Snooping技术，可以一定程度的预防这个问题。

　　连接到基于Windows 2000的DHCP服务器的客户端计算机，可以使用下面的命令来设置指定的DHCP类ID串：

　　ipconfig /setclassid adapter_name class_id

　　例如，要对一个称之为“局域网连接”的网卡配置用户类ID为“myuserclass”的DHCP类，只需要在命令行中输入ipconfig /setclassid “Local Area Connection” myuserclass，然后按下回车即可。在客户端只有一块网卡，所以这里也可以这样写 “ipconfig /setclassid * long”，星号代表本地所有连接，这样客户端就会使用ID为Long的DHCP用户类。图2为已配置好的Windows 2000系统客户端的本地网络参数。

　　从下图中我们可以看到，租约为10天，就是我们刚才配置的租期。DHCP Class ID 为long，DNS Servers和DHCP Servers还有网关皆为先前所设定值。大功告成啦！

　　目的基本达到了，可是总是会有新的问题出现。显然这种手动为客户端设置的方法工作量是很大的，为了解决这个问题，我们可以通过域给客户端设置登录脚本，让用户登录域的同时自动执行此脚本。

　　设置登录脚本

　　首先编写一个批处理文件DHCP.BAT。

　　Echo

　　Ipconfig/setclassid * long (*代表所有本地连接，这里针对的是客户端只有一块网卡)

　　将此脚本放在DC的NETLOGON目录下，并在域中为相应的OU或用户设置登录脚本，这样当用户登录到域时，会自动执行这个脚本命令，客户端也会得到相应的IP配置信息，这样未被授权的用户就没办法登录网络。

　　当然我们还可以对DHCP服务器进行授权管理，这需要通过DC上的DHCP服务对域内的其他服务器进行连接，并授权管理，这样未被授权的DHCP服务器在域中也是没有办法运行的。

　　经过一段时间的分析、实验，我们决定对该公寓楼部署DHCP Snooping和Dynamic ARP Inspection两项技术，以保证网络的正常运行。

　　该公寓网络设备使用情况如下，接入层为××台 2950交换机上联至堆叠的4台 3750，再通过光纤上联至汇聚层的 3750交换机。同时汇聚层的 3750交换机还兼做DHCP服务器。

　　部署过程

　　首先按如下过程配置DHCP Snooping

　　1 configure terminal

　　2 ip dhcp snooping 在全局模式下启用DHCP Snooping

　　3 ip dhcp snooping vlan 103 在VLAN 103中启用DHCP Snooping

　　4 ip dhcp snooping information option Enable the switch to insert and remove DHCP relay information(option-82 field) in forwarded DHCP request messages to the DHCP server. The default is enabled.

　　5 interface GigabitEthernet1/0/28，进入交换机的第28口

　　6 ip dhcp snooping trust 将第28口设置为受信任端口

　　7 ip dhcp snooping limit rate 500 设置每秒钟处理DHCP数据包上限

　　9 end 退出

　　完成配置后，可用如下命令观察DHCP Snooping运行状况：

　　show ip dhcp snooping

　　得到如下信息：

　　Switch DHCP snooping is enabled

　　DHCP snooping is configured on following VLANs：
　103

　　Insertion of option 82 is enabled

　　Verification of hwaddr field is enabled

　　Interface Trusted Rate limit (pps)

　　------------------------ ------- ----------------

　　GigabitEthernet1/0/22 yes unlimited

　　GigabitEthernet1/0/24 yes unlimited

　　GigabitEthernet1/0/27 yes unlimited

　　GigabitEthernet1/0/28 no 500

　　show ip dhcp snooping binding，得到如下信息：

　　MacAddress IpAddress Lease(sec) Type VLAN Interface

　　------------------ --------------- ---------- ------------- ---- -----------------------------------------------------------

　　00:11:09:11:51:16 210.77.5.201 3209 dhcp-snooping 103 GigabitEth ernet1/0/28

00:50:8D:63:5A:05 210.77.6.134 2466 dhcp-snooping 103 GigabitEthernet1/0/28

　　00:E0:4C:A17:80 210.77.4.26 3070 dhcp-snooping 103 GigabitEthernet1/0/28

　　00:0F:EA:A8:BC:22 210.77.5.198 1887 dhcp-snooping 103 GigabitEthernet1/0/28

　　10:E0:8C:50:805 210.77.5.95 3034 dhcp-snooping 103 GigabitEthernet1/0/28

　　00:03:0D:0E:9A:A5 210.77.6.230 3144 dhcp-snooping 103 GigabitEthernet1/0/28

　　00:50:8D:6C:08:9F 210.77.4.17 3012 dhcp-snooping 103 GigabitEthernet1/0/28

　　00:E0:50:00:0B:54 210.77.6.18 3109 dhcp-snooping 103 GigabitEthernet1/0/28

　　00:0F:EA:13:40:54 210.77.7.7 2631 dhcp-snooping 103 GigabitEthernet1/0/28

　　00:E0:4C:45:21:E9 210.77.7.77 2687 dhcp-snooping 103 GigabitEthernet1/0/28
　接下来配置Dynamic ARP Inspection

　　1 show cdp neighbors 检查交换机之间的连接情况

　　Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge

　　S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone

　　Device ID Local Intrfce Holdtme Capability Platform Port ID

　　ap Gig 1/0/23 149 T AIR-AP1230Fas 0

　　hall-3750 Gig 1/0/27 135 S I WS-C3750-2Gig 1/0/1

　　1#west-3750 Gig 1/0/28 173 S I WS-C3750G-Gig 1/0/25

　　2 configure terminal 进入全局配置模式

　　3 ip arp inspection vlan 103 在VLAN 103上启用Dynamic ARP Inspection

　　4 interface GigabitEthernet1/0/28 进入第28端口

　　5 ip arp inspection trust 将端口设置为受信任端口

　　The switch does not check ARP packets that it receives from the other switch on the trusted interface. It simply forwards the packets.

　　6 end

　　配置完成后可以用如下命令观察Dynamic ARP Inspection的运行情况

　　show arp access-list [acl-name] Displays detailed information about ARP ACLs.

　　show ip arp inspection interfaces [interface-id] Displays the trust state and the rate limit of ARP packets for the specified interface or all interfaces.

　　Interface Trust State Rate (pps) Burst Interval

　　--------------- ----------- ---------- --------------

　　Gi1/0/21 Untrusted 15 1

　　Gi1/0/22 Trusted None N/A

　　Gi1/0/23 Untrusted 15 1

　　Gi1/0/24 Trusted None N/A

　　Gi1/0/25 Untrusted 15 1
　Gi1/0/26 Untrusted 15 1

　　Gi1/0/27 Trusted None N/A

　　Gi1/0/28 Untrusted None N/A

　　show ip arp inspection vlan vlan-range, Displays the configuration and the operating state of dynamic ARP inspection for all VLANs configured on the switch, for a specified VLAN, or for a range of VLANs.

　　yql-2#-3750#sh ip arp inspection vlan 103

　　Source Mac Validation : Disabled

　　Destination Mac Validation : Disabled

　　IP Address Validation : Disabled

　　Vlan Configuration Operation ACL Match Static ACL

　　---- ------------- --------- --------- ----------

　　103 Enabled Active

　　Vlan ACL Logging DHCP Logging

　　---- ----------- ------------

　　103 Deny Deny

　　注意事项：

　　DHCP Snooping

　　l 在配置DHCP Snooping以前，必须确认该设备作为DHCP服务器。

　　l 建议对非信任端口的上限不要超过100。对于被设置为受信任的trunk端口，需要适当增加

　　Dynamic ARP Inspection

　　必须限制trunk端口处理ARP包的数量

　　五、一些问题的讨论

　　在实际使用过程中我们发现，在配置完上述命令后， 3750交换机会在运行一段时间以后变得缓慢，CPU利用率达到100％，性能严重下降。经过分析我们发现，在开始应用Dynamic ARP Inspection时，交换机会记录大量的数据包，当端口通过的数据包过多时，交换机会认为遭受DoS攻击，从而将端口自动errdisable，造成通信中断。为了解决这个问题，我们需要加入命令errdisable recovery cause arp-inspection。

　　由于 3750交换机能力有限，因此我们建议在使用 3750交换机配置上述命令时应逐级增大port limit
　六、小结

　　DHCP服务在网络中的广泛应用，极大地减轻了网络管理员的负担，方便了用户使用网络。但是由于有些用户私自指定IP地址，造成了IP地址自动分配时引起的IP地址冲突，进而影响其他用户的使用。我们经过实际测试，给出了上述解决方案，本方法不仅适合于的3750交换机，也适用于的65系列交换机。

　　DHCP防指定IP地址的方法在我校已经得到了成功的应用，经过实践检验，我们认为这是一个非常实用的功能。在系统设置好以后，网络中的用户只有设置为自动获取IP地址才能上网，否则将无法上网。从而解决了在使用DHCP的网络中，用户私自指定IP地址而带来的IP地址冲突问题。

　　如果公司内网由于用户自行安装了Windows Server版本的操作系统而小心启用了DHCP服务，或其他因素在内网中出现了非授权的DHCP服务器，会给网络造成什么样的影响呢？

　　DHCP server可以自动为用户设置网络IP地址、掩码、网关、DNS、WINS 等网络参数，简化了用户网络设置，提高了管理效率。但是，此时如果服务器和客户端没有认证机制，网络上存在的非法的DHCP服务器将会给部分主机的地址分配、网关及DNS参数照成混乱，导致主机无法连接到外部网络。出现这种情况，如何解决这些问题呢？

　　作为客户端计算机来说，可以尝试使用ipconfig /release释放获得的网络参数后，然后用ipconfig /renew重新尝试获取正确的DHCP服务器配置服务，但这种方法很被动，往往要十几次甚至几十次才偶尔有可能成功一次，不能从根本解决问题。

　　另外一个解决办法，在windows系统组建的网络中，如果非法DHCP服务器也是用Windows系统建立的话我们可以通过“域”的方式对非法DHCP服务器进行过滤。将合法的DHCP服务器添加到活动目录（Active Directory）中，通过这种认证方式就可以有效的制止非法DHCP服务器了。原理就是没有加入域中的DHCP Server在相应请求前，会向网络中的其他DHCP Server发送DHCPINFORM查询包，如果其他DHCP Server有响应，那么这个DHCP Server就不能对客户的要求作相应，也就是说网络中加入域的DHCP服务器的优先级比没有加入域的DHCP服务器要高。这样当合法DHCP存在时非法的就不起任何作用了。

授权合法DHCP的过程如下：

　　第一步：开始->程序->管理工具->DHCP

　　第二步：选择DHCP root, 用鼠标右键单击，然后浏览选择需要认证的服务器。

　　第三步：点“添加”按钮, 输入要认证的DHCP服务器IP地址, 完成授权操作。

　　但是该方法只适用于非法DHCP服务器是windows系统，需要用到域和活动目录，配置较复杂，另外对于非Windows的操作系统,就显得力不从心了。

　　还有更好的方法，就是利用交换机的DHCP监听，通过建立和维护DHCP Snooping绑定表过滤不可信任的DHCP信息，也就是过滤掉非法DHCP服务器向网络上发送的数据包。首先定义交换机上的信任端口和不信任端口，将DHCP服务器所连接的端口定义为信任端口，其它连接到普通客户端的端口全部定义为不信任端口，对于不信任端口的DHCP报文进行截获和嗅探，drop掉来自这些端口的非正常 DHCP 报文，从而达到过滤非法DHCP服务器的目的。

　　基本配置示例：

　　switch(config)#ip dhcp snooping vlan 100,200

　　/* 定义哪些 VLAN 启用 DHCP 嗅探

　　switch(config)#ip dhcp snooping

　　switch(config)#int fa4/10 /* dhcp服务器所在端口

　　switch(config-if)#ip dhcp snooping trust

　　switch(config)#int range fa3/1 - 48 /* 其它端口

　　switch(config-if)#no ip dhcp snooping trust (Default)

　　switch(config-if)#ip dhcp snooping limit rate 10 (pps)

　　/* 一定程度上防止 DHCP 拒绝服 /* 务攻击

　　运动是减肥最有效的办法之一，如何运动瘦身？专家介绍，运动减肥的关键在于掌握好运动量和运动方式，运动减肥的原则是坚持做有氧运动，每周不少于三次；短期运动不会有明显的效果，一定要坚持锻炼，才能达到运动减肥的目的。

　　运动强度太大也不行！

　　运动减肥，首先要避免剧烈运动，剧烈运动对减肥无效而且无益，这种消耗中占很大比例的是糖和水分，极易产生饥渴，会不由自主地加大进食量；这类运动也不易坚持，当运动心率超过一定的次数时，产生的疲惫感常常使人放弃运动，停停打打的结果当然是减肥无效。

　　运动持续时间太短？

　　有效减肥要坚持有氧运动，慢性运动是有氧运动，具有强度中等、有节奏、不易中断的特点，有利于脂肪的消耗，适合消化和循环，像骑自行车、游泳等运动，只要达到了中等强度、大组肌群参与、持续时间长于25-30分钟，都可以进行有效减肥。

    运动减肥是个比较漫长的过程,也需要相当的毅力才行，如果想快速轻松减肥的话，建议服用减肥药,再加以适当的运动，效果会更佳.

    找到有减肥意愿的同事，一起努力，相互监督。

    合理安排一日三餐，一定要吃早餐，尽量在家做好午餐带到公司，避免在外面吃高热量的快餐。晚餐吃个7分饱就合适了，睡觉前2小时绝对不要吃任何食物。

    尽量不要带饼干、零食到办公室，眼不见为静，多喝水，或者喝普洱茶，普洱茶的减肥功效是众所周知的。

    上班的时候，每隔一段时间走动一下；有时间的话，尝试面壁下蹲法进行运动。

    楼层不是太高的话，尽量爬楼梯而不是乘电梯；上下班提早一个站下车，然后步行到工作地点或回家。这也是增加运动量的好方法。

    我也是常坐办公室的，按照以上减肥方法，一个月减3-5斤不成问题。当然如果需要快速减肥的话，可以尝试增大运动量、吃减肥药等等。

    但是人又易在秋季发胖。入秋后气候渐渐凉爽，人体的舒适感增强，此时，脂肪逐渐积聚，人体开始发胖。胃口增大、睡眠增多是明显的表现。此时，人需要适当减少睡眠、控制饮食，并适当增加运动。否则夏季的减肥成果将前功尽弃，在秋季出现反弹。

    秋季减肥方法：

    1、饭前喝淡汤或吃个水果 汤可以抑制食欲，增加饱感。饭量便会减少。吃水果时，咀嚼与胃的饱足感是满足人们食欲而使人停止进食的两大要素。

    2、晚饭少吃，以素食为主　 晚饭吃得太多太晚，人体内胰岛素分泌量高，容易使热量转化成脂肪储存在体内，从而出现肥胖。

    3、饭后散步半小时　 此时，人们运动锻炼所耗的能量均来自脂肪，可有效地减少体脂而渐瘦。

    4、每天腹部按摩一次　 容易发胖的人自己可以通过合理按摩，使肌肉活动增强，血液循环加快，尤其是腹部按摩，不仅可以加快脂肪代谢和能量消耗还能促进肠蠕动，增加排便次数，减少肠道对营养物质的吸收，因而减肥效果更为显著。腹部按摩程序如下：

    ①揉腹：双手掌从腹部剑突下推至耻骨联合上缘，连推12次；

    ②将两手置于腹部左右两侧，从肋缘下推至骨盆处，连推12次；

    ③用左手置于脐周围，右手按在左手上面，揉按脐围，按顺时针和逆时针方向各揉12次。

    秋季减肥方法还有好多，不一一列举了，合适自己的，才是最好的方法。

    但是我们不得不承认，我们抵抗不住美食的诱惑，而且懒于运动。那就只能靠吃减肥药来减肥。

           您还在为自己形象而烦恼吗？还在暗暗羡慕人家苗条的身材吗？为什么不试着改变自己？

   其实减肥无非就是三种方法：1.节食 2.运动 3.吃减肥药。对于有毅力的朋友来说，节食和运动就是最好的方法。

	青青蔬菜水果萃取配方★完美搭配★安全绿色新主张-健康绿色
	139.0元

   信誉：

月销售：18290 件

	三皇冠热卖-欧麦诗数字闪电定点瘦减肥胶囊-绿色减肥-健康瘦身
	388.0元

信誉：

月销售：8892 件

	两盒超值疗程装 瘦身+巩固 靓颜花草胶囊 上市5年服用超百万
	156.0元

信誉：

月销售：5865 件

	百分百柠梅瘦身螺旋藻减肥绿色健康系列★中药+水果+蔬菜
	135.0元

信誉：

月销售：4241 件

	冲皇冠_至尊特配加强版减肥胶囊_瘦身巩固一次完成_买2赠1_包快递
	138.0元

信誉：

月销售：3372 件

	皇冠热卖 超高回头率《劲35附真人照片》纤舒美2代 ~授权销售
	136.0元

信誉：

月销售：3095 件

	植物果蔬膳食纤维*PO果素精华减肥瘦身健康美丽特价包快递
	158.0元

   信誉：

月销售：1949 件

	闻书香*吸脂魔方！天然成分的速效减肥产品，买2送1，有赠品包邮
	138.0元

   信誉：

月销售：1958 件

    减肥不是一两天的事，长期坚持月减十斤没问题！祝早日减肥成功！

   当然你也可以借助健康减肥药来减肥，给您推荐：

	青青蔬菜水果萃取配方★完美搭配★安全绿色新主张-健康绿色
	139.0元

    平时我很喜欢逛淘宝，看衣服、看饰品，总是挑选不到满意的，谁叫我肥呢？5月初的一天，无意中我看见一家淘宝店的减肥产品，叫青青蔬菜水果减肥胶囊，天啊，一个月5000多件的销售量，买家评价也不错，而且很多人都是一下子买2盒以上，看来效果确实很不错。我决定买一盒试一下，因为真的好希望减肥成功，再也受不了肥胖的苦恼了，减肥是我一直以来的愿望啊.(青青蔬果减肥原理)

    到货后，我严格按照说明书来服用，味道是果味的。同时每天下午运动半个小时，也就是慢跑、有时是打乒乓球。我每天恨不得称重好几次。一个星期过去了，经过一家药店进去称了一下，115斤，减了5斤！虽然不是很明显，但是对于我来说简直就是惊喜啊，我当时激动得不得了，减肥的信心也增加了不少。

    就这样过了一个月，减肥胶囊服用完的时候，一共减了17斤！呵呵，体重降到103了。最重要的是，大腿也变细了，终于可以穿超短裙了~~~

    相信姐妹们都在为这个夏天做准备，很多姐妹在为肥胖苦恼。我能深深的体会到你们的痛苦，因为我也是这样走过来的，受了多少异样的眼光和不平等的待遇，我真心的希望你们也能脱离苦海。一点减肥经验，但愿能给姐妹一点帮助。

    提示：吃青青蔬果胶囊的同时，每天适量运动半个小时,效果更加显著。

青青蔬果淘宝店铺地址：http://shop36242627.taobao.com

　　人在天凉的时候胃口很好，一顿饭吃了好多还意犹未尽。面对家里的各种零食，减少了户外运动而无所事事的你，吃的欲望会越来越强烈。为了补充热量，香浓的可可、奶茶，成为你冬天的最爱。但是，过不了多久，你就会发现，怎么没吃多少肉也会胖呢？

　　因为冬季气温较低，人的胃肠供血量增多，消化吸收功能增强，人容易饿，胃口好，饭量自然增加，所以冬季最易发胖，若能在这几个月中控制住体重，那么发胖的风险就大大减少。另外，人在寒冷中运动所消耗的热量比在温暖环境中要多得多。在气温骤降的冬季，人体热量产生加剧，基础代谢提高，可以消耗更多的脂肪。因此，冬季是一年中减肥的最好季节。

　　2、冬季减肥更节省

　　针对人们重视冬季减肥的现象，有关人士直言：“现在的女士可谓越来越精明了，因为冬季减肥可以节省钱嘛。”原来，每逢春夏季，减肥的人数就会多得美容院应接不暇，而收费方面也自然“水涨船高”，不少美容院都会在原基础上提高20%~35%的幅度。消费者不仅为此“缩荷包”，还常常要预约、等排期。而冬季美容院不但不会加价，还会因转季而推出不少优惠项目。

　　3、减肥不误进补

　　有专家称，冬季减肥对体虚肥胖者来说是个减肥的最佳时候。体虚肥胖者，是指人们常说的“喝水也会发胖”的人。这些人往往内分泌失调，吸收功能异常，使体重超常。减掉脂肪后，适当进补增强体质，使内分泌正常运行，更容易全面吸收营养，让女人更美丽动人。

如果想通过减肥药来达到快速减肥目的，不妨看看我们为大家推荐的淘宝网减肥产品排行榜

3皇冠热卖-欧麦诗数字闪电定点瘦减肥胶囊-绿色减肥-健康瘦身 388.0元	冲皇冠_强效瘦金装加强版_月销10000_买2赠1 138.0元	歌迪安系列血脂灵塑身胶囊 让您拥有完美曲线 月销千套 188.0元
韩国软黄金天然植物萃取 绿色安全健康最重要 活动买2送1 158.0元	全新第2代的纤舒美植物减肥胶囊◎让你拥有性感的身材 136.0元	【皇冠】绿色风暴 海尔斯，妮可纤姿红花清脂，纯植物萃取 138.0元
百分百柠梅瘦身螺旋藻减肥绿色健康系列★中药+水果+蔬菜 135.0元	包邮☆全天然水果萃取配方★完美搭配★安全绿色新主张-快速健康 138.0元	免邮-青汁减肥纯水果提取☆安全绿色健康最重要☆美少女型买2送1 158.0元
两盒疗程装 【瘦身+巩固】 靓颜花草胶囊 上市5年服用超百万 156.0元	豌豆热荐:螺旋藻纤体组合6+2送1 海洋生物轻松纤体70天量 132.0元	双皇冠 热销上万果蔬类减肥药减肥组合 2个月量健康牌减肥胶囊 138.0元
三皇冠◆辉煌特配强效丰之美组合◆海量顾客反馈 198.0元	★燕窝饼店★食美人山楂饱腹饼干--吃出小蛮腰，小鸟腿！！ 50.0元	青青蔬菜水果萃取配方★完美搭配★安全绿色新主张-健康绿色 139.0元

2、保证跟网络相关的服务正常运行：开始-设置-控制面板-管理工具-服务，将remote registry ,tcp/ip netbios helper,workstation 要设为“自动”并开启，将Net Logon设为“自动”。

3、如果你安装的系统为GHOST版的，有可能因为SID安全标识符的原因导致不能加域。可以去网上下一个SID更改工具。改完就可以正常加域了。http://88703.218203.06la.com.cn/updown/newsid.zip

4、尝试重新加入域，如还不行建议重装。

	迷你小苹果M1+JAVA+七页菜单+内置2G内存+甩歌+语音王
	450.0元

以正常登录了

一、安装瑞星卡卡,上面启动项管理,因取消一些无用项目,重启后,电脑就不断的注销和进入页面间切换,安全

模式也进不去.

原因：

因为取消了启动项目，实际改变注册表，瑞性卡卡的启动项管理中将Userinit项目列出，按照系统启

动顺序来说，Userinit.exe进程的执行还在Winlogon.exe之前，如果相关信息不正确，就会导致反复注销。

解决方案：

1、你在别的电脑上下载并刻录ERD Commander的光盘镜像文件，或者是找张这样的光盘，用这张光盘启动进

入ERD Commander，在其中执行注册表，然后找到

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon这个子键，双击

其中的Userinit键值，这是字符串键值，改为C:\WINDOWS\system32\userinit.exe,，注意最后一个半角的逗

号不能漏。

2、找张XP修复光盘进行修复安装。

二、上网电脑中毒,用卡巴斯基杀毒后"WINXP开机登录后自动注销,安全模式也一样。

原因：

广告程序BlazeFind干的好事，这个广告程序修改注册表时不是把自己的saupdater.exe放在userinit的后

面，而是直接用wsaupdater.exe替换了userinit.exe，使得注册表这一项

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nT\CurrentVersion\Winlogon\Userinit

的键值从默认的C:\WINDOWS\system32\userinit.exe,变为C:\Windows\System32\wsaupdater.exe,如果您

使用Ad-aware 6 Build 181清除该广告程序，重启动后可能会造成用户无法登录系统。

解决方案：

使用光盘或者软盘启动，将userinit.exe复制一份，命名为wsaupdater.exe放在同一目录下，以使得系统能够正常登录，然后将上面所述的注册表中被广告程序修改的键值恢复默认值，再删除wsaupdater.exe文件。（具体操作见以下）
cd system32
copy userinit.exe wsaupdater.exe
exit
Click start, then run. Enter
regedit
and click OK. Using RegEdit, expand
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows NT
CurrentVersion
Winlogon

Locate Userinit in the value column, right-click this item, and choose modify. Replace
"wsaupdater.exe" with "userinit.exe," (do not use quotes, and ensure the trailing comma is present as shown) and click OK. Exit RegEdit.

Restart your computer, and log on to the system using an account with administrator-level privileges.

Go to My Computer, then to the System32 folder (usually C:, then Windows, then System32). If Explorer prompts that removing files from these areas is not recommended, click to continue. Locate and remove wsaupdater.exe, and delete this file.

三、XP登陆后自动注销!

某天，你打开电脑，看到熟悉的XP界面，输入密码登陆....然后桌面在眼前闪过，突然开始注销..保存设置，

退回到登陆界面.. 于是开始试F8.. 安全模式也自动退了...剩下F8的全部模式都自动退了....绝望....

原因：

MSN FUNNY病毒把正常的userinit.exe给破坏了，并且把注册表里的

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 下的Userinit 键值

由C:\WINDOWS\system32\userinit.exe, 改成了C:\WINDOWS\system32\userinit32.exe,

解决方案：

1、中了WORM_FUNNER.A病毒

用系统盘启动，登录进恢复控制台，copy c:\windows\system32\userinit.exe userinit32.exe 重新启动就可

以正常登录了

2、通过局域网联机修复(远程修改注册表)：如用pstools里的psexec.exe执行

Psexec.exe \\主机名 -u 管理员用户名 -p 密码 c:\windows\regedit -s d:\us.reg

us.reg 内容如下：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

原因二：

查是否被感染：`
检查

系统中是否存在文件%SystemRoot%\system32\userinit32.exe，如果存在，则说明可能已经被蠕虫感染

解决方案：

对于Windows 2000/XP，请按照下面步骤进行

1.在命令提示符中输入下列命令，将蠕虫改名：

ren %SystemRoot%\system32\IEXPLORE.EXE IEXPLORE.EXE.vir

ren %SystemRoot%\system32\explorer.exe explorer.exe.vir

ren %SystemRoot%\system32\userinit32.exe userinit32.exe.vir ren %SystemRoot%\rundll32.exe

rundll32.exe.vir

2.修改注册表，将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

下的%SystemRoot%\system32\userinit32.exe修改为%SystemRoot%\system32\userinit.exe

3.重启系统

4、在命令提示符中输入下列命令，删除蠕虫文件

del %SystemRoot%\system32\IEXPLORE.EXE.vir

del %SystemRoot%\system32\explorer.exe.vir

del %SystemRoot%\system32\userinit32.exe.vir

del %SystemRoot%\system32\bsfirst2.log

del %SystemRoot%\rundll32.exe.vir

4、修改注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下

的"MMSystem"项

5、在命令提示符中输入下列命令，修复hosts文件：

type %SystemRoot%\system32\drivers\etc\hosts|find /v "222.89.98.219" > hosts.tmp

copy /Y hosts.tmp %SystemRoot%\system32\drivers\etc\hostswm7

del hosts.tmp

如果已经不恰当地删除了蠕虫，并导致系统无法正常登陆。请按照如下步骤进行：

1、用Windows 2000（或者Windows XP/2003）安装光盘引导系统，在“欢迎使用安装程序”的界面上按

“R”键，选择修复

2、然后按“C”键选择使用故障恢复控制台。

3、键入一个数字，选择某个Windows 安装，通常是“1”。然后输入管理员密码。

4、进入system32目录，输入命令：

del userinit32.exe

copy userinit.exe userinit32.exe

5、重启系统，将上面介绍的清除蠕虫的办法再进行一遍