请不要放弃生活中的每一天，迁就个人的懒惰。
请不要放弃生活中的每一天，迁就个人的懒惰。
心若改变，你的态度跟着改变；态度改变，你的习惯跟着改变； 习惯改变，你的性格跟着改变；性格改变，你的人生跟着改变。
文章
网络技术站点
（作者置顶）
http://www.chinaitlab.com/www/index.asp 中国IT认证实验室
http://www.net130.com cisco相关技术 oracle等等
http://www.wolf-lab.com/bbs/cgi-bin/leobbs.cgi ccie论坛
http://www.net527.cn/index.php cisco无忧论坛
http://www.netemu.cn/bbs/ 关注实验模拟器
http://www.csna.cn/ 网路分析论坛
http://www.1000bbs.com 千家论坛--智能与绿色建筑行业大型社区
http://bbs.hanvic.com 济南汉维科技---cisco培训机构
http://www.ccxx.net 亚维科技--------cisco培训机构
http://www.net5u.net 网络五忧技术网
http://www.ddvip.net/ 豆豆技术网
http://vod.sjtu.edu.cn/help/index.asp 网络技术应用指南
http://www.cnoug.org/ 权威的oracle网站
http://www.eimhe.com/bbs/美河学习网
http://www.100kw.com/百分百认证考网
http://www.booksba.com/书吧（含视频资料）
http://www.ivdown.com/bbs/ ivdown论坛
http://www.microsoft.com/china/technet/ 微软技术站点－－内容很全
http://support.huawei.com/ 华为技术支持站点
http://guide.it168.com/ 产品手册大全
http://www.vodzy.com/ 视频资源网
http://www.abab123.com/index.html 各大学各科目的视频教程
http://cnc.sysom.com/bbs/ 系统集成论坛
http://www.xtzj.com/index.php 系统之家
http://bbs.deepin.org/?u=144920 深度技术论坛
http://cnc.sysom.com/bbs/ 系统集成网
http://bbs.cfanhome.com/ 电脑爱好者之家
http://www.cnhacker.com/index.htm/ 中国黑客联盟
http://www.phpchina.com/bbs/中国开源之路
http://bbs.okajax.com/index.php ajax技术交流
http://www.microsoft.com/china/technet/webcasts/default.mspx 微软中文网络广播
http://bbs.cniso.org/ 自由之翼【TFW】破解组织
速达联锁企业解决方案
方案提供商:济南速达软件部
客户简介： 广东****企业集团是汽车美容连锁服务及销售汽车美容用品的公司，1997年成立，总公司在深圳，现在在全国有200多家直属连锁店,是汽车后续服务业中首批“中国连锁协会会员单位”。公司成立以来，一直致力于发展中国汽车美容养护服务事业，在全国范围内建设汽车美容养护连锁服务体系。公司先后与美国最大汽车用品商——美国壳牌公司旗下的彭泽尔.奎克.斯达特公司和霍尼韦尔旗下的英国豪特.劳埃得公司合作，借鉴国外汽车美容养护的先进技术和管理经验，按照国际领先的汽车美容养护标准，通过连锁经营的方式为我国数百万的汽车用户服务。连锁体系遍及全国。 <经过多年的发展，企业不断成熟壮大，目前已形成集研发、连锁、营销、服务为一体的现代综合型企业。现有连锁店投资顾问6人，营运经理8人，技术培训及项目开发工程师12人，店长级技术人员42人，一级技师25人，技师35人，技工120人。大专以上学历占85%，平均高素质的人才和强劲的创新能力，使靓马企业集团具备了国内领先的技术研发能力和连锁经营管理水平，在汽车美容养护行业享有很高的声誉和极好的商业信誉。
一直以来，靓马奉行敬业、务实、勤奋、进取的企业精神，以“客户至上、质量第一；服务至上、信誉第一”为企业宗旨，在经营理念上，坚持做到高标准、严要求、零缺陷。以优质的产品赢得客户，用完善的服务满足客户，从而得到了广大汽车用户的一致好评，企业也因此获得“质量可信单位”，并通过了ISO9000(2000)国际质量管理体系认证。为了让集团能够更快的发展，集团决定找一个适合自己管理要求的信息系统，以提高管理水平及工作效率。 管理具体要求如下： 1、要求每个子公司下的分支销售点都要独立核算，子公司的数据又可与分支销售点的数据汇总； 2、所有销售点都要用POS前台收银机，对销售的汽车美容用品、汽车护理服务等进行收银；3、POS前台要能支持储值卡、会员卡消费功能；
4、当普通消费后，如果客户满意，再买个会员卡，可以改为会员消费收入； 5、产品需要有销售会员卡和储值卡的功能； 6、母公司与各子公司要有合并报表； 7、总部每个人员负责一个子公司及其分支销售点的出纳会计工作，另外要设一个管理员管理。 8、母子公司间的往来核销要通过其他应收应付来处理。 9、每个销售点都有固定资产要管理和工资核算。 案例解析： 根据广东靓马企业集团所提出的管理要求，为广东靓马企业集团推荐速达5000商业网络版20用户，另加230个远程客户端，因为靓马企业集团需要一套总部与分支独立核算的产品，并要有会员卡及储值卡功能，所以只有速达5000商业版最适合客户使用，具体问题解决方法如下： 1、 速达5000商业版产品最新版，可以实现总部与分支机构管理并独立核算。 2、 速达5000商业版的POS前台，支持远程登陆，也支持分支管理可以为独立分支业务之一，远程POS前台在下载完资料后还可脱线操作，这样可以保证最少200个客户端同时运行的速度不受影响； 3、 速达5000商业版有会员卡功能，比速达3000XP产品多出个储值卡消费功能； 4、 当POS前台普通消费后，客户如果有了会员卡，想变为会员消费，可以用POS前台输入退货单（数量为正常销售负数，最好按以前的POS打印出来的销售单退货处理），再补一张POS销售单相同货品，为会员价、储值卡消费即可； 5、 可以建货品资料为“会员卡”（在销售时捆绑储值卡一并销售），销售完后到另一台装有进销存平台进行储值卡充值； 6、 速达5000商业版产品，在生成报表时，可选分支报表、总部报表或全部分支报表，所以不需要用报表合并的功能就可以直接实现他的要求； 7、 在深圳新浪潮总部，总部每一个操作员每天负责多个子公司及其分支销售点的出纳会计工作，可以为每个分支建三个操作员，一个用于POS前台，一个用于储值卡充值、上传数据、统计分支工作，另一个用于总部一个人分支统计工作； 8、 母子公司间的往来核销要通过其他应收应付来处理。这个要求，我们速达5000商业版的分支机构管理中，有“机构间业务核算类型编辑”，可以设置应收应付、现金银行存取款、往来核销、调拨单等分支间业务会计科目的设置；
9、 速达5000商业版，固定资产、员工资料、工资数据都可以按总部与分支来建，而且现在最新版，固定资产的计提和工资费用分配，也可全分为总部和分支独立来操作。 使用效果评测： 原来的广东****企业集团的内部管理还是很好的，各种管理制度都很健全，内部管理流程清晰，人员的综合素质比较高，计算机的操作水平也很高，早期有一个POS收银软件在管理前台的销售。不足的是很多数据处理的工作还停留在手工上，数据流转的速度慢，总经理要一张销售报表最少要一天才能出来，各部门的数据相对独立，经常出现各部门之间的数据错误，管理体制已经不能满足集团发展的需要了。速达5000商业版是个小型的ERP软件，可以管理到了企业的方方面面。靓马企业集团使用了速达5000产品后，对5000产品的功能非常满意，集团内部的财务，销售，零售，采购，仓库，客户关系以及经营分析全部管了起来，尤其对前台的零售更加满意，原来担心的原有的POS不能过度的问题也得到了很好的解决，我们5000产品的POS功能与他们原有的POS系统基本相同，而工作效率提高了几倍，总经理每天只要打开速达5000的数据中心，就可以查看与公司经营有关的所有数据。使总经理随时都可以了解企业的经营数据。
常见端口详解及部分攻击策略
那么TCP/IP协议中的端口指的是什么呢？如果把IP地址比作一间房子 ，端口就是出入这间房子的门。真正的房子只有几个门，但是一个IP地址的端口可以有65536个之多！端口是通过端口号来标记的，端口号只有整数，范围是从0 到65535。
端口有什么用呢？我们知道，一台拥有IP地址的主机可以提供许多服务，比如Web服务、FTP服务、SMTP服务等，这些服务完全可以通过1个IP地址来实现。那么，主机是怎样区分不同的网络服务呢？显然不能只靠IP地址，因为IP 地址与网络服务的关系是一对多的关系。实际上是通过“IP地址+端口号”来区分不同的服务的。
端口可分为3大类：
1） 公认端口（Well Known Ports）：从0到1023，它们紧密绑定于一些服务。通常这些端口的通讯明确表明了某种服 务的协议。例如：80端口实际上总是HTTP通讯。
2） 注册端口（Registered Ports）：从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口同样用于许多其它目的。例如：许多系统处理动态端口从1024左右开始。
3） 动态和/或私有端口（Dynamic and/or Private Ports）：从49152到65535。理论上，不应为服务分配这些端口。实际上，机器通常从1024起分配动态端口。但也有例外：SUN的RPC端口从32768开始。
本节讲述通常TCP/UDP端口扫描在防火墙记录中的信息。记住：并不存在所谓ICMP端口。如果你对解读ICMP数据感兴趣，请参看本文的其它部分。
0
通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试 图使用一种通常的闭合端口连接它时将产生不同的结果。一种典型的扫描：使用IP地址为 0.0.0.0，设置ACK位并在以太网层广播。
1 tcpmux
这显示有人在寻找SGIIrix机器。Irix是实现tcpmux的主要提供者，缺省情况下tcpmux在这种系统中被打开。Iris机器在发布时含有几个缺省的无密码的帐户，如lp,guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。许多管理员安装后忘记删除这些帐户。因此Hacker们在Internet上搜索tcpmux 并利用这些帐户。
7Echo
你能看到许多人们搜索Fraggle放大器时，发送到x.x.x.0和x.x.x.255的信息。常见的一种DoS攻击是echo循环（echo-loop），攻击者伪造从一个机器发送到另一个UDP数据包，而两个机器分别以它们最快的方式回应这些数据包。（参见Chargen） 另一种东西是由DoubleClick在词端口建立的TCP连接。有一种产品叫做“Resonate Global Dispatch”，它与DNS的这一端口连接以确定最近的路由。Harvest/squid cache将从3130端口发送UDP echo：“如果将cache的source_ping on选项打开，它将对原始主机的UDP echo端口回应一个HIT reply。”这将会产生许多这类数据包。
11 sysstat
这是一种UNIX服务，它会列出机器上所有正在运行的进程以及是什么启动了这些进程。这为入侵者提供了许多信息而威胁机器的安全，如暴露已知某些弱点或帐户的程序。这与UNIX系统中“ps”命令的结果相似再说一遍：ICMP没有端口，ICMP port 11通常是ICMP type=11
19 chargen
这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时，会发送含有垃圾字符的数据流知道连接关闭。Hacker利用IP欺骗可以发动DoS攻击。伪造两 个chargen服务器之间的UDP包。由于服务器企图回应两个服务器之间的无限的往返数据通讯一个chargen和echo将导致服务器过载。同样fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
21 ftp
最常见的攻击者用于寻找打开“anonymous”的ftp服务器的方法。这些服务器带有可读写的目录。Hackers或Crackers利用这些服务器作为传送warez (私有程序) 和pr0n(故意拼错词而避免被搜索引擎分类)的节点。
22 ssh
PcAnywhere建立TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点。如果配置成特定的模式，许多使用RSAREF库的版本有不少漏洞。（建议在其它端口运行ssh）还应该注意的是ssh工具包带有一个称为make-ssh-known-hosts的程序。它会扫描整个
域的ssh主机。你有时会被使用这一程序的人无意中扫描到。UDP（而不是TCP）与另一端的5632端口相连意味着存在搜索pcAnywhere的扫描。5632 （十六进制的0x1600）位交换后是0x0016（使进制的22）。
23 Telnet
入侵者在搜索远程登陆UNIX的服务。大多数情况下入侵者扫描这一端口是为了找到机器运行的操作系统。此外使用其它技术，入侵者会找到密码。
25 smtp
攻击者（spammer）寻找SMTP服务器是为了传递他们的spam。入侵者的帐户总被关闭，他们需要拨号连接到高带宽的e-mail服务器上，将简单的信息传递到不同的地址。SMTP服务器（尤其是sendmail）是进入系统的最常用方法之一，因为它们必须完整的暴露于Internet且邮件的路由是复杂的（暴露+复杂=弱点）。
53 DNS
Hacker或crackers可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其它通讯。因此防火墙常常过滤或记录53端口。 需要注意的是你常会看到53端口做为UDP源端口。不稳定的防火墙通常允许这种通讯并假设这是对DNS查询的回复。Hacker常使用这种方法穿透防火墙。
67和68 Bootp和DHCP
UDP上的Bootp/DHCP：通过DSL和cable-modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址分配。Hacker常进入它们分配一个地址把自己作为局部路由器而发起大量的“中间人”（man-in-middle）攻击。客户端向68端口（bootps）广播请求配置，服务器向67端口（bootpc）广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。
69 TFTP(UDP)
许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常错误配置而从系统提供任何文件，如密码文件。它们也可用于向系统写入文件。
79 finger Hacker
用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其它机器finger扫描。
98 linuxconf 这个程序提供linux
boxen的简单管理。通过整合的HTTP服务器在98端口提供基于Web界面的服务。它已发现有许多安全问题。一些版本setuidroot，信任局域网，在/tmp下建立Internet可访问的文件，LANG环境变量有缓冲区溢出。 此外因为它包含整合的服务器，许多典型的HTTP漏洞可能存在（缓冲区溢出，历遍目录等）
109 POP2
并不象POP3那样有名，但许多服务器同时提供两种服务（向后兼容）。在同一个服务器上POP3的漏洞在POP2中同样存在。
110 POP3
用于客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个（这意味着Hacker可以在真正登陆前进入系统）。成功登陆后还有其它缓冲区溢出错误。
111 sunrpc portmap rpcbind Sun RPC
PortMapper/RPCBIND。访问portmapper是扫描系统查看允许哪些RPC服务的最早的一步。常 见RPC服务有：rpc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者发现了允许的RPC服务将转向提供 服务的特定端口测试漏洞。记住一定要记录线路中的daemon, IDS, 或sniffer，你可以发现入侵者正使用什么程序访问以便发现到底发生了什么。
113 Ident auth
这是一个许多机器上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多机器的信息（会被Hacker利用）。但是它可作为许多服务的记录器，尤其是FTP, POP, IMAP, SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，你将会看到许多这个端口的连接请求。记住，如果你阻断这个端口客户端会感觉到在防火墙另一边与e-mail服务器的缓慢连接。许多防火墙支持在TCP连接的阻断过程中发回RST，着将回停止这一缓慢的连接。
119 NNTP news
新闻组传输协议，承载USENET通讯。当你链接到诸如：news://comp.security.firewalls/. 的地址时通常使用这个端口。这个端口的连接企图通常是人们在寻找USENET服务器。多数ISP限制只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送spam。
135 oc-serv MS RPC end-point mapper Microsoft
在这个端口运行DCE RPC end- point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和/或RPC的服务利用机器上的end-point mapper注册它们的位置。远端客户连接到机器时，它们查询end-point mapper找到服务的位置。同样Hacker扫描机器的这个端口是为了找到诸如：这个机器上运 行Exchange Server吗？是什么版本？ 这个端口除了被用来查询服务（如使用epdump）还可以被用于直接攻击。有一些DoS攻 击直接针对这个端口。
137 NetBIOS name service nbtstat (UDP)
这是防火墙管理员最常见的信息，请仔细阅读文章后面的NetBIOS一节
139 NetBIOS File and Print Sharing
通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于Windows“文件和打印机共享”和SAMBA。在Internet上共享自己的硬盘是可能是最常见的问题。 大量针对这一端口始于1999，后来逐渐变少。2000年又有回升。一些VBS（IE5 VisualBasic
s cripting）开始将它们自己拷贝到这个端口，试图在这个端口繁殖。
143 IMAP
和上面POP3的安全问题一样，许多IMAP服务器有缓冲区溢出漏洞运行登陆过程中进入。记住：一种Linux蠕虫（admw0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已被感染的用户。当RadHat在他们的Linux发布版本中默认允许IMAP后，这些漏洞变得流行起来。Morris蠕虫以后这还是第一次广泛传播的蠕虫。这一端口还被用于IMAP2，但并不流行。 已有一些报道发现有些0到143端口的攻击源于脚本。
161 SNMP(UDP)
入侵者常探测的端口。SNMP允许远程管理设备。所有配置和运行信息都储存在数据库中，通过SNMP客获得这些信息。许多管理员错误配置将它们暴露于Internet。Crackers将试图使用缺省的密码“public”“private”访问系统。他们可能会试验所有可能的组合。 SNMP包可能会被错误的指向你的网络。Windows机器常会因为错误配置将HP JetDirect remote management软件使用SNMP。HP OBJECT IDENTIFIER将收到SNMP包。新版的Win98使用SNMP解析域名，你会看见这种包在子网内广播
（cable modem, DSL）查询sysName和其它信息。
162 SNMP trap
可能是由于错误配置
177 xdmcp
许多Hacker通过它访问X-Windows控制台，它同时需要打开6000端口。
513
rwho 可能是从使用cable modem或DSL登陆到的子网中的UNIX机器发出的广播。这些人为Hacker进入他们的系统提供 了很有趣的信息。
553 CORBA IIOP (UDP)
如果你使用cable modem或DSL VLAN，你将会看到这个端口的广播。CORBA是一种面向对象的RPC（remote procedure call）系统。Hacker会利用这些信息进入系统。
600 Pcserver backdoor
请查看1524端口一些玩s cript的孩子认为他们通过修改ingreslock和pcserver文件已经完全攻破了系统-- Alan J. Rosenthal.
635 mountd
Linux的mountd Bug。这是人们扫描的一个流行的Bug。大多数对这个端口的扫描是基于UDP的，但基于TCP 的mountd有所增加（mountd同时运行于两个端口）。记住，mountd可运行于任何端口（到底在哪个端口，需要在端口111做portmap查询），只是Linux默认为635端口，就象NFS通常运行于2049端口。
1024
许多人问这个端口是干什么的。它是动态端口的开始。许多程序并不在乎用哪个端口连接网络，它们请求操作系统为它们分配“下一个闲置端口”。基于这一点分配从端口1024开始。这意味着第一个向系统请求分配动态端口的程序将被分配端口1024。为了验证这一点，你可以重启机器，打开Telnet，再打开一个窗口运行“natstat -a”，你将会看到Telnet被分配1024端口。请求的程序越多，动态端口也越多。操作系统分配的端口将逐渐变大。再来一遍，当你浏览Web页时用“netstat”查看，每个Web页需要一个新
端口。
?ersion 0.4.1, June 20, 2000
http://www.robertgraham.com/pubs/firewall-seen.html
Copyright 1998-2000 by Robert Graham
(mailto:firewall-seen1@robertgraham.com.
All rights reserved. This document may only be reproduced (whole or
in part) for non-commercial purposes. All reproductions must
contain this copyright notice and must not be altered, except by
permission of the author.
1025 参见1024
1026 参见1024
1080 SOCKS
这一协议以管道方式穿过防火墙，允许防火墙后面的许多人通过一个IP地址访问Internet。理论上它应该只允许内部的通信向外达到Internet。但是由于错误的配置，它会允许Hacker/Cracker的位于防火墙外部的攻击穿过防火墙。或者简单地回应位于Internet上的计算机，从而掩饰他们对你的直接攻击。WinGate是一种常见的Windows个人防火墙，常会发生上述的错误配置。在加入IRC聊天室时常会看到这种情况。
1114 SQL
系统本身很少扫描这个端口，但常常是sscan脚本的一部分。
1243 Sub-7木马（TCP）
参见Subseven部分。
1524 ingreslock后门
许多攻击脚本将安装一个后门Sh*ll 于这个端口（尤其是那些针对Sun系统中Sendmail和RPC服务漏洞的脚本，如statd,ttdbserver和cmsd）。如果你刚刚安装了你的防火墙就看到在这个端口上的连接企图，很可能是上述原因。你可以试试Telnet到你的机器上的这个端口，看看它是否会给你一个Sh*ll 。连接到600/pcserver也存在这个问题。
2049 NFS
NFS程序常运行于这个端口。通常需要访问portmapper查询这个服务运行于哪个端口，但是大部分情况是安装后NFS杏谡飧龆丝冢?acker/Cracker因而可以闭开portmapper直接测试这个端口。
3128 squid
这是Squid HTTP代理服务器的默认端口。攻击者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。你也会看到搜索其它代理服务器的端口：8000/8001/8080/8888。扫描这一端口的另一原因是：用户正在进入聊天室。其它用户（或服务器本身）也会检验这个端口以确定用户的机器是否支持代理。请查看5.3节。
5632 pcAnywere
你会看到很多这个端口的扫描，这依赖于你所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能得代理（译者：指agent而不是proxy）。Hacker/cracker也会寻找开放这种服务的机器，所以应该查看这种扫描的源地址。一些搜寻pcAnywere的扫描常包含端口22的UDP数据包。参见拨号扫描。
6776 Sub-7 artifact
这个端口是从Sub-7主端口分离出来的用于传送数据的端口。例如当控制者通过电话线控制另一台机器，而被控机器挂断时你将会看到这种情况。因此当另一人以此IP拨入时，他们将会看到持续的，在这个端口的连接企图。（译者：即看到防火墙报告这一端口的连接企图时，并不表示你已被Sub-7控制。）
6970 RealAudio
RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP7070端口外向控制连接设置的。
13223 PowWow
PowWow 是Tribal Voice的聊天程序。它允许用户在此端口打开私人聊天的连接。这一程序对于建立连接非常具有“进攻性”。它会“驻扎”在这一TCP端口等待回应。这造成类似心跳间隔的连接企图。如果你是一个拨号用户，从另一个聊天者手中“继承”了IP地址这种情况就会发生：好象很多不同的人在测试这一端口。这一协议使用“OPNG”作为其连接企图的前四个字节。
17027 Conducent
这是一个外向连接。这是由于公司内部有人安装了带有Conducent "adbot" 的共享软件。Conducent "adbot"是为共享软件显示广告服务的。使用这种服务的一种流行的软件是Pkware。有人试验：阻断这一外向连接不会有任何问题，但是封掉IP地址本身将会导致adbots持续在每秒内试图连接多次而导致连接过载：
机器会不断试图解析DNS名─ads.conducent.com，即IP地址216.33.210.40 ；
216.33.199.77
；216.33.199.80
；216.33.199.81；216.33.210.41。（译者：不知NetAnts使用的Radiate是否也有这种现象）
27374 Sub-7木马(TCP)
参见Subseven部分。
30100 NetSphere木马(TCP)
通常这一端口的扫描是为了寻找中了NetSphere木马。
31337 Back Orifice “elite”
Hacker中31337读做“elite”/ei’li:t/（译者：法语，译为中坚力量，精华。即 3=E, 1=L, 7=T）。因此许多后门程序运行于这一端口。其中最有名的是Back Orifice。曾经一段时间内这是Internet上最常见的扫描。现在它的流行越来越少，其它的 木马程序越来越流行。
31789 Hack-a-tack
这一端口的UDP通讯通常是由于"Hack-a-tack"远程访问木马（RAT, Remote Access Trojan）。这种木马包含内置的31790端口扫描器，因此任何31789端口到317890端口的连 接意味着已经有这种入侵。（31789端口是控制连接，317890端口是文件传输连接）
32770~32900 RPC服务
Sun Solaris的RPC服务在这一范围内。详细的说：早期版本的Solaris（2.5.1之前）将 portmapper置于这一范围内，即使低端口被防火墙封闭仍然允许Hacker/cracker访问这一端口。 扫描这一范围内的端口不是为了寻找portmapper，就是为了寻找可被攻击的已知的RPC服务。
33434~33600 traceroute
如果你看到这一端口范围内的UDP数据包（且只在此范围之内）则可能是由于traceroute。参见traceroute部分。
41508 Inoculan
早期版本的Inoculan会在子网内产生大量的UDP通讯用于识别彼此。参见 http//www.circlemud.org/~jelson/software/udpsend.html
[urhttp://www.ccd.bnl.gov/nss/tips/inoculan/index.html[/url
端口1~1024是保留端口，所以它们几乎不会是源端口。但有一些例外，例如来自NAT机器的连接。 常看见紧接着1024的端口，它们是系统分配给那些并不在乎使用哪个端口连接的应用程序的“动态端口”。 Server Client 服务描述
1-5/tcp 动态 FTP 1-5端口意味着sscan脚本
20/tcp 动态 FTP FTP服务器传送文件的端口
53 动态 FTP DNS从这个端口发送UDP回应。你也可能看见源/目标端口的TCP连接。
123 动态 S/NTP 简单网络时间协议（S/NTP）服务器运行的端口。它们也会发送到这个端口的广播。
27910~27961/udp 动态 Quake Quake或Quake引擎驱动的游戏在这一端口运行其服务器。因此来自这一端口范围的UDP包或发送至这一端口范围的UDP包通常是游戏。
61000以上 动态 FTP 61000以上的端口可能来自Linux NAT服务器（IP Masquerade）
常见端口详解及部分攻击策略
0
通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用一种通常的闭合端口连接它时将产生不同的结果。一种典型的扫描：使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。
1 tcpmux 这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，缺省情况下tcpmux在这种系统中被打开。
Iris机器在发布时含有几个缺省的无密码的帐户，如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。许多管理员安装后忘记删除这些帐户。因此Hacker们在Internet上搜索tcpmux并利用这些帐户。
7 Echo 你能看到许多人们搜索Fraggle放大器时，发送到x.x.x.0和x.x.x.255的信息。
常见的一种DoS攻击是echo循环（echo-loop），攻击者伪造从一个机器发送到另一个机器的UDP数据包，而两个机器分别以它们最快的方式回应这些数据包。（参见Chargen）
另一种东西是由DoubleClick在词端口建立的TCP连接。有一种产品叫做“Resonate Global Dispatch”，它与DNS的这一端口连接以确定最近的路由。
Harvest/squid cache将从3130端口发送UDP echo：“如果将cache的source_ping on选项打开，它将对原始主机的UDP echo端口回应一个HIT reply。”这将会产生许多这类数据包。
11 sysstat 这是一种UNIX服务，它会列出机器上所有正在运行的进程以及是什么启动了这些进程。这为入侵者提供了许多信息而威胁机器的安全，如暴露已知某些弱点或帐户的程序。这与UNIX系统中“ps”命令的结果相似
再说一遍：ICMP没有端口，ICMP port 11通常是ICMP type=11
19 chargen 这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时，会发送含有垃圾字符的数据流知道连接关闭。Hacker利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。由于服务器企图回应两个服务器之间的无限的往返数据通讯一个chargen和echo将导致服务器过载。同样fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
21 ftp 最常见的攻击者用于寻找打开“anonymous”的ftp服务器的方法。这些服务器带有可读写的目录。Hackers或Crackers利用这些服务器作为传送warez (私有程序) 和pr0n(故意拼错词而避免被搜索引擎分类)的节点。
22 ssh PcAnywhere建立TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点。如果配置成特定的模式，许多使用RSAREF库的版本有不少漏洞。（建议在其它端口运行ssh）
还应该注意的是ssh工具包带有一个称为make-ssh-known-hosts的程序。它会扫描整个域的ssh主机。你有时会被使用这一程序的人无意中扫描到。
UDP（而不是TCP）与另一端的5632端口相连意味着存在搜索pcAnywhere的扫描。5632（十六进制的0x1600）位交换后是0x0016（使进制的22）。
23 Telnet 入侵者在搜索远程登陆UNIX的服务。大多数情况下入侵者扫描这一端口是为了找到机器运行的操作系统。此外使用其它技术，入侵者会找到密码。
25 smtp 攻击者（spammer）寻找SMTP服务器是为了传递他们的spam。入侵者的帐户总被关闭，他们需要拨号连接到高带宽的e-mail服务器上，将简单的信息传递到不同的地址。SMTP服务器（尤其是sendmail）是进入系统的最常用方法之一，因为它们必须完整的暴露于Internet且邮件的路由是复杂的（暴露+复杂=弱点）。
53 DNS Hacker或crackers可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其它通讯。因此防火墙常常过滤或记录53端口。
需要注意的是你常会看到53端口做为UDP源端口。不稳定的防火墙通常允许这种通讯并假设这是对DNS查询的回复。Hacker常使用这种方法穿透防火墙。
67和68 Bootp和DHCP UDP上的Bootp/DHCP：通过DSL和cable-modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址分配。Hacker常进入它们分配一个地址把自己作为局部路由器而发起大量的“中间人”（man-in-middle）攻击。客户端向68端口（bootps）广播请求配置，服务器向67端口（bootpc）广播回应请求。
这种回应使用广播是因为客户端还不知道可以发送的IP地址。
69 TFTP(UDP) 许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常错误配置而从系统提供任何文件，如密码文件。它们也可用于向系统写入文件。
79 finger Hacker用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其它机器finger扫描。
98 linuxconf 这个程序提供linux boxen的简单管理。通过整合的HTTP服务器在98端口提供基于Web界面的服务。它已发现有许多安全问题。一些版本setuid root，信任局域网，在/tmp下建立Internet可访问的文件，LANG环境变量有缓冲区溢出。此外因为它包含整合的服务器，许多典型的HTTP漏洞可能存在（缓冲区溢出，历遍目录等）
109 POP2 并不象POP3那样有名，但许多服务器同时提供两种服务（向后兼容）。在同一个服务器上POP3的漏洞在POP2中同样存在。
110 POP3 用于客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交换缓冲区溢出的弱点至少有20个（这意味着Hacker可以在真正登陆前进入系统）。成功登陆后还有其它缓冲区溢出错误。
111 sunrpc portmap rpcbind Sun RPC PortMapper/RPCBIND。访问portmapper是扫描系统查看允许哪些RPC服务的最早的一步。
常见RPC服务有：rpc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者发现了允许的RPC服务将转向提供服务的特定端口测试漏洞。
记住一定要记录线路中的daemon, IDS, 或sniffer，你可以发现入侵者正使用什么程序访问以便发现到底发生了什么。
113 Ident auth 这是一个许多机器上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多机器的信息（会被Hacker利用）。但是它可作为许多服务的记录器，尤其是FTP, POP, IMAP, SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，你将会看到许多这个端口的连接请求。记住，如果你阻断这个端口客户端会感觉到在防火墙另一边与e-mail服务器的缓慢连接。许多防火墙支持在TCP连接的阻断过程中发回RST，着将回停止这一缓慢的连接。
119 NNTP news 新闻组传输协议，承载USENET通讯。当你链接到诸如：news://comp.security.firewalls/. 的地址时通常使用这个端口。这个端口的连接企图通常是人们在寻找USENET服务器。多数ISP限制只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送spam。
135 oc-serv MS RPC end-point mapper Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和/或RPC的服务利用机器上的end-point mapper注册它们的位置。远端客户连接到机器时，它们查询end-point mapper找到服务的位置。同样Hacker扫描机器的这个端口是为了找到诸如：这个机器上运行Exchange Server吗？
是什么版本？
这个端口除了被用来查询服务（如使用epdump）还可以被用于直接攻击。有一些DoS攻击直接针对这个端口。
137 NetBIOS name service nbtstat (UDP) 这是防火墙管理员最常见的信息，请仔细阅读文章后面的NetBIOS一节
139 NetBIOS File and Print Sharing 通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于Windows“文件和打印机共享”和SAMBA。在Internet上共享自己的硬盘是可能是最常见的问题。
大量针对这一端口始于1999，后来逐渐变少。2000年又有回升。一些VBS（IE5 VisualBasic s cripting）开始将它们自己拷贝到这个端口，试图在这个端口繁殖。
143 IMAP 和上面POP3的安全问题一样，许多IMAP服务器有缓冲区溢出漏洞运行登陆过程中进入。记住：一种Linux蠕虫（admw0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已被感染的用户。当RadHat在他们的Linux发布版本中默认允许IMAP后，这些漏洞变得流行起来。Morris蠕虫以后这还是第一次广泛传播的蠕虫。
这一端口还被用于IMAP2，但并不流行。
已有一些报道发现有些0到143端口的攻击源于脚本。
161 SNMP(UDP) 入侵者常探测的端口。SNMP允许远程管理设备。所有配置和运行信息都储存在数据库中，通过SNMP客获得这些信息。许多管理员错误配置将它们暴露于Internet。Crackers将试图使用缺省的密码“public”“private”访问系统。他们可能会试验所有可能的组合。
SNMP包可能会被错误的指向你的网络。Windows机器常会因为错误配置将HP JetDirect remote management软件使用SNMP。HP OBJECT IDENTIFIER将收到SNMP包。新版的Win98使用SNMP解析域名，你会看见这种包在子网内广播（cable modem, DSL）查询sysName和其它信息。
162 SNMP trap 可能是由于错误配置
177 xdmcp 许多Hacker通过它访问X-Windows控制台， 它同时需要打开6000端口。
513 rwho 可能是从使用cable modem或DSL登陆到的子网中的UNIX机器发出的广播。这些人为Hacker进入他们的系统提供了很有趣的信息。
553 CORBA
IIOP (UDP) 如果你使用cable modem或DSL VLAN，你将会看到这个端口的广播。CORBA是一种面向对象的RPC（remote procedure call）系统。Hacker会利用这些信息进入系统。
600 Pcserver backdoor 请查看1524端口
一些玩s cript的孩子认为他们通过修改ingreslock和pcserver文件已经完全攻破了系统-- Alan J. Rosenthal.
635 mountd Linux的mountd Bug。这是人们扫描的一个流行的Bug。大多数对这个端口的扫描是基于UDP的，但基于TCP的mountd有所增加（mountd同时运行于两个端口）。记住，mountd可运行于任何端口（到底在哪个端口，需要在端口111做portmap查询），只是Linux默认为635端口，就象NFS通常运行于2049端口。
1024 许多人问这个端口是干什么的。它是动态端口的开始。许多程序并不在乎用哪个端口连接网络，它们请求操作系统为它们分配“下一个闲置端口”。基于这一点分配从端口1024开始。这意味着第一个向系统请求分配动态端口的程序将被分配端口1024。为了验证这一点，你可以重启机器，打开Telnet，再打开一个窗口运行“natstat -a”，你将会看到Telnet被分配1024端口。请求的程序越多，动态端口也越多。操作系统分配的端口将逐渐变大。再来一遍，当你浏览Web页时用“netstat”查看，每个Web页需要一个新端口。
1025 参见1024
1026 参见1024
1080 SOCKS
这一协议以管道方式穿过防火墙，允许防火墙后面的许多人通过一个IP地址访问Internet。理论上它应该只允许内部的通信向外达到Internet。但是由于错误的配置，它会允许Hacker/Cracker的位于防火墙外部的攻击穿过防火墙。或者简单地回应位于Internet上的计算机，从而掩饰他们对你的直接攻击。WinGate是一种常见的Windows个人防火墙，常会发生上述的错误配置。在加入IRC聊天室时常会看到这种情况。
1114 SQL
系统本身很少扫描这个端口，但常常是sscan脚本的一部分。
1243 Sub-7木马（TCP）
参见Subseven部分。
1524 ingreslock后门
许多攻击脚本将安装一个后门Shell于这个端口（尤其是那些针对Sun系统中Sendmail和RPC服务漏洞的脚本，如statd,ttdbserver和cmsd）。如果你刚刚安装了你的防火墙就看到在这个端口上的连接企图，很可能是上述原因。你可以试试Telnet到你的机器上的这个端口，看看它是否会给你一个Shell。连接到600/pcserver也存在这个问题。
2049 NFS
NFS程序常运行于这个端口。通常需要访问portmapper查询这个服务运行于哪个端口，但是大部分情况是安装后NFS运行于这个端口，Hacker/Cracker因而可以闭开portmapper直接测试这个端口。
3128 squid
这是Squid HTTP代理服务器的默认端口。攻击者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。你也会看到搜索其它代理服务器的端口：8000/8001/8080/8888。扫描这一端口的另一原因是：用户正在进入聊天室。其它用户（或服务器本身）也会检验这个端口以确定用户的机器是否支持代理。请查看5.3节。
5632 pcAnywere
你会看到很多这个端口的扫描，这依赖于你所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能得代理（译者：指agent而不是proxy）。Hacker/cracker也会寻找开放这种服务的机器，所以应该查看这种扫描的源地址。
一些搜寻pcAnywere的扫描常包含端口22的UDP数据包。参见拨号扫描。
6776 Sub-7 artifact
这个端口是从Sub-7主端口分离出来的用于传送数据的端口。例如当控制者通过电话线控制另一台机器，而被控机器挂断时你将会看到这种情况。因此当另一人以此IP拨入时，他们将会看到持续的，在这个端口的连接企图。（译者：即看到防火墙报告这一端口的连接企图时，并不表示你已被Sub-7控制。）
6970 RealAudio
RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP7070端口外向控制连接设置的。
13223 PowWow
PowWow 是Tribal Voice的聊天程序。它允许用户在此端口打开私人聊天的连接。这一程序对于建立连接非常具有“进攻性”。它会“驻扎”在这一TCP端口等待回应。这造成类似心跳间隔的连接企图。如果你是一个拨号用户，从另一个聊天者手中“继承”了IP地址这种情况就会发生：好象很多不同的人在测试这一端口。这一协议使用“OPNG”作为其连接企图的前四个字节。
17027 Conducent
这是一个外向连接。这是由于公司内部有人安装了带有Conducent "adbot" 的共享软件。Conducent "adbot"是为共享软件显示广告服务的。使用这种服务的一种流行的软件是Pkware。有人试验：阻断这一外向连接不会有任何问题，但是封掉IP地址本身将会导致adbots持续在每秒内试图连接多次而导致连接过载：机器会不断试图解析DNS名—ads.conducent.com，即IP地址216.33.210.40 ；216.33.199.77 ；216.33.199.80 ；216.33.199.81；216.33.210.41。（译者：不知NetAnts使
用的Radiate是否也有这种现象）
27374 Sub-7木马(TCP)
参见Subseven部分。
30100 NetSphere木马(TCP)
通常这一端口的扫描是为了寻找中了NetSphere木马。
31337 Back Orifice “elite”
Hacker中31337读做“elite”/ei’li:t/（译者：法语，译为中坚力量，精华。即3=E, 1=L, 7=T）。因此许多后门程序运行于这一端口。其中最有名的是Back Orifice。曾经一段时间内这是Internet上最常见的扫描。现在它的流行越来越少，其它的木马程序越来越流行。
31789 Hack-a-tack
这一端口的UDP通讯通常是由于"Hack-a-tack"远程访问木马（RAT, Remote Access Trojan）。这种木马包含内置的31790端口扫描器，因此任何31789端口到317890端口的连接意味着已经有这种入侵。（31789端口是控制连接，317890端口是文件传输连接）
32770~32900 RPC服务
Sun Solaris的RPC服务在这一范围内。详细的说：早期版本的Solaris（2.5.1之前）将portmapper置于这一范围内，即使低端口被防火墙封闭仍然允许Hacker/cracker访问这一端口。扫描这一范围内的端口不是为了寻找portmapper，就是为了寻找可被攻击的已知的RPC服务。
33434~33600 traceroute
如果你看到这一端口范围内的UDP数据包（且只在此范围之内）则可能是由于traceroute。参见traceroute部分。
41508 Inoculan
早期版本的Inoculan会在子网内产生大量的UDP通讯用于识别彼此。
怎样设置端口不被病毒攻击
正文：
默认情况下，Windows有很多端口是开放的，在你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。下面介绍如何在WinXP/2000/2003下关闭这些网络端口：
解决电脑远程登陆出现“远程计算机已结束连接”
解决电脑远程登陆出现“远程计算机已结束连接”
打开注册表
找到[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\RDPDR\
在左侧的RDPDR上右键-权限，选上完全控制,把以下注册表内容.复制到记事本保存为reg文件.再导入注册表.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\RDPDR\0000]
"ClassGUID"="{4D36E97D-E325-11CE-BFC1-08002BE10318}"
"Class"="System"
"HardwareID"=hex(7):52,00,4f,00,4f,00,54,00,5c,00,52,00,44,00,50,00,44,00,52,\
00,00,00,00,00
"Driver"="{4D36E97D-E325-11CE-BFC1-08002BE10318}\\0030"
"Mfg"="(标准系统设备)"
"Service"="rdpdr"
"DeviceDesc"="终端服务器设备重定向器"
"ConfigFlags"=dword:00000000
"Capabilities"=dword:00000000
最后，把控制面板－管理工具－服务中的Remote Desktop Help Session Manager 和Telnet 服务开启，将电脑重启，远程桌面管理就可以恢复正常了。
解决电脑远程登陆出现“远程计算机已结束连接”
解决电脑远程登陆出现“远程计算机已结束连接”
打开注册表
找到[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\RDPDR\
在左侧的RDPDR上右键-权限，选上完全控制,把以下注册表内容.复制到记事本保存为reg文件.再导入注册表.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\RDPDR\0000]
"ClassGUID"="{4D36E97D-E325-11CE-BFC1-08002BE10318}"
"Class"="System"
"HardwareID"=hex(7):52,00,4f,00,4f,00,54,00,5c,00,52,00,44,00,50,00,44,00,52,\
00,00,00,00,00
"Driver"="{4D36E97D-E325-11CE-BFC1-08002BE10318}\\0030"
"Mfg"="(标准系统设备)"
"Service"="rdpdr"
"DeviceDesc"="终端服务器设备重定向器"
"ConfigFlags"=dword:00000000
"Capabilities"=dword:00000000
最后，把控制面板－管理工具－服务中的Remote Desktop Help Session Manager 和Telnet 服务开启，将电脑重启，远程桌面管理就可以恢复正常了。
解决电脑远程登陆出现“远程计算机已结束连接”
解决电脑远程登陆出现“远程计算机已结束连接”
打开注册表
找到[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\RDPDR\
在左侧的RDPDR上右键-权限，选上完全控制,把以下注册表内容.复制到记事本保存为reg文件.再导入注册表.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\RDPDR\0000]
"ClassGUID"="{4D36E97D-E325-11CE-BFC1-08002BE10318}"
"Class"="System"
"HardwareID"=hex(7):52,00,4f,00,4f,00,54,00,5c,00,52,00,44,00,50,00,44,00,52,\
00,00,00,00,00
"Driver"="{4D36E97D-E325-11CE-BFC1-08002BE10318}\\0030"
"Mfg"="(标准系统设备)"
"Service"="rdpdr"
"DeviceDesc"="终端服务器设备重定向器"
"ConfigFlags"=dword:00000000
"Capabilities"=dword:00000000
最后，把控制面板－管理工具－服务中的Remote Desktop Help Session Manager 和Telnet 服务开启，将电脑重启，远程桌面管理就可以恢复正常了。
磁盘阵列柜的联机问题(原创)
磁盘阵列柜在连接服务器时可选用scsi卡或者raid卡.若磁盘阵列柜上有自带的raid控制器时,服务器最好选择scsi卡当然选择raid卡也可已,只是要注意兼容性问题,带hostraid0和1的scsi卡也应如此考虑.(建议同种柜上的控制芯片和raid卡上的控制芯片选择不同厂商).若磁盘阵列柜上没有控制器就应改选择raid卡和集成hostraid0和1的scsi卡了,否则就智能做软raid了.
注意:要清楚软raid hostraid 和 硬件raid的区别
windows缓存写入失败解析(转贴)
windows缓存写入失败
无法为\harddiskvolume1\winnt\system32\spev.log(大概是这个spev.log文件,对不起，我记不清楚了)该文件保存数据，这可能是因为你的网络连接错误或计算机硬件造成，请另保存数据。 关闭以后还会弹出类似对话框，都是system32下的文件，好象很多是*.log文件，系统无法启动，但重新插拔内存后故障消失。 请各位大侠多多指教，谢谢！Windows使用了一个特殊的子系统，用于对一些基于磁盘的操作提供支持，例如有一种技术，能够把对磁盘的写入操作暂时缓存起来，然后等到系统空闲的时候再执行相应操作。这种叫做“写入缓存”的技术做能够提升系统地性能，不过默认情况下系统可能并没有开启该功能。
答：写入缓存是一种能够把对磁盘的写入操作暂时缓存起来，然后等到系统空闲的时候再执行相应操作的工作模式，能够提升系统性能。通常造成写入缓存错误的原因是磁盘子系统与内存子系统发生故障。你可以检查硬盘线、硬盘本身、内存条是否工作正常，用替换法就可以。另外，还要确认主板驱动程序安装正常、BIOS中硬盘的各项参数设置正确。
想知道“写入缓存”选项是如何设置的吗？请打开“设备管理器”，展开“磁盘驱动器”，接着在下面任何一个驱动器图标上点击鼠标右键并选择“属性”，然后切换到“策略”标签。在这里你应该会看到两个选项：“为快速删除而优化”（所有的东西都直接写入硬盘驱动器）和“为提高性能而优化”（写入到缓存）。第一个选项可以允许你快速的断开设备与电脑的连接，例如一个USB闪存，你不用点击任务栏里面的“安全删除硬件”图标就可以直接把这些设备和电脑断开。如果两个选项都处于灰色无法选择的状态，那么说明你的磁盘驱动器默认已经把“写入缓存”选项打开了。（欲查看更多关于延缓写入默认状态的信息，请查看微软的文章“Windows XP and Surprise Removal of Hardware” ）
在Windows XP系统中有时候会弹出“写入缓存失败（Delayed write failed）”的提示，告诉你延缓写入系统可能存在一些问题。虽然这并不是什么致命错误，不过也值得引起你足够的关注。
下面是一些常见的引起“写入缓存失败”的原因：
1．磁盘驱动器本身的原因。这种情况尤其发生SCSI或者RAID驱动器上。有一些RAID驱动器的驱动程序会在安装了SP2的XP操作系统中报告一个虚假消息告诉用户“写入缓存失败”。所以你应该为你的磁盘驱动器安装最新版本的驱动程序。(磁盘驱动器本身指逻辑磁盘驱动器)
2．数据线的原因。一些错误或者损坏的数据线，特别是外部USB线和火线，会造成这种情况。如果你的数据线过长，或者数据线连接到的是一个质量不合格的USB HUB上，也会造成写入缓存失败。最后，还有可能是因为你有一个需要80针数据线的UDMA驱动器，但你却使用了一条40针脚的数据线。
3．SCSI终止错误。虽然这种情况在使用了self-terminating技术的SCSI设备上很少发生，但是我们还是必须把它考虑进来。
4．媒体错误。这是可能发生的最严重的情况，换句话说，也就是磁盘驱动器坏了。如果你能通过SMART（比如SMART & Simple ）软件获取磁盘驱动器的统计信息，那么你可以通过这些信息来判断磁盘驱动器出现了机械（物理）故障。你还可以使用一个叫Gibson Research's SpinRite的工具来帮助你诊断媒体错误，只是这个软件在对磁盘驱动器进行完全检测的时候会耗费相当长的时间。
5．计算机的BIOS设定强制开启了驱动器控制器不支持的UDMA模式。虽然UDMA 模式能够增强磁盘的性能，但是如果驱动器控制器不支持的话将会导致一些错误发生。这种情况并不多见，主要是发生在新安装的硬件设备上（该硬件设备支持UDMA模式），用户可以通过升级BIOS或者将BIOS中关于硬盘驱动器的选项恢复成默认的“自动检测”模式来解决这个问题。举个例子：如果设置成UDMA Mode6模式的设备出现了问题，那么你可以将它设置成Mode5模式。
6．驱动器控制器的问题。我曾经遇到USB控制器和其他硬件设备冲突并产生写入缓存失败的情况。如果你的系统同时拥有长和短两种PCI插槽（64位和32位），请尝试将USB控制器从长PCI插槽中拔出。一些比较老的PCI 卡并不支持这种类型的插槽。
7．内存的奇偶校验错误。这种情况通常发生在你新增了一条内存之后，造成这种错误的原因是很可能是你的新内存条和主板所支持的内存类型不符，或者是内存本身有问题。（内存有问题还会造成其他一些错误，例如随机死锁等）
8．注册表中的LargeSystemCache键值错误。这种情况很少见，通常发生在那些安装了ATI显示适配器，内存大于521MB的机器上。这些机器上的注册表中有一个叫做LargeSystemCache的键（HKEY LOCAL MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management），该键值用来管理系统分配给一些核心进程的内存容量，如果键值被设为1的话（这样设置可以增强内存大于512MB的机器的性能），有可能会在一些系统中导致数据错误和产生写入缓存失败的错误。如果出现这种情况的话，请把该键值改为0。
关于写入缓存功能，如果你有什么不明白的，可以参考微软中国的技术文章：
http://support.microsoft.com/kb/332023
“音量控制播放属性中没有麦克风选项”的解决办法
1.单击“开始”菜单，选“运行”，在运行框里输入regedit，然后敲回车即可运行注册表编辑器。如图1
图1
2.在注册表编辑器菜单中选择“编辑”－>“查找”，并且输入查找词“DisableMicFromPlayback”，如下图2
图2
3.查找到该项后，双击修改。如图3，图4。
图3
图4
4.通过注册表编辑器菜单中“编辑”－>查找下一个”，把能查找到的所有DisableMicFromPlayback项值都按上述方法修改。
5.退出注册表编辑器，重启电脑即可。
6.重新启动后，再双击小喇叭，把“播放”里面的“麦克风”勾上，记得不要把它静音
对于有些机器,在注册表中查找:
ShowPlaybackMic,将'0000 00' 改成 '0000 01'
对于有时搜索到了以上两项值,最好能继续搜索一下,把能搜索到相同的都修改了.
SQL Server日志清除的两种方法
日志文件满而造成SQL数据库无法写入文件时，可用两种方法：
一种方法：清空日志。
1．打开查询分析器，输入命令
DUMP TRANSACTION 数据库名 WITH NO_LOG
2.再打开企业管理器--右键你要压缩的数据库--所有任务--收缩数据库--收缩文件--选择日志文件--在收缩方式里选择收缩至XXM,这里会给出一个允许收缩到的最小M数,直接输入这个数,确定就可以了。
另一种方法有一定的风险性，因为SQL SERVER的日志文件不是即时写入数据库主文件的，如处理不当，会造成数据的损失。
1: 删除LOG
分离数据库 企业管理器－＞服务器－＞数据库－＞右键－＞分离数据库
2：删除LOG文件
附加数据库 企业管理器－＞服务器－＞数据库－＞右键－＞附加数据库
此法生成新的LOG，大小只有500多K。
注意：建议使用第一种方法。
如果以后,不想要它变大。
SQL2000下使用：
在数据库上点右键->属性->选项->故障恢复-模型-选择-简单模型。
或用SQL语句：
alter database 数据库名 set recovery simple
另外，Truncate log on checkpoint(此选项用于SQL7.0，SQL 2000中即故障恢复模型选择为简单模型)当执行CHECKPOINT 命令时如果事务日志文件超过其大小的70% 则将其内容清除在开发数据库时时常将此选项设置为True Auto shrink定期对数据库进行检查当数据库文件或日志文件的未用空间超过其大小的25%时，系统将会自动缩减文件使其未用空间等于25% 当文件大小没有超过其建立时的初始大小时不会缩减文件缩减后的文件也必须大于或等于其初始大小对事务日志文件的缩减只有在对其作备份时或将Truncate log on checkpoint 选项设为True 时才能进行。
注意：一般立成建立的数据库默认属性已设好，但碰到意外情况使数据库属性被更改，请用户清空日志后，检查数据库的以上属性，以防事务日志再次充满