Windows 系统之XP 应用优化指南

jialiguo

作者：孤独梦 来源：中国起点网络安全小组　　自从起点关闭以后，我买了属于自己的电脑，结果导致经济紧张，所以就停止泡网了，也不去学习***知识了，这段时间一直不停的装系统，晕死了。所以对XP和2000系统有那么一点点的了解，今天黑狼突然说要我写原创文章给他，偶的技术本来就不行，更何况N天不上网学习了，所以基本上什么都不会了，汗~~我就写点关于XP系统优化和2000系统防御的文章吧，其中也参考了很多资料，文字表达方面也不是太近人意，不过偶的水平实在是不高，希望刚接触电脑的新手们可以看懂。
　　1. 取消XP对ZIP稳当的默认支持
　　XP默认支持ZIP稳当，但系统会为此消耗大量的资源，我们可以把这一功能关闭，在“开始”选“运行”，输入regsvr32/u zipfldr.dll就OK了。
　　2. XP下设置共享文件夹的权限
　　Win2000操作系统用户在设置文件夹共享时候操作很方便，但是在XP下却找不到这一功能。具体修改方法如下：打开“我的电脑”中的“工具”。选择“文件夹属性”，调出“查看”标签在文件和文件夹部分将“使用简单文件共享（推荐）”项前面的选择取消，这样就很方便的对共享进行设置了。
　　3. 快速锁定计算机
　　选择“新建”“快捷方式”当系统启动创建快捷方式向导时，在文本框中输入“rundll32.exe user32.dll,LockWorkStation”,下一步正常设置就OK了。
　　4. 在关机对话框出现“休眠”
　　当出现关机对话框中，可以同时按下shift键，这样休眠就出现了。
　　5. 解决任务栏假死（权威的消除QQ，IE等引起任务栏假死）
　　“控制面板”“区域和语言选项”“语言”“详细信息”，在弹出的设置窗口中选择“首选项”的语言栏，关闭“在桌面上显示语言栏”，在第三项“在同志区域显示其他语言栏图标”上打上勾就OK了。
　　6. 如何winXP中使用16位的程序
　　在命令解释符中输入：start/separate d:\TC2\tc.exe即可，按alt+enter可以切换屏幕。
　　7. 寻找XP中的安装密码
　　打开系统盘符“windows\ system32,这儿有个叫$winnt$的配置文件，里面一清二楚了。
　　8. 减少磁盘扫描等待时间
　　在dos 下输入chknfs/t:0即可，表示等待时间为0秒。
　　9. winXP中自动关机的实现
　　比如你的电脑要在8：00关机，可以选择“开始”“运行”输入“8：00 shutdown —s”这样到了时间就会出现自动关机的对话框，默认等待时间为30秒。如果你小以到记时的方式关机。可以输入shutdown.exe –s –t 3600，表示60分钟后自动关机3600代表60分钟。想取消的话可以在运行中输入shutdown –a ，输入shutdown –i可以设置自动关机对话框，对自动关机进行设置。Shutdown参数设置如下：
　　-f：强行关闭应用程序
　　-m\\ 计算机名：控制远程计算机
　　-I：显示图形用户界面
　　-r：关机并重起
　　-t时间：设置关机倒记时
　　-c消息内容：输入关机对话框中的消息内容
　　10. 依次运行多个命令
　　XP命令行也可以使用&&和|| 组合，如：aa&&bb 执行aa，成功后再执行bb；aa||bb先执行aa，成功则不执行bb，若失败则执行bb。返回值errorlevel=0表示你发出的命令执行成功。
　　11. 加快启动和减少故障恢复时间
　　右键单击“我的电脑”“属性”“高级”，在“启动和故障恢复”中点“设置”，可以设置显示操作系统列表的时间，单击“编辑”也可以手编辑启动选项，将timeout=30改为5即可。
　　12. 减少磁盘空间浪费
　　在winXP操作系统运行过程中，会产生后缀名为tmp、bak、log、txt、old等文件，这些文件其实都可以安全删除，windows下面的bmp文件也可以删除，如果你不喜欢XP自带的墙纸的话。Windows/temp目录下的文件也可以完全删除，那些都是你在安装应用软件过程中遗留下的文件。
　　13. 视觉效果
　　winXP在菜单效果方面比起win9X的确很漂亮，但对于小内存的用户来说，太占内存了我们可以修改下，右键点“我的电脑”“属性”“高级”，在性能选项上点“设置”，点“调整为最佳性能”可以将所有的动画效果去掉，这样速度要有明显提高。还可以在“开始”“运行”中输入regedit进入注册表编辑器，找到HKEY_CURRENT_USER\control Panel\Desktop 分之在右边窗口 双击键值名为MenuShowDelay的项，将默认的值 改为0即可。
　　14. 设置硬盘工作模式
　　现在我们所用的硬盘一般都比大，我们可以用DMA方式代替PIO方式这样可以提高硬盘的传送速度并减少你的cpu占用率，提高你的系统性能。设置如下：“开始”“控制”面板”“性能与维护”“查看电脑基本信息”“设备管理器”“IDE ATA/ATAPI控制器”“IDE通道”“属性”“高级设置”，在传送模式中选择“DMA”即可。
　　15. 邮件收发程序outlook express
　　这个技巧可减少OE出错率，进入OE界面，在“菜单”打开“工具”“帐号”，选择你的帐号再选择“属性”“高级”，把服务器超时一项时间拉到最长5分钟即可。
　　16. 修改磁盘缓存加速系统
　　运行regedit进入注册表，找到HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\control\session manager\memory management\lopagelocklimit.根据你的内存修改起16进制值
　　64M：1000：
　　128M：4000；
　　256M；10000；
　　512M或更大：40000；
　　17. 预读设置提高速度
　　如果你是512内存以上可以修改，运行regedit找到[HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\control\session anager\memory management\PrefetchParameters\EnablePrefetcher]设置数值为3。然后重起即可。
　　18. 关闭磁盘索引
　　如果你不经常查找文件可见XP快速搜索功能关闭，打开我的电脑，有点驱动器选“属性”取消“使用索引以便快速查找文件”。
　　19. 优化NTFS文件系统
　　取消更新最后一的磁盘访问，相对于容量大的分区，会减慢速度，运行regedit找到HKEY_LOCAL_MACHINE\SYSTEM \Currentconlset\control\filesystem。加DWORD数值为1即可。
　　20. 禁止系统服务。提升运行速度
　　XP很消耗资源除了漂亮的界面消耗大量的内存和显存外，默认后台还运行了很多的服务，这些服务对个人用户来说有很多都不需要运行，我们可以把不需要的服务全部禁止。
　　Application layer gateway service如果你没起用internet连接共享或内置防火墙，可以禁止这个服务。
　　Automatic updates 自动起用windows更新的下载和安装，需要时，我们完全可以在windows网站上进行更新。
　　Clipbook如果你没有使用xp的远程桌面功能，那么可以禁止。
　　Error reporting service服务和应用程序在非标准环境下运行时允许错误报告，一般没有用，我们可以禁止。
　　Fast user switching compatibility在xp下允许一台电脑上进行多用户的切换，如果使用不到，也可以禁止。
　　Imapi cd-burning com service如果你有专业的刻录软件或者没刻录机的话，也可以禁止。
　　Indexing service提供文件快速访问对个人用户没多大用处，可以禁止。
　　Print spooler如果你没装打印机完全可以禁止这个服务。
　　Remote registry远程用户可修改自己的注册报表，一定要禁止。
　　Smart card管理计算机对智能卡的访问，智能卡？你有吗 ？禁止！
　　Ssdp discovery service启动家庭网络上的upnp设备的发现，一般没用。禁止。
　　Terminal services 不怕N多人控制你的电脑就不要禁止，呵呵3389登陆，禁止！
　　Uninterruptible power supply如果你有那种可以和计算机进行数字通讯的ups电源的话，那么就不要禁止，否则禁止。
　　21. 彻底隐藏文件
　　一般通过文件夹选项隐藏的东西一打开显示隐藏文件就什么都出现了，我们在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\windows\current version\explorer\advanced\folder\hidden\SHOWALL下DWORD值CheckedValue设为0（如果没有可以新建一个）。这样就OK了！
　　Windows系统之2000系统加固
　　使用XP系统的个人用户一般都是为了他漂亮的界面，但是对于那些技术追求者是不会被XP那漂亮的界面所诱惑的，所以我就主要介绍XP系统的优化应用和2000系统的安全加固，
　　2000系统安全一直以来是网管们头疼的问题，虽然现在已经出了win2003，但是还有很多人使用2000系统，其实只要你正确的设置系统再加上安全软件基本上就可以保证安全性大大提高，但是没有绝对安全的设置，每个系统都有漏洞，攻与防永远是对立的。下面介绍基本上全部是2000的自身设置，没有用任何的安全软件。有关2000系统的安全加固过程简单的描述如下：
　　1. 安装一个最小化的操作系统和一个最新的服务包；
　　2. 安装你要在主机上运行的应用程序并配置；
　　3. 重新申请服务包，安装最新的安全补丁；
　　4. 删除或禁用操作系统中不必要的服务和组件；
　　5. 加固操作系统的其他部分；
　　6. 为文件和其他对象设置严格的访问控制权限。
　　下面详细解释执行的步骤：
　　1. 安装最小化的操作系统注意事项：从一个干净的系统开始，不要在主机上安装多系统启动，防止经由其他系统启动控制造成的破坏。只使用NTFS分区作为文件系统分区，因为他提供了日志检查信息。此外必须使用NTFS才能对文件使用DACL，达到访问控制安全的目的；只安装TCP/IP协议，不安装其他的任何协议，在选择安装程序时不要安装任何额外的程序和服务；如果安装了服务器版本的win2000，要把他配置成standalone（独立服务器）模式。
　　2. 安装和配置应用程序及服务程序：不要安装任何的多余的程序，小心安装采用服务和应用程序，尽量选择最新的安装和服务版本。在你的系统上安装配置正常使用的应用程序，在你的系统上安装配置你选择好的用来提供网络服务的程序。了解你要安装的程序是否存在安全缺陷；在高安全性要求的应用环境中，不要安装MS-ofiice或任何开发工具。可用执行程序越少越好。
　　3. 重新申请服务包，安装最新的安全补丁：微软提供了windows update程序可以直接连接到微软的下载站点获得更新的hotfix，即大的服务包发布之后发布的安全补丁程序，通常用来弥补近期发现的安全漏洞。
　　4. 配置操作系统提供的服务：禁止操作系统提供的一切不必要的服务，对于有其他要求的系统服务可视情况开启，但原则上应尽量避免使用微软提供的系统服务。
　　可设置为自动启动的服务：
　　event log事件日志记录
　　logical disk manager(LDM)磁盘管理需要
　　network connections网络管理需要
　　plug and play硬件设备即插即用需要
　　protected storage保护性存储需要
　　remote procedure call (RPC)系统进程间调用需要
　　security accounts manger (SAM)帐户管理数据需要
　　windows management instrumentation (WMI)管理控制需要
　　WMI driver extensions管理控制需要
　　可设置为手动启动的服务：
　　DNS clinent仅当DNS启动时需要
　　Runas service仅当需要runas命令时起用
　　IIS admin service微软web服务需要
　　Logical disk manager administrative service磁盘管理需要
　　NT LM security support provider微软web服务需要
　　Word wide web publishing service微软web服务需要
　　5. 配置帐户策略：右键点我的电脑，选择“管理”在管理工具中打开本地安全策略调整密码策略和帐户锁定策略，设置如图：
　　6. 帐户管理注意事项：（1）帐号尽可能少且尽可能少用来登陆，网站帐好一般用来做系统维护的，多余的帐号一个也不要。（2）除administrator外，有必要再增加一个属于管理员组的帐号，，一方面防止管理员一旦忘记密码，还可以用另外一个帐号，一方面发现被攻破一个帐号还可以用另外一个帐号。（3）所有帐号权限需要严格控制，轻易不给管理权限。（4）将administrator重命名，改成一个不容易被猜到的，防止***对帐号密码的猜测行为。（5）将guest帐号禁止，同时重命名一个复杂的名字，并增加口令，防止被***提升权限。（6）给所有用户帐号一个复杂的口令，且必须同时包含数字、字母和特殊字符。长度最少8位以上。（7）在帐号属性中设立锁定次数，可以防止某些大规模的登录尝试。
　　7. 配置日志审核：微软默认的日志审核是关闭的，必须手动启动。打开“管理工具”“本地安全策略”“本地策略”“审核策略”和“管理工具”“事件查看器”设置如下：
　　审核策略更改——成功、失败
　　审核登录事件——成功、失败
　　审核对象访问——失败
　　审核目录服务访问——失败
　　审核特权使用——审核系统事件——成功、失败
　　审核帐户登录事件——成功、失败
　　审核帐户管理——成功、失败
　　8. 禁用NETBIOS接口：NETBIOS接口用来在两台或两台以上运行NETBIOS应用程序的计算机之间解吸名字，建立连接和支持可靠数据传输。他是为了兼容以前通用的CIFS/SMB协议。该协议会导致计算机信息泄露以致于建立空会话漏洞。可以在网络连接的属性中禁止“microsoft网络文件和打印机共享”。
　　选中图中的internet协议（TCP/IP）然后选“属性”“高级”然后选中“禁用TCP/IP上的NETBIOS”。
　　9. 保护系统帐号数据库：直接在开始运行中输入syskey指令，在出现的框中选择“起用加密”然后再选“更新”，然后出现选择项，你可以选择“密码启动”也可以选择“系统自动产生密码”。为防止原来的密码泄露，还要从WINNT/REPAIR目录中删除SAM文件。
　　10. 设置特权和权利：win 2000提供对用户权利设定的安全机制，使用他可以设置任意指定用户在操作系统拥有的可操作范围。我们可以在“控制面板”“管理工具”“本地安全策略”中对应用户权利指派的部分设置列表。具体设置大家一看就知道
　　11. 使用win2000的文件加密功能：直接在文件或文件夹上单击右键弹出属性对话框，在“常规”上选择“高级”，选择“加密内容以保护数据”。确定后退出。在最后确定时如果是应用在文件夹上，系统会提示是否包括文件夹中全部文件，推荐包括整个文件夹。注意，win2000文件加密并不能防止文件被相应权限的用户删除，为了资料数据的安全，建议还是经常备份。
　　12. 不记录系统失败的调试信息：系统失败的调试信息存储在内存转储文件中，当系统崩溃时可以为除错提供信息，不过转储文件的存在还会泄露其他的信息，列如应用程序的密码。在“我的电脑”点右键，弹出“属性”选项，在“高级”页选中“启动和故障恢复”，在“写入调试信息”中选“无”。
　　13. 配置TCP/IP筛选：win2000提供了一定的网络流量过滤功能来保障TCP/IP的安全，但需要手动设置。点网络连接的图标，选择“网络与拔号连接”，在常规中选择“internet协议（TCP/IP），然后点“属性”“高级”“选项”。点“TCP/筛选IP”“属性”，然后设置。选择“起用TCP/IP筛选（所有适陪器）”全部选择“只允许”，TCP端口添加80端口。
　　14. 禁止从光盘和软盘自动启动：主要是为了防止恶意用户里哟内微软的光盘自动启动执行非法文件和恶意访问系统，可以从BIOS设置中禁止光盘和软盘自动启动，并设置BIOS密码防止恶意修改。
　　15. 使用一个有密码的屏保：启动有密码的屏幕保护程序，防止管理员暂时离开时非法的物理访问，怎么设置我就不用多说了，相信都知道。
　　16. IE浏览器安全：取消浏览器自动完成功能，在“控制棉板”的“internet选项”的“内容”页，选择“自动完成”，取消表单和表单上的拥护名和密码部分，并清除下面的历史记录；同上，在“internet选项”上的“高级”页，选择“不将加密的也面存入硬盘”以及“关闭浏览器时清空internet文件夹”；在对应的目录中经常性的清除历史记录等。
　　17. Outlook Express安全：防止病毒调用运行.VBS，.JS等脚本文件，在运行分别运行以下两个命令：“regsvr32 /u wshom.ocx”和“regsvr32 /u wshext.dll”。恢复操作是把/U去除。
　　18. 删除所有网络资源共享：控制面板—计算机管理—共享文件夹—停止共享，然后把里面的所有默认共享全部停止，不过IPC共享服务器每启动依次都会打开，需要重新停止。
　　19. 系统启动时的等待时间设置为0秒：控制面板—系统---启动/关闭，将列表显示的默认值为30改为0或者在boot.ini里将TIMEOUT的值改为0。
　　20. 只开放必要端口：除必要端口外，关闭其他的端口，特别是139、445更危险端口，缺省下所有端口都是开放的。
　　21. 只保留TCP/IP协议：删除NETBEUI、IPX/SPX协议，只保留TCP/IP协议，网站需要的通讯协议只有TCP/IP协议，其他的协议没任何用处，放在网站上反而会被某些***工具利用。
　　22. 防火墙和杀毒软件要经常开着，作为网管的安全人员要经常浏览一些安全站点，关注最新漏洞，及时更新最新的补丁。