电脑中木马怎么找到服务端

上网最恐怖的事莫过于新病毒出来的时候，尽管电脑上我们都装有各种强大的杀毒软件，也配置了定时自动更新病毒库，但病毒总是要先于病毒库的更新的， 所以中招的每次都不会是少数，这里列举一些通用的杀毒方法，自己亲自动手来用系统自带的工具绞杀病毒：

一、自己动手前，切记有备无患——用TaskList备份系统进程

新型病毒都学会了用进程来隐藏自己，所以我们最好在系统正常的时候， 备份一下电脑的进程列表，当然最好在刚进入Windows时不要运行任何程序的情况下备份，样以后感觉电脑异常的时候可以通过比较进程列表，找出可能是病毒的进程。

在命令提示符下输入：

TaskList /fo:csv>g:zccsv

上述命令的作用是将当前进程列表以csv格式输出到“zccsv”文件中，g:为你要保存到的盘，可以用Excel打开该文件

二、自己动手时，必须火眼金睛——用FC比较进程列表文件

如果感觉电脑异常，或者知道最近有流行病毒，那么就有必要检查一下。

进入命令提示符下，输入下列命令：

TaskList /fo:csv>g:yccsv

生成一个当前进程的yccsv文件列表，然后输入：

FC g:\zccsv g:\yccsy

回车后就可以看到前后列表文件的不同了，通过比较发现，电脑多了一个名为“Winion0nexe”(这里以这个进程为例)不是“Winiononexe”的异常进程。

三、进行判断时，切记证据确凿——用Netstat查看开放端口

对这样的可疑进程，如何判断它是否是病毒呢？ 根据大部分病毒(特别是木马)会通过端口进行对外连接来传播病毒，可以查看一下端口占有情况。

在命令提示符下输入：

Netstat -a-n-o

参数含义如下：

a:显示所有与该主机建立连接的端口信息

n:显示打开端口进程PID代码

o：以数字格式显示地址和端口信息

回车后就可以看到所有开放端口和外部连接进程，这里一个PID为1756(以此为例)的进程最为可疑，它的状态是“ESTABLISHED”，通过任务管理器可以知道这个进程就是“Winion0nexe”，通过查看本机运行网络程序，可以判断这是一个非法连接!

连接参数含义如下：

LISTENINC：表示处于侦听状态，就是说该端口是开放的，等待连接，但还没有被连接，只有TCP协议的服务端口才能处于LISTENINC状态。

ESTABLISHED的意思是建立连接。

表示两台机器正在通信。

TIME-WAIT意思是结束了这次连接。

说明端口曾经有过访问，但访问结束了，用于判断是否有外部电脑连接到本机。

四：下手杀毒时，一定要心狠手辣——用NTSD终止进程

虽然知道 “Winion0nexe”是个非法进程，但是很多病毒的进程无法通过任务管理器终止，怎么办

在命令提示符下输入下列命令：

ntsd –c q-p 1756

回车后可以顺利结束病毒进程。

提示：“1756”为进程PID值，如果不知道进程的ID，打开任务管理器，单击“查看→选择列→勾上PID(进程标识符)即可。

NTSD可以强行终止除Sytem,SMSSEXE,CSRSSEXE外的所有进程。

五、断定病毒后，定要斩草除根——搜出病毒原文件

对于已经判断是病毒文件的“Winion0nexe” 文件，通过搜索本地所有分区”、“搜索系统文件夹和隐藏的文件和文件夹”，找到该文件的藏身之所，将它删除。

不过这样删除的只是病毒主文件，通过查看它的属性，依据它的文件创建曰期、大小再次进行搜索，找出它的同伙并删除。

如果你不确定还有那些文件是它的亲戚，通过网络搜索查找病毒信息获得帮助。

六、清除病毒后一定要打扫战场

手动修复注册表虽然把病毒文件删除了，但病毒都会在注册表留下垃圾键值，还需要把这些垃圾清除干净。

1、用reg export备份自启动。

由于自启动键值很多，发现病毒时手动查找很不方便。

这里用reg export+批处理命令来备份。

启动记事本输入下列命令：

reg export HKLM\software\Microsoft\Windows\

CurrentVersion\Run fo:\hklmrunreg

reg export HKCU\Software\Microsoft\Windows\

CurrentVersion\Policies\Explorer\Run f:\hklcureg

reg export HKLM\SOFTWARE\Microsoft\Windows\

CurrentVersion\Policies\Explorer\Run hklmlreg

注：这里只列举几个常见键值的备份，其它键值请参照上述方法制作。

然后将它保存为ziqidongbat在命令提示符下运行它，即可将所有自启动键值备份到相应的reg文件中，接着再输入：

copy f:\reg ziqidongtxt

命令的作用是将所有备份的reg文件输出到“ziqidongtxt”中，这样如果发现病毒新增自启动项，同上次导出自启动值，利用上面介绍的FC命令比较前后两个txt文件， 即可快速找出新增自启动项目。

2、用reg delete删除新增自启动键值。

比如：通过上面的方法在[HKER_CURRENT_USER\SOFTWARE\Microsoft\

Windows\CurrentVersion\Run],找到一个“Logon”自启动项，启动程序为“c:\windows\winlogonexe”,现在输入下列命令即可删除病毒自启动键值：

reg delete HKLM\software\Microssoft\Windows\

CurrentVersion\Run /f

3、用reg import恢复注册表。

Reg de-lete删除是的是整个RUN键值，现在用备份好的reg文件恢复即可，输入下列命令即可迅速还原注册表：reg import f:\hklmrunreg

上面介绍手动杀毒的几个系统命令，其实只要用好这些命令，我们基本可以KILL掉大部分的病毒，当然平时就一定要做好备份工作。

提示：上述操作也可以在注册表编辑器里手动操作，但是REG命令有个好处，那就是即使注册表编辑器被病毒设置为禁用，也可以通过上述命令导出/删除/导入操作，而且速度更快!

七、捆绑木马克星——FIND

上面介绍利用系统命令查杀一般病毒，下面再介绍一个检测捆绑木马的“FIND”命令。

相信很很多网虫都遭遇过捆绑木刀，这些“批着羊皮的狼”常常躲在、FLASH、甚至音乐文件后面。

当我们打开这些文件的时候，虽然在当前窗口显示的确实是一幅(或是播放的FLASH)，但可恶的木马却已经在后台悄悄地运行了。

比如近曰我就收到一张好友从QQ传来的超女壁纸，但是当我打开时却发现：已经用“和传真查看器”打开了，硬盘的指示灯却一直在狂闪。

显然在我打开的同时，有不明的程序在后台运行。

现在用FIND命令检测是否捆绑木马，在命令提示符输入：

FIND /c /I＂This program″g:\chaonvjpeexe其中:

g:\chaonvjpeexe表示需要检测的文件

FIND命令返回的提示是“___G:CHAONVEXE: 2”,这表明“G：、CHAONVEXE”确实捆绑了其它文件。

因为FIND命令的检测：如果是EXE文件，正常情况下返回值应该为“1”;如果是不可执行文件，正常情况下返回值应该为“0”，其它结果就要注意了。

提示：其实很多捆绑木马是利用Windows默认的“隐藏已知类型文件扩展名”来迷惑我们，比如本例的“chaonvjpeexe”，由于这个文件采用了JPG文件的图标，才导致上当。

打开“我的电脑”，单击“工具→文件夹选项”，“单击”“查看”，去除“隐藏已知类型文件扩展名”前的小勾，即可看清“狼”的真面目。

八、总结

最后我们再来总结一下手动毒的流程：

用TSKLIST备份好进程列表→通过FC比较文件找出病毒→用NETSTAT判断进程→用FIND终止进程→搜索找出病毒并删除→用REG命令修复注册表。

这样从发现病毒、删除病毒、修复注册表，这完成整个手动查毒、杀毒过程

方法如下

1、首先升级你的杀毒软件，把病毒库更新至最新

2、打开腾讯电脑管家——病毒查杀

3、选择闪电杀毒、全盘杀毒或指定位置杀毒（3种查杀模式，根据自己需要）杀毒过程中会滚动进程说明并显示进度条。其传统界面中，则以图标形式显示杀毒引擎的开启状态，并显示可疑行为鉴定次数、安全扫描的文件个数等信息

4、耐心等待扫描结束，如果有异常，可点击处理，清理掉病毒

5、如果遇到顽固或杀毒不掉的病毒，也可以选择在安全模式下打开腾讯电脑管家按上述步骤进行杀毒。

关机，断网，选择进入模式（开机按F8键，选择第一项就可以进入了，这个模式只启动基本的驱动不会加载其它的软件，然后把你的病毒软件打开进行清理就可

清马

1、找挂马的标签，比如有<script language="javasc粻紶纲咳蕺纠告穴梗膜ript" src="网马地址"></script>或<iframe width=420 height=330 frameborder=0

scrolling=auto src=网马地址></iframe>，或者是你用360或病杀毒软件拦截了网马网址。SQL数据库被挂马，一般是JS挂马。

2、找到了恶意代码后，接下来就是清马，如果是网页被挂马，可以用手动清，也可以用批量清，网页清马比较简单，这里就不详细讲，现在着重讲一下SQL数据库清马，用这一句语句“update 表名 set 字段名=replace(字段名,'aaa','')”， 解释一下这一句子的意思：把字段名里的内容包含aaa的替换成空，这样子就可以一个表一个表的批量删除网马。

在你的网站程序或数据库没有备份情况下，可以实行以上两步骤进行清马，如果你的网站程序有备份的话，直接覆盖原来的文件即可。

修补漏洞（修补网站漏洞也就是做一下网站安全。）

1、修改网站后台的用户名和密码及后台的默认路径。

2、更改数据库名,如果是ACCESS数据库，那文件的扩展名最好不要用mdb，改成ASP的，文件名也可以多几个特殊符号。

3、接着检查一下网站有没有注入漏洞或跨站漏洞，如果有的话就相当打上防注入或防跨站补丁。

4、检查一下网站的上传文件，常见了有欺骗上传漏洞，就对相应的代码进行过滤。

5、尽可能不要暴露网站的后台地址，以免被社会工程学猜解出管理用户和密码。

6、写入一些防挂马代码，让框架代码等挂马无效。

7、禁用FSO权限也是一种比较绝的方法。

8、修改网站部分文件夹的读写权限。

9、如果你是自己的服务器，那就不仅要对你的网站程序做一下安全了，而且要对你的服务器做一下安全也是很有必要了！

电脑一旦感染病毒是比较难判断的，有些病毒会潜伏在电脑了，过一段时间才回发作，但一般电脑要是中了病毒，就会使电脑的速度减慢，占有大量系统资源，还有，就是主机箱上的硬盘指示灯，在没有操作的情况下，会长时间的闪动，那就基本上可以肯定是有了病毒，在就是网络木马，只要检查一下你对外连接的端口就可以查出来，木马进入电脑后，会开放一个端口，与外界进行连接，一般情况下，接入网络开放的端口是137、138和139端口，在就是一些软件的端口，比如，讯雷默认端口是3077，其余的端口在不使用的时候是不开放的，如果你发现有长时间开放的端口，那就是中了木马。

木马简介前言

在我潜意识中说起“木马”马上就联想到三国时期诸葛亮先生发明的木牛流马，当初怎么就想不通它与病毒扯上关系了。经过一番了解，原来它是借用了一个古希腊士兵藏在木马中潜入敌方城市，从而一举占领敌方城市的故事，因为现在所讲的木马病毒侵入远程主机的方式在战略上与其攻城的方式一致。通个这样的解释相信大多数朋友对木马入侵主机的方式所有领悟：它就是通过潜入你的电脑系统，通过种种隐蔽的方式在系统启动时自动在后台执行的程序，以“里应外合”的工作方式，用服务器/客户端的通讯手段，达到当你上网时控制你的电脑，以窃取你的密码、游览你的硬盘资源，修改你的文件或注册表、偷看你的邮件等等。

一旦你的电脑被它控制，则通常表现为蓝屏然死机；CD-ROM莫名其妙地自己弹出；鼠标左右键功能颠倒或者失灵或文件被删除；时而死机，时而又重新启动；在没有执行什么操作的时候，却在拼命读写硬盘；系统莫明其妙地对软驱进行搜索；没有运行大的程序，而系统的速度越来越慢，系统资源占用很多；用 CTRL＋ALT＋DEL调出任务表，发现有多个名字相同的程序在运行，而且可能会随时间的增加而增多等等。

不过要知道，即使发现了你的机器染上木马病毒，也不必那么害怕，因为木马病毒与一般病毒在目的上有很大的区别，即使木马运行了，也不一定会对你的机器造成危害。但肯定有坏处，你的上网密码有可能已经跑到别人的收件箱里了，这样黑客们就可以盗用你的上网账号上网了！木马程序也是病毒程序的一类，但更具体的被认为黑客程序，因为它入侵的目的是为发布这些木马程序的人，即所谓的黑客服务的。

本文将就木马的一些特征、木马入侵的一些常用手法及清除方法以及如何避免木马的入侵以及几款常见木马程序的清除四个方面作一些综合说明。

木马的基本特征

木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、 BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征：

1、隐蔽性是其首要的特征

如其它所有的病毒一样，木马也是一种病毒，它必需隐藏在你的系统之中，它会想尽一切办法不让你发现它。很多人的对木马和远程控制软件有点分不清，因为我前面讲了木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上他们两者的最大区别就是在于这一点，举个例子来说吧，象我们进行局域网间通讯的常软件——PCanywhere大家一定不陌生吧，大家也知道它是一款远程通讯软件。PCanwhere在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能还出现什么提示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。例如大家所熟悉木马修改注册表和ini文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其它程序之中。有些把服务器端和正常程序绑定成一个程序的软件,叫做exe-binder绑定程式，可以让人在使用绑定的程式时，木马也入侵了系统，甚至有个别木马程序能把它自身的exe文件和服务器端的文件绑定，在你看的时候，木马也侵入了你的系统。它的隐蔽性主要体现在以下两个方面：

a、不产生图标

它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标，这是容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中隐藏图标，只需要在木马程序开发时把“Form”的“Visible ”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可；

b、木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。

2、它具有自动运行性

它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如winini、systemini、winstartbat以及启动组等文件之中。

3、木马程序具有欺骗性

木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys \explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马程序为“骗子程序”。

4、具备自动恢复功能

现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。

5、能自动打开特别的端口

木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图。你知不知道你的电脑有多少个对外的“门”，不知道吧，告诉你别吓着，根据TCP/IP协议，每台电脑可以有256乘以256扇门，也即从0到65535号“门，但我们常用的只有少数几个，你想有这么门可以进，还能进不来？当然有门我们还是可以关上它们的，这我在预防木马的办法中将会讲到。

6、 功能的特殊性

通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能,上面所讲的远程控制软件的功能当然不会有的，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。

7、黑客组织趋于公开化

以往还从未发现有什么公开化的病毒组织（也许是我孤陋寡闻），多数病毒是由个别人出于好奇（当然也有专门从事这一职业的），想试一下自己的病毒程序开发水平而做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“地下”的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国” 。

木马入侵的常用手法及清除方法

虽然木马程序千变万化，但正如一位木马组织的负责人所讲，大多数木马程序没有特别的功能，入侵的手法也差不多，只是以前有关木马程序的重复，只是改了个名而已，现在他们都要讲究效率，据说他们要杜绝重复开发，浪费资源。当然我们也只能讲讲以前的一些通用入侵手法，因为我们毕竟不是木马的开发者，不可能有先知先觉。

1、在winini文件中加载

一般在winini文件中的[windwos]段中有如下加载项：

run= load= ，一般此两项为空，如图1所示。

图1

如果你发现你的系统中的此两项加载了任何可疑的程序时，应特别当心，这时可根据其提供的源文件路径和功能进一步检查。我们知道这两项分别是用来当系统启动时自动运行和加载程序的，如果木马程序加载到这两个子项中之后，那么当你的系统启动后即可自动运行或加载了。当然也有可能你的系统之中确是需要加载某一程序，但你要知道这更是木马利用的好机会，它往往会在现有加载的程序文件名之后再加一个它自己的文件名或者参数，这个文件名也往往用你常见的文件，如commandexe、syscom等来伪装。

2、在Systemini文件中加载

我们知道在系统信息文件systemini中也有一个启动加载项，那就是在[BOOT]子项中的“Shell”项，如图2所示。

图2

在这里木马最惯用的伎俩就是把本应是“Explorer”变成它自己的程序名，名称伪装成几乎与原来的一样，只需稍稍改"Explorer”的字母“l”改为数字“1”，或者把其中的“o”改为数字“0”，这些改变如果不仔细留意是很难被人发现的，这就是我们前面所讲的欺骗性。当然也有的木马不是这样做的，而是直接把“Explorer”改为别的什么名字，因为他知道还是有很多朋友不知道这里就一定是“Explorer”，或者在 “Explorer”加上点什么东东，加上的那些东东肯定就是木马程序了。

3、修改注册表

如果经常研究注册表的朋友一定知道，在注册表中我们也可以设置一些启动加载项目的，编制木马程序的高手们当然不会放过这样的机会的，况且他们知道注册表中更安全，因为会看注册表的人更少。事实上，只要是”Run\Run-\RunOnce\RunOnceEx\ RunServices \RunServices-\RunServicesOnce 等都是木马程序加载的入口，如[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run或\RunOnce]，如图3所示；

图3

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run或Run -或RunOnce或RunOnceEx或RunServices或RunServices-或RunServicesOnce]，如图4所示。

图4

你只要按照其指定的源文件路径一路查过去，并具体研究一下它在你系统这中的作用就不难发现这些键值的作用了，不过同样要注意木马的欺骗性，它可是最善于伪装自己呵！同时还要仔细观察一下在这些键值项中是否有类似netspyexe、空格、exe或其它可疑的文件名，如有则立即删除。

4、修改文件打开关联

木马程序发展到了今天，他们发现以上的那些老招式不灵了，为了更加隐蔽自己，他们所采用隐蔽的手段也是越来越高明了（不过这也是万物的生存之道，你说呢？），它们采用修改文件打开关联来达到加载的目的，当你打开了一个已修改了打开关联的文件时，木马也就开始了它的运作，如冰河木马就是利用文本文件（txt）这个最常见，但又最不引人注目的文件格式关联来加载自己，当有人打开文本文件时就自动加载了冰河木马。

修改关联的途经还是选择了注册表的修改，它主要选择的是文件格式中的“打开”、“编辑”、“打印”项目，如冰河木马修改的对象如图5所示，

图5

如果感染了冰河木马病毒则在[HKEY_CLASSES_ROOT\txtfile\shell\open\command]中的键值不是“c:\windows\notepadexe %1”，而是改为“syplrexe %1”。

以上所介绍的几种木马入侵方式，如果发现了我们当然是立即对其删除，并要立即与网络断开，切断黑客通讯的途径，在以上各种途径中查找，如果是在注册表发现的，则要利用注册表的查找功能全部查找一篇，清除所有的木马隐藏的窝点，做到彻底清除。如果作了注册表备份，最好全部删除注册表后再导入原来的备份注册表。

在清除木马前一定要注意，如果木马正在运行，则你无法删除其程序，这时你可以重启动到DOS方式然后将其删除。有的木马会自动检查其在注册表中的自启动项，如果你是在木马处于活动时删除该项的话它能自动恢复，这时你可以重启到DOS下将其程序删除后再进入Win9x下将其注册表中的自启动项删除。

服务器被挂马的原因很多,在解决之前,首先要弄清楚被挂马的类型

A) 首先按服务器上的文件是否被修改,分成ARP中毒,及非ARP中毒, ARP中毒是目前最普遍的挂马现象碰到挂马首先应该检查这个

ARP挂马现象: IE访问时,站点被挂马了,但是到服务器上查看实际的文件时,发现服务器上的文件并没有被修改

ARP挂马的解决方法: 及时与机房联系, 是由于机房中跟你同一个机柜的服务器中有一台服务器中了ARP病毒, 机房检查出该机器之后,把该机器关掉,即可恢复正常

B) 在排除了ARP挂马的可能性之后, 如果你的服务器上网站程序确实被修改了, 根据被挂马网站的数量分成以下几种类型:

(1) 个别网站被挂马

现象: 只有一个或两个网站被挂马,其它网站均没有问题

解决: 一般是网站本身程序有问题 可以通知客户自行解决,不属于IDC提供商的责任范围

如果想要帮客户解决,可以先检查一下看客户网站上是否存在WEB上传程序, HTML在线编程程序,在线上传的程序,大部是这类程序有问题

如果不需要用到这类程序,可以设置一下站点主目录的权限, 把写权限去掉,留下只读与执行即可

(2) 同一类型的网站被挂码

现象: 数个网站被挂马,且被挂马的网站内容是同一类型的网站,比如使用同一种论坛程序,同一种在线上传程序,同一种商城等

解决: 大部分是由于这类论坛或商城程序有漏洞 可以建议升级一下相关的程序,或者同方法 (1)一样,在WinIIS控制面板里把站点主目录的写权限去掉,只留下读与执行权限

(3) 整台服务器大部分网站都被挂马了

现象: 服务器在大部分网站都被挂马了, 这种多半是由于服务器安全整体安全问题

解决: 一般需要从以下方面检查服务器的安全且查出问题之后, 如果没有十足把握, 一般建议需要重装服务器,才能根除

检查磁盘的权限设置是否有问题,特别的C盘的权限 其它盘是否有特别上不必要的权限,一般建议其它盘符及d:\www\web\目录只留下administrators及system权限就行了,不要留下任何其它用户的权限

检查serv-u没有设置管理密码

检查MSSQL的SA密码是否过于简单或空密码

检查系统的启动项,看是否有不必要的程序启动

检查任务管理器,看是否有可疑的进程

检查系统的服务,看是否有可疑的服务启动