学习故事与观察记录心得体会
《观察记录与分析》学习心得----学习蔡伟忠《观察记录与分析》心得体会 通过学习《观察记录与分析》，学习到了观察记录是一种有目的的行为记录可以有多方面和多层次的目的。
其最基本的目的，在于它是观察的一个辅助环节，是观察的一个因素或后期的延续。
常见的情况下，要观察什么，就要记什么。
当然，从记录的过程中产生新的观察目的，也是很可能的。
在蔡伟忠老师的课程中，也学习到在幼儿平时的生活交往、区域活动等时间能如何观察记录与分析的。
观察记录的计划性在于它需要有一定时间安排和方式进程等方面的规划，其中包括记录的规模、频率、时间段、总时间长度、辅助工具（包括表格和各种机器设备）的设计与使用、保存与整理，等等。
在观察过程中幼儿的每句话、每个动作和与同伴对话，都有可能体现观察原因的答案，尽量具体记录清楚。
就拿杨✘成的案例来说，就要对其实施家园沟通：及时的和家长沟通，让其家长了解他在幼儿园的各种表现，家园合作，一起纠正他的“不良”行为。
在以后的活动中，一旦他出现一些良好行为的时候，老师要及时去强化，以促进他出现类似的良好行为。
冼建宜 2020.2.22
这个“SVCHOST.EXE”是什么进程
耗尽CPU资源的Explored病毒清除法 出处：网易[ 2005-11-03 10:26:15 ] 作者：佚名 责任编辑：linjixiong 昨天单位这好几台机器病毒大爆发，因为都不是专家高手，折腾了很久才清理掉，过程中有些体会，觉得可以写下来，跟大家作一番交流。
首先是病毒的发现。
昨天出现了两个症状。
一、在局域网上出现广播包(ARP)暴增，甚至把出口堵死。
二、机器CPU资源耗尽。
用任务管理器可以看到可疑的进程explored.exe和services.exe一起占用CPU近100%(后来才知道，这是因为该病毒是通过服务启动的)，该进程无法停止，注册表键值： HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run 这里有该项存在，即使将该项删除，重启后仍如原样。
这个文件是存在在WINDOWS的SYSTEM32目录下，未中毒机器没有该文件。
因此可基本确认该进程是病毒。
然后是病毒的查杀。
这过程中出现两个问题，一是瑞星开始无法升级，这是因为病毒本身把出口堵塞，TCP流无法正常传输。
我们尝试了一下，发现可以用防火墙(例如天网)将病毒程序隔离，然后再连网进行升级。
第二个问题是瑞星查毒过程缓慢(查毒前已经将网卡先禁用了)，这是因为病毒程序explored占用CPU太狠，在无法设置删除该进程的情况下，可以用任务管理器提高瑞星进程的优先级(比如实时)，这样瑞星从病毒手中抢过CPU资源来正常地运行。
不过，这次瑞星只查杀了伪装成svchost.exe的蠕虫病毒，explored仍然存在。
我们无可奈何下只好采用很笨的方法删除explored，就是进入安全模式，到Windows的System32目录下直接把该文件删除掉。
顺便也把注册表中启动运行那项也删掉了。
重启后，提示有服务出错，到管理工具下的“服务”一看，才终于发现了该病毒的真实面目:原来“服务”里面有一栏“Windows Login”，属性显示服务名称是“MpR”，可执行文件路径正是“C:\\\\WINNT\\\\SYSTEM32\\\\explored.exe -services”。
这就说明了为什么进程中止不了，删掉注册表中系统启动项也没用。
也就是说，当初应该到服务里将该服务停止，而不是在任务管理器试图将其删除。
最后就病毒查杀的心得作一点小结:上述病毒发作都有一定迹象，例如CPU占满，网络带宽占满(可以通过网络连接状态看，如果后台没有运行什么进程，网络接口上收\\\/发包数激增，就很可能是中毒或是连接的网络上有机器中毒)，因为平时要保持警惕，发现异常就赶紧查毒。
最好是用查毒软件，用任务管理器有时被骗，现在的病毒起名往往跟系统程序相似甚至相同，例如explored, smsss(smss是系统程序)，svchost等等。
最好知道真正的系统程序所在目录，例如系统svchost.exe应该在system32下，而病毒可能藏在system32\\\\drivers下。
病毒的自启动可能通过很多途径:注册表，INI文件，甚至——象explored这样——通过服务启动。
与其中了毒再查再杀，不如切实做好防护措施——补丁，病毒保护，防火墙，一个都不能少啊! 揭开SVCHOST.exe进程之谜 作者： 时间： 2004-07-02 文档类型：转载 来自：天极网 浏览统计 total:240819 | year:184705 | Quarter:49433 | Month:15355 | Week:2124 | today:708 svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。
很多病毒、木马也会调用它。
所以，深入了解这个程序，是玩电脑的必修课之一。
大家对windows操作系统一定不陌生，但你是否注意到系统中“svchost.exe”这个文件呢
细心的朋友会发现windows中存在多个 “svchost”进程（通过“ctrl+alt+del”键打开任务管理器，这里的“进程”标签中就可看到了），为什么会这样呢
下面就来揭开它神秘的面纱。
发现 在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。
一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003 server中则更多。
这些svchost进程提供很多系统服务，如：rpcss服务（remote procedure call）、dmserver服务（logical disk manager）、dhcp服务（dhcp client）等。
如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win2000 support tools提供的。
在winxp则使用“tasklist \\\/svc”命令。
svchost中可以包含多个服务 深入 windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot% system32”目录下，它属于共享进程。
随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。
但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。
那这些服务是如何实现的呢
原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向 svchost，由svchost调用相应服务的动态链接库来启动服务。
那svchost又怎么知道某个系统服务该调用哪个动态链接库呢
这是通过系统服务在注册表中设置的参数来实现。
下面就以rpcss（remote procedure call）服务为例，进行讲解。
从启动参数中可见服务是靠svchost来启动的。
实例 以windows xp为例，点击“开始”\\\/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\\\\windows\\\\system32\\\\svchost -k rpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。
在运行对话框中输入“regedit.exe”后回车，打开注册表编辑器，找到[hkey_local_machine systemcurrentcontrolsetservicesrpcss]项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“% systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。
这样 svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。
解惑 因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。
但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢
这里仅举一例来说明。
假设windows xp系统被“w32.welchia.worm”感染了。
正常的svchost文件存在于“c:\\\\windows\\\\system32”目录下，如果发现该文件出现在其他目录下就要小心了。
“w32.welchia.worm”病毒存在于“c:\\\\windows\\\\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。
windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。
由于篇幅的关系，不能对svchost全部功能进行详细介绍，这是一个windows中的一个特殊进程，有兴趣的可参考有关技术资料进一步去了解它。
大家都要知道Svchost.exe,是系统必不可少的一个进程,很多服务都会多多少少用到它, 但是我想大家也知道,由于它本身特殊性,高明的黑客们肯定是不会放过的,前段时间的Svchost.exe木马风波,大家应该是记忆犹新吧,而且现在还是有很多机器里都藏有此木马,因为它伪装和系统进程Svchost.exe一样,所以很多人分不清,那个是进程,那个是木马.... 好的,还是让我们详尽了解一下Svchost.exe进程吧 1.多个服务共享一个 Svchost.exe进程利与弊 windows 系统服务分为独立进程和共享进程两种，在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务，随着系统内置服务的增加，在windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。
windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。
而在windows XP中，则一般有4个以上的svchost.exe服务进程，windows 2003 server中则更多，可以看出把更多的系统内置服务以共享进程方式由svchost启动是ms的一个趋势。
这样做在一定程度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务都退出。
另外就是有一点安全隐患，首先要介绍一下svchost.exe的实现机制。
2. Svchost原理 Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这些服务时由svchost调用相应服务的动态链接库来启动服务。
那么svchost如何知道某一服务是由哪个动态链接库负责呢
这不是由服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll表明该服务由哪个动态链接库负责。
并且所有这些服务动态链接库都必须要导出一个ServiceMain()函数，用来处理服务任务。
例如rpcss（Remote Procedure Call）在注册表中的位置是 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs，它的参数子键Parameters里有这样一项： ServiceDll=REG_EXPAND_SZ:%SystemRoot%system32 pcss.dll 当启动rpcss服务时，svchost就会调用rpcss.dll，并且执行其ServiceMain()函数执行具体服务。
既然这些服务是使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢
ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务使用多个svchost进程，组的区别是由服务的可执行程序后边的参数决定的。
例如rpcss在注册表中 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs 有这样一项： ImagePath=REG_EXPAND_SZ:%SystemRoot%system32svchost -k rpcss 因此rpcss就属于rpcss组，这在服务管理控制台也可以看到。
svchost的所有组和组内的所有服务都在注册表的如下位置： HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost，例如windows 2000共有4组rpcss、netsvcs、wugroup、BITSgroup，其中最多的就是netsvcs=REG_MULTI_SZ:EventSystem.Ias.Iprip.Irmon.Netman. Nwsapagent.Rasauto.Rasman.Remoteaccess.SENS.Sharedaccess.Tapisrv.Ntmssvc.wzcsvc.. 在启动一个svchost.exe负责的服务时，服务管理器如果遇到可执行程序内容ImagePath已经存在于服务管理器的映象库中，就不在启动第2个进程svchost，而是直接启动服务。
这样就实现了多个服务共享一个svchost进程。
3. Svchost代码 现在我们基本清楚svchost的原理了，但是要自己写一个DLL形式的服务，由svchost来启动，仅有上边的信息还有些问题不是很清楚。
比如我们在导出的ServiceMain()函数中接收的参数是ANSI还是Unicode
我们是否需要调用RegisterServiceCtrlHandler和StartServiceCtrlDispatcher来注册服务控制及调度函数
这些问题要通过查看svchost代码获得。
下边的代码是windows 2000+ service pack 4 的svchost反汇编片段，可以看出svchost程序还是很简单的。
主函数首先调用ProcCommandLine()对命令行进行分析，获得要启动的服务组，然后调用SvcHostOptions()查询该服务组的选项和服务组的所有服务，并使用一个数据结构 svcTable 来保存这些服务及其服务的DLL，然后调用PrepareSvcTable() 函数创建 SERVICE_TABLE_ENTRY 结构，把所有处理函数SERVICE_MAIN_FUNCTION 指向自己的一个函数FuncServiceMain()，最后调用API StartServiceCtrlDispatcher() 注册这些服务的调度函数。
; =============================== Main Funcion ======================================= .text:010010B8 public start .text:010010B8 start proc near .text:010010B8 push esi .text:010010B9 push edi .text:010010BA push offset sub_1001EBA ; lpTopLevelExceptionFilter .text:010010BF xor edi, edi .text:010010C1 call ds:SetUnhandledExceptionFilter .text:010010C7 push 1 ; uMode .text:010010C9 call ds:SetErrorMode .text:010010CF call ds:GetProcessHeap .text:010010D5 push eax .text:010010D6 call sub_1001142 .text:010010DB mov eax, offset dword_1003018 .text:010010E0 push offset unk_1003000 ; lpCriticalSection .text:010010E5 mov dword_100301C, eax .text:010010EA mov dword_1003018, eax .text:010010EF call ds:InitializeCriticalSection .text:010010F5 call ds:GetCommandLineW .text:010010FB push eax ; lpString .text:010010FC call ProcCommandLine .text:01001101 mov esi, eax .text:01001103 test esi, esi .text:01001105 jz short lab_doservice .text:01001107 push esi .text:01001108 call SvcHostOptions .text:0100110D call PrepareSvcTable .text:01001112 mov edi, eax ; SERVICE_TABLE_ENTRY returned .text:01001114 test edi, edi .text:01001116 jz short loc_1001128 .text:01001118 mov eax, [esi+10h] .text:0100111B test eax, eax .text:0100111D jz short loc_1001128 .text:0100111F push dword ptr [esi+14h] ; dwCapabilities .text:01001122 push eax ; int .text:01001123 call InitializeSecurity .text:01001128 .text:01001128 loc_1001128: ; CODE XREF: start+5Ej .text:01001128 ; start+65j .text:01001128 push esi ; lpMem .text:01001129 call HeapFreeMem .text:0100112E .text:0100112E lab_doservice: ; CODE XREF: start+4Dj .text:0100112E test edi, edi .text:01001130 jz ExitProgram .text:01001136 push edi ; lpServiceStartTable .text:01001137 call ds:StartServiceCtrlDispatcherW .text:0100113D jmp ExitProgram .text:0100113D start endp ; =============================== Main Funcion end =========================================== 由于svchost为该组的所有服务都注册了svchost中的一个处理函数，因此每次启动任何一个服务时，服务管理器SCM都会调用FuncServiceMain() 这个函数。
这个函数使用 svcTable 查询要启动的服务使用的DLL，调用DLL导出的ServiceMain()函数来启动服务，然后返回。
; ============================== FuncServiceMain() =========================================== .text:01001504 FuncServiceMain proc near ; DATA XREF: PrepareSvcTable+44o .text:01001504 .text:01001504 arg_0 = dword ptr 8 .text:01001504 arg_4 = dword ptr 0Ch .text:01001504 .text:01001504 push ecx .text:01001505 mov eax, [esp+arg_4] .text:01001509 push ebx .text:0100150A push ebp .text:0100150B push esi .text:0100150C mov ebx, offset unk_1003000 .text:01001511 push edi .text:01001512 mov edi, [eax] .text:01001514 push ebx .text:01001515 xor ebp, ebp .text:01001517 call ds:EnterCriticalSection .text:0100151D xor esi, esi .text:0100151F cmp dwGroupSize, esi .text:01001525 jbe short loc_1001566 .text:01001527 and [esp+10h], esi .text:0100152B .text:0100152B loc_100152B: ; CODE XREF: FuncServiceMain+4Aj .text:0100152B mov eax, svcTable .text:01001530 mov ecx, [esp+10h] .text:01001534 push dword ptr [eax+ecx] .text:01001537 push edi .text:01001538 call ds:lstrcmpiW .text:0100153E test eax, eax .text:01001540 jz short StartThis .text:01001542 add dword ptr [esp+10h], 0Ch .text:01001547 inc esi .text:01001548 cmp esi, dwGroupSize .text:0100154E jb short loc_100152B .text:01001550 jmp short loc_1001566 .text:01001552 ; ================================================= .text:01001552 .text:01001552 StartThis: ; CODE XREF: FuncServiceMain+3Cj .text:01001552 mov ecx, svcTable .text:01001558 lea eax, [esi+esi*2] .text:0100155B lea eax, [ecx+eax*4] .text:0100155E push eax .text:0100155F call GetDLLServiceMain .text:01001564 mov ebp, eax ; dll ServiceMain Function address .text:01001566 .text:01001566 loc_1001566: ; CODE XREF: FuncServiceMain+21j .text:01001566 ; FuncServiceMain+4Cj .text:01001566 push ebx .text:01001567 call ds:LeaveCriticalSection .text:0100156D test ebp, ebp .text:0100156F jz short loc_100157B .text:01001571 push [esp+10h+arg_4] .text:01001575 push [esp+14h+arg_0] .text:01001579 call ebp .text:0100157B .text:0100157B loc_100157B: ; CODE XREF: FuncServiceMain+6Bj .text:0100157B pop edi .text:0100157C pop esi .text:0100157D pop ebp .text:0100157E pop ebx .text:0100157F pop ecx .text:01001580 retn 8 .text:01001580 FuncServiceMain endp ; sp = -8 ; ============================== FuncServiceMain() end ======================================== 由于svchost已经调用了StartServiceCtrlDispatcher来服务调度函数，因此我们在实现DLL实现时就不用了，这主要是因为一个进程只能调用一次StartServiceCtrlDispatcher API。
但是需要用 RegisterServiceCtrlHandler 来注册响应控制请求的函数。
最后我们的DLL接收的都是unicode字符串。
由于这种服务启动后由svchost加载，不增加新的进程，只是svchost的一个DLL，而且一般进行审计时都不会去HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost 检查服务组是否变化，就算去检查，也不一定能发现异常，因此如果添加一个这样的DLL后门，伪装的好，是比较隐蔽的。
4. 安装服务与设置 要通过svchost调用来启动的服务，就一定要在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost下有该服务名，这可以通过如下方式来实现： 1） 添加一个新的服务组，在组里添加服务名 2） 在现有组里添加服务名 3） 直接使用现有服务组里的一个服务名，但本机没有安装的服务 4） 修改现有服务组里的现有服务，把它的ServiceDll指向自己 其中前两种可以被正常服务使用，如使用第1种方式，启动其服务要创建新的svchost进程；第2种方式如果该组服务已经运行，安装后不能立刻启动服务，因为svchost启动后已经把该组信息保存在内存里，并调用API StartServiceCtrlDispatcher() 为该组所有服务注册了调度处理函数，新增加的服务不能再注册调度处理函数，需要重起计算机或者该组的svchost进程。
而后两种可能被后门使用，尤其是最后一种，没有添加服务，只是改了注册表里一项设置，从服务管理控制台又看不出来，如果作为后门还是很隐蔽的。
比如EventSystem服务，缺省是指向es.dll，如果把ServiceDll改为EventSystem.dll就很难发现。
因此服务的安装除了调用CreateService()创建服务之外，还需要设置服务的ServiceDll，如果使用前2种还要设置svchost的注册表选项，在卸载时也最好删除增加的部分。
注： ImagePath 和ServiceDll 是ExpandString不是普通字符串。
因此如果使用.reg文件安装时要注意。
5. DLL服务实现 DLL程序的编写比较简单，只要实现一个ServiceMain()函数和一个服务控制程序，在ServiceMain()函数里用RegisterServiceCtrlHandler()注册服务控制程序，并设置服务的运行状态就可以了。
另外，因为此种服务的安装除了正常的CreateService()之外，还要进行其他设置，因此最好实现安装和卸载函数。
为了方便安装，实现的代码提供了InstallService()函数进行安装，这个函数可以接收服务名作为参数（如果不提供参数，就使用缺省的iprip），如果要安装的服务不在svchost的netsvcs组里安装就会失败；如果要安装的服务已经存在，安装也会失败；安装成功后程序会配置服务的ServiceDll为当前Dll。
提供的UninstallService()函数，可以删除任何函数而没有进行任何检查。
为了方便使用rundll32.exe进行安装，还提供了RundllInstallA()和RundllUninstallA()分别调用InstallService()及UninstallService()。
因为rundll32.exe使用的函数原型是： void CALLBACK FunctionName( HWND hwnd, \\\/\\\/ handle to owner window HINSTANCE hinst, \\\/\\\/ instance handle for the DLL LPTSTR lpCmdLine, \\\/\\\/ string the DLL will parse int nCmdShow \\\/\\\/ show state ); 对应的命令行是rundll32 DllName,FunctionName [Arguments] DLL服务本身只是创建一个进程，该程序命令行就是启动服务时提供的第一个参数，如果未指定就使用缺省的svchostdll.exe。
启动服务时如果提供第二个参数，创建的进程就是和桌面交互的。
大家都要知道Svchost.exe,是系统必不可少的一个进程,很多服务都会多多少少用到它, 但是我想大家也知道,由于它本身特殊性,高明的黑客们肯定是不会放过的,前段时间的Svchost.exe木马风波,大家应该是记忆犹新吧,而且现在还是有很多机器里都藏有此木马,因为它伪装和系统进程Svchost.exe一样,所以很多人分不清,那个是进程,那个是木马.... 好的,还是让我们详尽了解一下Svchost.exe进程吧 1.多个服务共享一个 Svchost.exe进程利与弊 windows 系统服务分为独立进程和共享进程两种，在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务，随着系统内置服务的增加，在windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。
windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。
而在windows XP中，则一般有4个以上的svchost.exe服务进程，windows 2003 server中则更多，可以看出把更多的系统内置服务以共享进程方式由svchost启动是ms的一个趋势。
这样做在一定程度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务都退出。
另外就是有一点安全隐患，首先要介绍一下svchost.exe的实现机制。
2. Svchost原理 Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这些服务时由svchost调用相应服务的动态链接库来启动服务。
那么svchost如何知道某一服务是由哪个动态链接库负责呢
这不是由服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll表明该服务由哪个动态链接库负责。
并且所有这些服务动态链接库都必须要导出一个ServiceMain()函数，用来处理服务任务。
例如rpcss（Remote Procedure Call）在注册表中的位置是 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs，它的参数子键Parameters里有这样一项： ServiceDll=REG_EXPAND_SZ:%SystemRoot%system32 pcss.dll 当启动rpcss服务时，svchost就会调用rpcss.dll，并且执行其ServiceMain()函数执行具体服务。
既然这些服务是使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢
ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务使用多个svchost进程，组的区别是由服务的可执行程序后边的参数决定的。
例如rpcss在注册表中 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs 有这样一项： ImagePath=REG_EXPAND_SZ:%Sy
有谁会写车间改善提案，请马上帮帮忙，相当感谢
1
车间现场安全提案 一、目规范员工对生产现场的整理，实衡、安全、文明生产、提高业务素质，提高经济效益、达到优质、高效、低耗具有重要意义。
二、范围：公司生产车间 三、内容： 1 质量管理 1.1 各车间应严格执行《程序文件》的规定，履行自己的职责、协调工作。
1.2 对关键过程按《程序文件》的规定严格控制，对出现的异常情况，要查明原因，及时排除，使质量 始终处于稳定的受控状态。
1.3 认真执行“三检”制度(自检、互检、巡检)，操作人员对自己生产的产品要做到自检，检查合格后，方能转入下工序，下工序对上工序的产品进行检查，不合格产品有权拒绝接收。
如发现质量事故时做到责任者查不清不放过、事故原因不排除不放过，预防措施不制定不放过。
1.4 车间要对所生产的产品质量负责，做到不合格的材料不投不合格的半成品不转序。
1.5 严格划分“三品”（合格品、返修品、废品）隔离区，做到标识明显、数量准确、处理及时。
2 工艺管理 2.1 严格贯彻执行工艺规程。
2.2 对新工人和工种变动人员进行岗位技能培训 , 经考试合格并有师傅指导方可上岗操作 , 生产技术部不定期检查工艺纪律执行情况 .2.3 严格贯彻执行按标准、按工艺、按图纸生产，对图纸和工艺文件规定的工艺参数、技术要求应严格遵守、认真执行，按规定进行检查，做好记录。
2.4 对原材料、半成品、零配件、进入车间后要进行自检，符合标准或有让步接收手续方可投产，否则不得投入生产。
2.5 严格执行标准、图纸、工艺配方，如需修改或变更，应提出申请，并经试验鉴定，报请生产技术部审批后主可用于生产。
2.6 合理化建议、技术改进、新材料应用必须进行试验、鉴定、审批后纳入有关技术、工艺文件方可用于生产。
2.7 新制作的工装应进行检查和试验，判定无异常且首件产品合格方可投入生产。
2.8 在用工装应保持完好。
2.9 生产部门应建立库存工装台帐，按规定办理领出、维修、报废手续，做好各项记录。
2.10 合理使用设备、量具、工位器具，保持精度和良好的技术状态。
3 定置管理 3.1 定置摆放、工件按区域按类放置，合理使用工位器具。
3.2 及时运转、勤检查、勤转序、勤清理、标志变化，应立即转序，不拖不积，稳拿轻放，保证产品外观完好。
3.3 做到单物相符，工序小票，传递记录与工件数量相符，手续齐全。
3.4 加强不合格品管理，有记录，标识明显，处理及时。
3.5 安全通道内不得摆放任何物品，不得阻碍 3.6 消防器材定置摆放 , 不得随意挪作他用 , 保持清洁卫生 , 周围不得有障碍物 . 4 设备管理 4.1 车间设备指定专人管理 4.2 严格执行公司设备使用、维护、保养、管理制度，认真执行设备保养制度，严格遵守操作规程。
4.3 做到设备管理“三步法”，坚持日清扫、周维护、月保养，每天上班后检查设备的操纵控制系统、安全装置、润滑油路畅通，油线、油毡清洁、油压油位标准、并按润滑图表注油，油质合格，待检查无问题方可正式工作。
4.4 设备台帐卡片、点检记录、运转记录齐全、完整、帐卡相符、填写及时、准确、整洁。
4.5 实行重点设备凭证上岗操作 , 做到证机相符 . 4.6 严格设备事故报告制度 , 一般事故 3 天内 , 重大事故 24 小时内报生产主管或公司领导 . 4.7 坚持八字要求 , 即 : 整齐、清洁、安全、润滑，做到“三好”“四会”“五项纪律”。
三好即：管好、用好、保养好。
四会：即会使用、会保养、会检查、会排除一般故障。
五项纪律：即：遵守安全操作规程、经常保持设备整洁，并按规定加油，遵守交接班制度；管好工具、附件、不得丢失；发现故障立即停车、通知维修人员检查、处理。
4.8 设备运行中 , 要做到勤检查、勤调整、勤维修，不离岗（设备运行过程中），对设备响声、温度、压力有异常时应及时处理并报告。
4.9 操作人员离岗位要停机 , 严禁设备空车运转 4.10 保持设备清洁 , 严禁泡、冒、滴、漏。
4.11 设备应保持操作控制系统 , 安全装置齐全可靠 . 5 工具管理 5.1卡物相符，个人长期使用的工具做到领用卡与实物相符，丢失赔偿，使用量具时轻拿轻放，不敲刀刃具，不乱拆工装模具。
5.2 各种工具量具刃具应按规定使用，严禁违章使用或挪作他用。
5.3 精密、贵重工具、量具应严格按规定保管和使用。
5.4 严禁磕、碰、划伤、锈蚀、受压变形。
5.5 车间不得使用不合格的或已损坏的工具、量具、刃具。
6 计量管理 6.1 使用人员要努力做到计量完好、准确、清洁并及时送检。
A 量具必须保持完好无损，零件、附件无丢失，出现上述情况之一者，必须及时送技术品质科以便检查、修理、鉴定。
B 禁止使用过期或不合格量具，做到正确使用、轻拿轻放、严禁碰撞，使用后擦拭干净，较长时间不使用时要涂油，正确放置。
C 所有在用计量器具必须按合格证书填写的有效期或技术部的通知自觉及时送检。
6.2 凡自制或新购计量器具均送技术品质科检测中心检查，合格后办理入库、领出手续。
6.3 严禁用精密度较高的计量工具测量粗糙工件，更不准作为他用，不得使用非法计量单位的量具。
文件、报表、记录等不得采用非计量单位。
6.4 凡须报废的计量器具，应提出申请报技术部。
6.5 各单位应按需要合理配备计量器具。
6.6 对不按规定使用计量器具或造成损坏、丢失者，应视情节进行批评教育或予以罚款。
7 能源管理7.1 积极履行节能职责，认真考核。
7.2 开展能源消耗统计核算工作。
7.3 认真执行公司下达的能源消耗定额。
7.4 随时检查耗能设备运行情况，杜绝跑、冒、滴、漏，消除长流水现象，严格掌握控制设备预热时间，杜绝空车运行。
7.5 未经允许不得私接耗能设备、设施、器具。
8 劳动纪律 (同行政部下达的管理制度) 8.1 车间可据公司制度，具体制定管理细则，报主管领导批准后实施。
8.2 车间做到奖罚分明，帐目齐全，分配公开、公正。
8.3 严格现场管理，要做到生产任务过硬、技术质量过硬、管理工作过硬、劳动纪律过硬、思想工作过硬。
8.4 经常不定期开展内部工艺、纪律、产品质量自检自纠工作。
8.5 积极参加技术培训，大力开展岗位练兵，努力达到岗位技能要求。
8.6 认真填写各项记录、管制表、台帐、做到及时、准确、清晰、完整、规范。
9 文明生产 9.1 车间清洁整齐，各图表美观大方，设计合理，填写及时，准确清晰，原始记录、台帐、生产小票齐全、完整、按规定填写。
9.2 应准确填写生产记录、内容包括设备、工装、工具、卫生、安全等。
9.3 室内外经常保持清洁，不准堆放垃圾，下班提前5~10分钟进行地面清洁、设备保养、规范物品摆放。
9.4 车间地面不得有积水、积油、尘垢（生产过程中允许有浮尘存在，但下班应该进行清理）。
9.5 车间内管路线路设置合理、安装整齐、严禁跑 、冒、滴、漏。
9.6 车间内管沟、盖板完整无缺，沟内无杂物，及时清理，严禁堵塞。
9.7 车间内工位器具、设备附件、工作台、工具箱、产品架各种搬运小车等均应指定摆放，做到清洁有序。
9.8 车间合理照明，严禁长明灯，长流水，长风扇。
9.9 坚持现场管理文明生产、文明运转、文明操作、根治磕碰、划伤、锈蚀等现象，每天下班要做到设备不擦洗保养好不走，工件不按规定放好不走，工具不清点摆放好不走，相关记录没填写好不走，工作场地不打扫干净不走。
9.10 边角料及废料等分类放到指定地点保管。
10 安全生产 10.1 严格执行各项安全操作规程。
10.2 经常开展安全活动，开好周例会，不定期进行认真整改、清除隐患。
10.3 贯彻“安全第一、预防为主” 10.4 按规定穿戴好劳保用品，认真执行安全生产。
10.5 特殊工种作业应持特殊作业操作证上岗。
10.6 学徒工及其他学员上岗操作应有师傅带领指导，不得独立操作。
10.7 生产、检验记录即使填写，班后认真检查，清理现场，关好门窗，对重要材料要严加管理以免丢失。
10.8 非本工种人员或非本机人员不准操作设备 10.9 重点设备（如数控中心），要专人管理，卫生清洁、严禁损坏。
10.10 消防器材要确保灵敏可靠，定期检查更换（器材、药品），有效期限标志明显。
10.11 加强事故管理，坚持对重大未遂事故不放过，要有事故原始记录及时处理报告，记录要准确，上报要及时。
10.12 发生事故按有关规定及程序及时上报。
四、奖惩： 1 生产部每周最少2次不定时对生产现场进行检查，按上述要求打分评比。
2生产部每天上下班对各生产场所进行检查，按上述要求进行打分、评比，进行全厂公示。
对于全月综合评分超过90分，分别给予前三名100元、80元、50元的奖励。
连续三月获奖的，奖金翻倍。
3 对于全月评分不足60分的，每低于60分一分，罚款2元，并全厂通报。
4 对于车间现场管理的奖惩金，在连同当月的工资一并发放。
五、执行：本规定自下发之日起第三天后执行。
电脑有时候重启怎么等了半天没反映啊
想要愉快的刷机，首先要解锁，这是必要的，本文针对已经得到解锁资格的人群。
刷机前请备份好数据，应用等一：解锁 1：你要去官网申请，审批成功会有短信发给你的，申请通过就去官网下载解锁工具，不要急着打开，先下载小米助手，连接手机，电脑这时会自动更新驱动的，更新完成后请重启一下电脑(以XP为例)，注意数据线应插在机箱后面的插口，这样做是为了保证完美连接手机。
2：手机端下载开发版，然后在系统更新的右上角选择安装本地安装包，找到自己刚下载的开发版就行了，这里注意可能会出现rom包验证失败，为了不出现这种情况建议一下载好就马上刷开发版，因为我试过下载好放了几天才刷会出现验证失败
3：刷入开发版后第一次开机比较慢，耐心点…当进入系统后，第一件事就是登录你已通过审批的小米账号，并且打开云同步，这一部必须要做的，必须必须必须重要的事情要说三遍…然后电脑端打开解锁工具登录相同的相互，这时手机连接一下电脑，打开小米助手看看能连接就可以拔出数据线，然后关机按住音量—和开机键进入flashboot，插入数据线在解锁软件那点解锁就行了，大概1分钟完成，提示完成后选手机重启。
拔出数据线 4：root，在手机完成重启后在安全中心授权管理那开启root,经过几个烦人的提示后会自动下载root文件，所以建议连wifi操作…下载完手机会自动重启并且自动生成root权限。
二：刷机，第三方rec 1：上面已经解锁并且root了，这时你可以任意刷机了。
这时你下载好c大提供的第三方rec，冰泪的单独root包，官方稳定版刷机包(论坛有，自己找找，这里不提供下载)，感谢两位的贡献…这里已刷回稳定版7.0.7为例，下载好rom包后安装c大提供的rec，打开选择安装rec，这时会提示没权限，推出软件后到安全中心授权管理给予rec权限后重新打开rec软件安装，这时会顺利安装完成的，安装rec完成后会提示你是否马上进入，选是就行了，在进入第三方rec后选择双清，然后刷入系统包，接着不要重启继续刷入root包，然后重启就行了…这时你拥有的已经是没上BL锁，并且已经root的稳定版7.0.7…尽情精简吧…这里更大家说一点重点：第三方rec刷机不会重新上锁…不过线刷听说会上锁～ 这里就是我的心得体会了，以下图是我刷机精简后等图
比较杂乱 这个链接包含第三方rwc，7.0.7官方包，单独root文件Screenshot_2016-01-09-01-28-12.png (57.41 KB, 下载次数: 4)Screenshot_2016-01-09-01-12-56.png (58.73 KB, 下载次数: 4)Screenshot_2016-01-09-01-12-40.png (201.11 KB, 下载次数: 4)Screenshot_2016-01-09-01-12-14.png (124.59 KB, 下载次数: 4)Screenshot_2016-01-09-01-12-08.png (209.19 KB, 下载次数: 4)
公安机关队伍作风纪律教育整顿心得体会-精选模板
公安机关队伍作风纪律教育整顿心得体会 公安机关队伍作风纪律教育整顿心得体会 公安机关队伍作风纪律教育整顿心得体会 通过学习全市公安队伍作风建设教育整顿动员大会精神和细化实施方案，以及学习其他有关文件，我个人对集中教育整顿活动有了更为深刻的理解，对自身存在的问题也有了进一步的认识。
同时我也深刻意识到开展这次的教育整顿活动是非常及时，非常有教育警示意义的。
针对当前工作的实际情况，结合实际对照。
从思想、工作、生活上开展自查、自纠，深刻领会其中的精神，并以此为鉴做到令行禁止、依法办事，认真履行职责、全心全意为人民服务。
下面谈谈集中教育整顿活动开展以来我的一些心得体会： 一、牢固树立全心全意为人民服务的宗旨意识 公安机关是人民民主专政的重要工具之一，是武装性质的国家治安行政力量和刑事司法力量，是国家机器的重要组成部分。
人民警察的权力是人民赋予的。
因此，我们必须全心全意为人民服务，勤政为民、真抓实干，密切联系群众，走群众路线，把人民群众的利益放在第一位。
要以这次建设教育整顿活动为契机，努力解决当前公安队伍中存在的“懒、糊、散，小作为、不作为、乱作为，工作质效不高”问题，杜绝公安机关对群众“冷、硬、横”的现象，杜绝“门难进、脸难看、事难办、话难说”的四难现象；杜绝漠视群众疾苦、伤害群众感情、甚至侵犯人民群众利益的现象；强调执法为民，服务于民，使广大民警进一步增强民警的全局观念、群众观念
在水泥厂实习报告怎么写
实习报告格式和基本要求 （一）要求观点明确，论据详实，条理清楚，文字简练，格式规范，具有鲜明的针对性和创新性，正文字数一般不少于2000字。
（二）内容提纲 前言 一、 实习目的 二、 实习时间 三、 实习地点 四、 实习单位和部门，实习单位的生产(经营)工作情况、管理情况及对员工的要求 五、 实习内容：实习的项目、程序、方法、计算成果及示意图，按实习顺序逐项编写； 六、 实习总结: 实习中运用所学知识分析解决问题的情况，实习的心得体会，意见和建议 七、对母校教学实习工作的建议 （三）格式 标题(三号黑体)应准确、简洁，能概括文章的要旨，一般不超过20个汉字，必要时可加副题。
标题中应避免使用非公知公用的缩略语、字符、代号以及结构式和公式。
正文的层次标题，应简短明了，不要超过15个字，不用标点符号，文内层次的划分及编号一律使用“一、（一）1．（1）”编序。
(一级标题用四号黑体，二级标题用四号楷体，以下层次的所有标题用小四宋体) 正文内容：字体—宋体；大小—小四；1.5倍行间距。
左右页边距：自动 （四）表格应采用三线表，可适当加注辅助线。
（五）插图（含照片）应采用计算机制作，插图下方应注明图序和图名。
照片要主题鲜明、层次清晰、反差合适、剪裁恰当。
