系统启动过程
---------------------------------------------------1解释
打开电源启动机器几乎是电脑爱好者每天必做的事情，面对屏幕上出现的一幅幅启动画面，我们一点儿也不会感到陌生，但是，计算机在显示这些启动画面时都做了些什么工作呢？相信有的朋友还不是很清楚，本文就来介绍一下从打开电源到出现Windows的蓝天白云时，计算机到底都干了些什么事情。
首先让我们来了解一些基本概念。第一个是大家非常熟悉的BIOS（基本输入输出系统），BIOS是直接与硬件打交道的底层代码，它为操作系统提供了控制硬件设备的基本功能。BIOS包括有系统BIOS（即常说的主板BIOS）、显卡BIOS和其它设备（例如IDE控制器、SCSI卡或网卡等）的BIOS，其中系统BIOS是本文要讨论的主角，因为计算机的启动过程正是在它的控制下进行的。BIOS一般被存放在ROM(只读存储芯片)之中，即使在关机或掉电以后，这些代码也不会消失。
第二个基本概念是内存的地址，我们的机器中一般安装有32MB、64MB或128MB内存，这些内存的每一个字节都被赋予了一个地址，以便cpu访问内存。32MB的地址范围用十六进制数表示就是0～1FFFFFFH，其中0～FFFFFH的低端1MB内存非常特殊，因为最初的8086处理器能够访问的内存最大只有1MB，这1MB的低端640KB被称为基本内存，而A0000H～BFFFFH要保留给显示卡的显存使用，C0000H～FFFFFH则被保留给BIOS使用，其中系统BIOS一般占用了最后的64KB或更多一点的空间，显卡BIOS一般在C0000H～C7FFFH处，IDE控制器的BIOS在C8000H～CBFFFH处。
好了，下面我们就来仔细看看计算机的启动过程吧。
第一步： 当我们按下电源开关时，电源就开始向主板和其它设备供电，此时电压还不太稳定，主板上的控制芯片组会向CPU发出并保持一个RESET（重置）信号，让CPU内部自动恢复到初始状态，但CPU在此刻不会马上执行指令。当芯片组检测到电源已经开始稳定供电了（当然从不稳定到稳定的过程只是一瞬间的事情），它便撤去RESET信号（如果是手工按下计算机面板上的Reset按钮来重启机器，那么松开该按钮时芯片组就会撤去RESET信号），CPU马上就从地址FFFF0H处开始执行指令，从前面的介绍可知，这个地址实际上在系统BIOS的地址范围内，无论是Award BIOS还是AMI BIOS，放在这里的只是一条跳转指令，跳到系统BIOS中真正的启动代码处。
第二步： 系统BIOS的启动代码首先要做的事情就是进行POST（Power－On Self Test，加电后自检），POST的主要任务是检测系统中一些关键设备是否存在和能否正常工作，例如内存和显卡等设备。由于POST是最早进行的检测过程，此时显卡还没有初始化，如果系统BIOS在进行POST的过程中发现了一些致命错误，例如没有找到内存或者内存有问题（此时只会检查640K常规内存），那么系统BIOS就会直接控制喇叭发声来报告错误，声音的长短和次数代表了错误的类型。在正常情况下，POST过程进行得非常快，我们几乎无法感觉到它的存在，POST结束之后就会调用其它代码来进行更完整的硬件检测。
第三步： 接下来系统BIOS将查找显卡的BIOS，前面说过，存放显卡BIOS的ROM芯片的起始地址通常设在C0000H处，系统BIOS在这个地方找到显卡BIOS之后就调用它的初始化代码，由显卡BIOS来初始化显卡，此时多数显卡都会在屏幕上显示出一些初始化信息，介绍生产厂商、图形芯片类型等内容，不过这个画面几乎是一闪而过。系统BIOS接着会查找其它设备的BIOS程序，找到之后同样要调用这些BIOS内部的初始化代码来初始化相关的设备。
第四步： 查找完所有其它设备的BIOS之后，系统BIOS将显示出它自己的启动画面，其中包括有系统BIOS的类型、序列号和版本号等内容。
第五步： 接着系统BIOS将检测和显示cpu的类型和工作频率，然后开始测试所有的RAM，并同时在屏幕上显示内存测试的进度，我们可以在CMOS设置中自行决定使用简单耗时少或者详细耗时多的测试方式。
第六步： 内存测试通过之后，系统BIOS将开始检测系统中安装的一些标准硬件设备，包括硬盘、CD－ROM、串口、并口、软驱等设备，另外绝大多数较新版本的系统BIOS在这一过程中还要自动检测和设置内存的定时参数、硬盘参数和访问模式等。
第七步： 标准设备检测完毕后，系统BIOS内部的支持即插即用的代码将开始检测和配置系统中安装的即插即用设备，每找到一个设备之后，系统BIOS都会在屏幕上显示出设备的名称和型号等信息，同时为该设备分配中断、DMA通道和I/O端口等资源。
第八步： 到这一步为止，所有硬件都已经检测配置完毕了，多数系统BIOS会重新清屏并在屏幕上方显示出一个表格，其中概略地列出了系统中安装的各种标准硬件设备，以及它们使用的资源和一些相关工作参数。
第九步： 接下来系统BIOS将更新ESCD（Extended System Configuration Data，扩展系统配置数据）。ESCD是系统BIOS用来与操作系统交换硬件配置信息的一种手段，这些数据被存放在CMOS（一小块特殊的RAM，由主板上的电池来供电）之中。通常ESCD数据只在系统硬件配置发生改变后才会更新，所以不是每次启动机器时我们都能够看到“Update ESCD… Success”这样的信息，不过，某些主板的系统BIOS在保存ESCD数据时使用了与Windows 9x不相同的数据格式，于是Windows 9x在它自己的启动过程中会把ESCD数据修改成自己的格式，但在下一次启动机器时，即使硬件配置没有发生改变，系统BIOS也会把ESCD的数据格式改回来，如此循环，将会导致在每次启动机器时，系统BIOS都要更新一遍ESCD，这就是为什么有些机器在每次启动时都会显示出相关信息的原因。
第十步： ESCD更新完毕后，系统BIOS的启动代码将进行它的最后一项工作，即根据用户指定的启动顺序从软盘、硬盘或光驱启动。以从C盘启动为例，系统BIOS将读取并执行硬盘上的主引导记录，主引导记录接着从分区表中找到第一个活动分区，然后读取并执行这个活动分区的分区引导记录，而分区引导记录将负责读取并执行IO.SYS，这是DOS和Windows 9x最基本的系统文件。Windows 9x的IO.SYS首先要初始化一些重要的系统数据，然后就显示出我们熟悉的蓝天白云，在这幅画面之下，Windows将继续进行DOS部分和GUI（图形用户界面）部分的引导和初始化工作。
如果系统之中安装有引导多种操作系统的工具软件，通常主引导记录将被替换成该软件的引导代码，这些代码将允许用户选择一种操作系统，然后读取并执行该操作系统的基本引导代码（DOS和Windows的基本引导代码就是分区引导记录）。
上面介绍的便是计算机在打开电源开关（或按Reset键）进行冷启动时所要完成的各种初始化工作，如果我们在DOS下按Ctrl＋Alt＋Del组合键（或从Windows中选择重新启动计算机）来进行热启动，那么POST过程将被跳过去，直接从第三步开始，另外第五步的检测CPU和内存测试也不会再进行。我们可以看到，无论是冷启动还是热启动，系统BIOS都一次又一次地重复进行着这些我们平时并不太注意的事情，然而正是这些单调的硬件检测步骤为我们能够正常使用电脑提供了基础
--------------------------------------------------------2解释
系统启动的过程如下（OS以Windows为例）：
1、接通电源，点亮显示器，机箱上的指示灯闪烁（此时电源开始向主板及其它设备供电，同时CPU执行跳转指令，启动BIOS检测，此时系统BIOS首先进行POST）；
2、系统BIOS检测显示卡和其它设备的BIOS，完成后发出嘟的响声，随后显示器检测显卡信息，显示器显示显卡信息；
3、系统BIOS显示自己的启动画面；
4、系统BIOS检测和显示CPU类型和频率，然后开始测试所有的内存；
5、系统BIOS检测电脑中安装的标准硬件设备，包括硬盘、光驱、串、并口设备、软驱等，并自动检测和设置内存的定时参数、硬盘参数和访问模式等；
6、系统BIOS检测和配置系统中安装的即插即用设备，同时为该设备分配中断、DMA通道和I/O断口等资源，并在屏幕上显示设备的名称和型号等信息；
7、在所有硬件都检测完毕后，系统BIOS会重新刷屏并在屏幕上方显示包含有标志硬件设备信息、使用资源相关参数的表格（如果设置了密码，则在刷屏之前会要求输入密码）；
8、系统更新ESCD；
9、系统BIOS根据用户指定的启动顺序从软、光、硬盘或其它存储设备启动，同时读取并执行启动盘上的主引导记录，硬盘将磁头定位在物理扇0柱0面1扇上，接着先后读取扇区结束标志55AAH，主引导记录MBR，硬盘分区表HDPT，然后根据硬盘分区表提供的数据，磁盘将磁头定位在活动分区（即主DOS引导分区）的引导扇区上（一般为物理扇0柱1面1扇），接着先后读取扇区结束标志55AAH和操作系统参数。该过程将操作系统读取内存中，把存储在ROM中的Bootstrap Loader程序和自诊断程序移动到RAM，然后系统会执行Io.sys和Msdos.sys两个文件，此时屏幕上会出现“Starting Windows98 ......”的信息。
Windows启动时需要Command.com,Io.sys,Msdos.sys,Drvspace.bin四个文件，在初始化过程中还需要读Auto执行.bat,Config.sys,System.ini,Win.ini,
User.dat,System.dat六个文件。
在进入蓝天白云的画面后，系统将执行Config.sys（如果配置了）和Command.com文件，使电脑能够进入DOS的实模式，启动基本成功。
然后根据User.dat,System.dat,System.ini,Win.ini等读取相关文件，系统自动对Windows进行初始化，此时屏幕已经黑屏，并在左上角出现一个闪烁的光标，与此同时启动过程将读取Windows的注册表文件，并完成启动过程，出现Windows的初始画面，就可以运行Windows系统了。
10、Windows开始检测硬件与周边设备，并载入各类驱动程序与虚拟设备驱动程序；
11、载入系统安装的字体；
12、显示桌面壁纸；
13、执行随Windows一同启动的程序；
当Windows完成登录过程，鼠标指针从繁忙到安静，除桌面上的图标，你还看到了什么？也许表面没什么变化，但你有没有注意到，你的系统托盘区多出了许多图标，你的进程表中出现了很多的进程！Windows在启动的时候，自动加载了很多程序，你知道它们是在什么地方被加载的吗？
许多程序的自启动，给我们带来了很多方便，这是不争的事实，但是否每个自启动的程序对我们都有用呢？更甚者，也许有病毒或木马在自启动行列，而你却不知！
到现在，你是不是觉得了解自启动文件的藏身之处有必要呢？那好，下面我就一一指出，让它们无外可藏！
其实Windows2000/XP中的自启动文件，除了从以前系统中遗留下来的Auto执行.bat文件中加载外，按照两个文件夹和9个核心注册表子键来自动加载程序的。
1）“启动”文件夹－－最常见的自启动程序文件夹。它位于系统分区的“文档s and Settings－－>User－－>〔开始〕菜单－－>程序”目录下。这时的User指的是你登录的用户名。
2）“All Users”中的自启动程序文件夹－－另一个常见的自启动程序文件夹。它位于系统分区的“文档s and Settings－－>All User－－>〔开始〕菜单－－>程序”目录下。前面提到的“启动”文件夹运行的是登录用户的自启动程序，而“All Users”中启动的程序是在所有用户下都有效（不论你用什么用户登录）。
3）“Load”键值－－一个埋藏得较深的注册表键值。位于〔HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\load〕主键下。
4）“Userinit”键值－－它则位于〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit〕主键下，也是用于系统启动时加载程序的。一般情况下，其默认值为“userinit.exe”，由于该子键的值中可使用逗号分隔开多个程序，因此，在键值的数值中可加入其它程序。
5）“Explorer\Run”键值－－与“load”和“Userinit”两个键值不同的是，“Explorer\Run”同时位于〔HKEY_CURRENT_USER〕和〔HKEY_LOCAL_MACHINE〕两个根键中。它在两个中的位置分别为〔HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run〕和〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run〕下。
6）“RunServicesOnce”子键－－它在用户登录前及其它注册表自启动程序加载前面加载。这个键同时位于〔HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce〕和〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce〕下。
7）“RunServices”子键－－它也是在用户登录前及其它注册表自启动程序加载前面加载。这个键同时位于〔HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices〕和〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices〕下。
8）“RunOnce\Setup”子键－－其默认值是在用户登录后加载的程序。这个键同时位于〔HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup〕和〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup〕下。
9）“RunOnce”子键－－许多自启动程序要通过RunOnce子键来完成第一次加载。这个键同时位于〔HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce〕和〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce〕下。位于〔HKEY_CURRENT_USER〕根键下的RunOnce子键在用户登录扣及其它注册表的Run键值加载程序前加载相关程序，而位于〔HKEY_LOCAL_MACHINE〕主键下的Runonce子键则是在操作系统处理完其它注册表Run子键及自启动文件夹内的程序后再加载的。在Windows XP中还多出一个〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEX〕子键，其道理相同。
10）“Run”子键－－目前最常见的自启动程序用于加载的地方。这个键同时位于〔HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run〕和〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run〕下。其中位于〔HKEY_CURRENT_USER〕根键下的Run键值紧接着〔HKEY_LOCAL_MACHINE〕主键下的Run键值启动，但两个键值都是在“启动”文件夹之前加载。
11）再者就是Windows中加载的服务了，它的级别较高，用于最先加载。其位于〔HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services〕下，看到了吗，你所有的服务加载程序都在这里了！
12）Windows Shell——它位于〔HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\〕下面的Shell字符串类型键值中，基默认值为Explorer.exe，当然可能木马程序会在此加入自身并以木马参数的形式调用资源管理器，以达到欺骗用户的目的。
13）Boot执行——它位于注册表中〔HKEY_LOCAL_MACHINE\System\ControlSet001\Session Manager\〕下面，有一个名为Boot执行的多字符串值键，它的默认值是"autocheck autochk *"，用于系统启动时的某些自动检查。这个启动项目里的程序是在系统图形界面完成前就被执行的，所以具有很高的优先级。
14）策略组加载程序——打开Gpedit.msc，展开“用户配置——管理模板——系统——登录”，就可以看到“在用户登录时运行这些程序”的项目，你可以在里面添加。在注册表中[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\本地User\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]你也可以看到相对应的键值
------------------------------------------------------------------3解释
二. 系统启动过程简介 系统启动过程主要由一下几步组成(以硬盘启动为例): 1. 开机 2. BIOS 加电自检 ( Power On Self Test -- POST )内存地址为 0ffff:0000 3. 将硬盘第一个扇区 (0头0道1扇区, 也就是Boot Sector)读入内存地址 0000:7c00 处.（注3：遇到最后两个字节55 AA读入内存执行） 4. 检查 (WORD) 0000:7dfe(共512B=一个扇区大小) 是否等于 0xaa55, 若不等于 则转去尝试其他启动介质, 如果没有其他启动介质则显示 "No ROM BASIC" 然后死机. 5. 跳转到 0000:7c00 处执行 MBR 中的程序. 6. MBR 首先将自己复制到 0000:0600 处, 然后继续执行. 7. 在主分区表中搜索标志为活动的分区. 如果发现没有活动分区或有不止一个活动分区, 则转停止. 8. 将活动分区的第一个扇区读入内存地址 0000:7c00 处.
（注4：在分区表的四个记录中，一般来说有且只有一个记录的标记是活动的，MBR（主要负责从活动分区中装载并运行系统引导程序）会去找到这个分区记录，根据记录的起始扇区加载该分区的逻辑 0 扇区（起始扇区）的内容到 0x07C0:0000，并且执行 JUMP 0x07C0:0000（按照规范，BOOT RECORD 也应该从 0x07C0:0000 处开始执行，所以 MBR 通常都要先将自己搬移，以腾出位置去加载 BOOT RECORD）。控制权切换到 BOOT RECORD。BOOT RECORD(包括boot loader如grub或lilo 等)以 linux 为例，它会读取 linux 内核镜像到地址 0x9000:0000，然后开始切换到 0x9000:0000 继续运行。 以 MS-DOS 为例，则它会读取文件系统根目录下的 IO.SYS 和 MSDOS.SYS 两个文件然后加载到内存中继续运行。） 9. 检查 (WORD) 0000:7dfe 是否等于 0xaa55, 若不等于则显示 "Missing Operating System" 然后停止, 或尝试软盘启动. 10. 跳转到 0000:7c00 处继续执行特定系统的启动程序. 11. 启动系统 ...
以上步骤中 2,3,4,5 步是由 BIOS 的引导程序完成. 6,7,8,9,10步由MBR中的引导程序完成. 一般多系统引导程序 (如 SmartFDISK, BootStar, PQBoot 等) 都是将标准主引导记录替换成自己的引导程序, 在运行系统启动程序之前让用户选择要启动的分区. 而某些系统自带的多系统引导程序 (如 lilo, NT Loader 等)则可以将自己的引导程序放在系统所处分区的第一个扇区中, 在 Linux中即为 SuperBlock (其实 SuperBlock 是两个扇区). 注: 以上各步骤中使用的是标准 MBR, 其他多系统引导程序的引导过程与此不同.
