端口可分为3大类： 
1） 公认端口（Well Known Ports）：从0到1023，它们紧密绑定于一些服务。通常这些端口的通讯明确表明了某种服 务的协议。例如：80端口实际上总是HTTP通讯。 

2） 注册端口（Registered Ports）：从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口同样用于许多其它目的。例如：许多系统处理动态端口从1024左右开始。 

3） 动态和/或私有端口（Dynamic and/or Private Ports）：从49152到65535。理论上，不应为服务分配这些端口。实际上，机 

器通常从1024起分配动态端口。但也有例外：SUN的RPC端口从32768开始。 

　　本节讲述通常TCP/UDP端口扫描在防火墙记录中的信息。记住：并不存在所谓ICMP端 
口。如果你对解读ICMP数据感兴趣，请参看本文的其它部分。  　 

0  

通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试 图使用一种通常的闭合端口连接它时将产生不同的结果。一种典型的扫描：使用IP地址为 0.0.0.0，设置ACK位并在以太网层广播。 

1 tcpmux  

这显示有人在寻找SGIIrix机器。Irix是实现tcpmux的主要提供者，缺省情况下tcpmux在这种系统中被打开。Iris机器在发布时含有几个缺省的无密码的帐户，如lp,guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。许多管理员安装后忘记删除这些帐户。因此Hacker们在Internet上搜索tcpmux 
并利用这些帐户。 

7Echo  

你能看到许多人们搜索Fraggle放大器时，发送到x.x.x.0和x.x.x.255的信息。常见的一种DoS攻击是echo循环（echo-loop），攻击者伪造从一个机器发送到另一个UDP数据包，而两个机器分别以它们最快的方式回应这些数据包。（参见Chargen） 另一种东西是由DoubleClick在词端口建立的TCP连接。有一种产品叫做“Resonate Global Dispatch”，它与DNS的这一端口连接以确定最近的路由。Harvest/squid cache将从3130端口发送UDP echo：“如果将cache的source_ping on选项打开，它将对原始主机的UDP echo端口回应一个HIT reply。”这将会产生许多这类数据包。 

11 sysstat 

这是一种UNIX服务，它会列出机器上所有正在运行的进程以及是什么启动了这些进程。这为入侵者提供了许多信息而威胁机器的安全，如暴露已知某些弱点或帐户的程序。这与UNIX系统中“ps”命令的结果相似再说一遍：ICMP没有端口，ICMP port 11通常是ICMP type=11 

19 chargen 

这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时，会发送含有垃圾字符的数据流知道连接关闭。Hacker利用IP欺骗可以发动DoS攻击。伪造两 个chargen服务器之间的UDP包。由于服务器企图回应两个服务器之间的无限的往返数据通讯一个chargen和echo将导致服务器过载。同样fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。 

21 ftp 

最常见的攻击者用于寻找打开“anonymous”的ftp服务器的方法。这些服务器带有可读写的目录。Hackers或Crackers利用这些服务器作为传送warez (私有程序) 和pr0n(故意拼错词而避免被搜索引擎分类)的节点。 

22 ssh 

PcAnywhere建立TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点。如果配置成特定的模式，许多使用RSAREF库的版本有不少漏洞。（建议在其它端口运行ssh）还应该注意的是ssh工具包带有一个称为make-ssh-known-hosts的程序。它会扫描整个 
域的ssh主机。你有时会被使用这一程序的人无意中扫描到。UDP（而不是TCP）与另一端的5632端口相连意味着存在搜索pcAnywhere的扫描。5632 （十六进制的0x1600）位交换后是0x0016（使进制的22）。 

23 Telnet 

入侵者在搜索远程登陆UNIX的服务。大多数情况下入侵者扫描这一端口是为了找到机器运行的操作系统。此外使用其它技术，入侵者会找到密码。 

25 smtp  

攻击者（spammer）寻找SMTP服务器是为了传递他们的spam。入侵者的帐户总被关闭，他们需要拨号连接到高带宽的e-mail服务器上，将简单的信息传递到不同的地址。SMTP服务器（尤其是sendmail）是进入系统的最常用方法之一，因为它们必须完整的暴露于Internet且邮件的路由是复杂的（暴露+复杂=弱点）。 

53 DNS 
Hacker或crackers可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其它通讯。因此防火墙常常过滤或记录53端口。 需要注意的是你常会看到53端口做为UDP源端口。不稳定的防火墙通常允许这种通讯并假设这是对DNS查询的回复。Hacker常使用这种方法穿透防火墙。 

67和68 Bootp和DHCP 

UDP上的Bootp/DHCP：通过DSL和cable-modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址分配。Hacker常进入它们分配一个地址把自己作为局部路由器而发起大量的“中间人”（man-in-middle）攻击。客户端向68端口（bootps）广播请求配置，服务器向67端口（bootpc）广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。 

69 TFTP(UDP) 许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常错误配置而从系统提供任何文件，如密码文件。它们也可用于向系统写入文件。 

79 finger Hacker 

用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误， 
回应从自己机器到其它机器finger扫描。 

98 linuxconf 这个程序提供linux 

boxen的简单管理。通过整合的HTTP服务器在98端口提供基于Web界面的服务。它已发现有许多安全问题。一些版本setuidroot，信任局域网，在/tmp下建立Internet可访问的文件，LANG环境变量有缓冲区溢出。 此外因为它包含整合的服务器，许多典型的HTTP漏洞可能存在（缓冲区溢出，历遍目录等） 

109 POP2 

并不象POP3那样有名，但许多服务器同时提供两种服务（向后兼容）。在同一个服务器上POP3的漏洞在POP2中同样存在。 

110 POP3 

用于客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个（这意味着Hacker可以在真正登陆前进入系统）。成功登陆后还有其它缓冲区溢出错误。 

111 sunrpc portmap rpcbind Sun RPC 

PortMapper/RPCBIND。访问portmapper是扫描系统查看允许哪些RPC服务的最早的一步。常 见RPC服务有：rpc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者发现了允许的RPC服务将转向提供 服务的特定端口测试漏洞。记住一定要记录线路中的daemon, IDS, 或sniffer，你可以发现入侵者正使用什么程序访问以便发现到底发生了什么。 

113 Ident auth 

这是一个许多机器上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多机器的信息（会被Hacker利用）。但是它可作为许多服务的记录器，尤其是FTP, POP, IMAP, SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，你将会看到许多这个端口的连接请求。记住，如果你阻断这个端口客户端会感觉到在防火墙另一边与e-mail服务器的缓慢连接。许多防火墙支持在TCP连接的阻断过程中发回RST，着将回停止这一缓慢的连接。 

119 NNTP news 

新闻组传输协议，承载USENET通讯。当你链接到诸如： news://comp.security.firewalls/. 的地址时通常使用这个端口。这个端口的连接企图通常是人们在寻找USENET服务器。多数ISP限制只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送spam。 
 

135 oc-serv MS RPC end-point mapper Microsoft 

在这个端口运行DCE RPC end- point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和/或RPC的服务利用 
机器上的end-point mapper注册它们的位置。远端客户连接到机器时，它们查询end-point mapper找到服务的位置。同样Hacker扫描机器的这个端口是为了找到诸如：这个机器上运 行Exchange Server吗？是什么版本？ 这个端口除了被用来查询服务（如使用epdump）还可以被用于直接攻击。有一些DoS攻 击直接针对这个端口。 

137 NetBIOS name service nbtstat (UDP) 

这是防火墙管理员最常见的信息，请仔细阅读文章后面的NetBIOS一节 

139 NetBIOS　File and Print Sharing 

通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于Windows“文件和打印机共享”和SAMBA。在Internet上共享自己的硬盘是可能是最常见的问题。 大量针对这一端口始于1999，后来逐渐变少。2000年又有回升。一些VBS（IE5 VisualBasic 
Scripting）开始将它们自己拷贝到这个端口，试图在这个端口繁殖。 
143 IMAP 
和上面POP3的安全问题一样，许多IMAP服务器有缓冲区溢出漏洞运行登陆过程中进入。记住：一种Linux蠕虫（admw0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已被感染的用户。当RadHat在他们的Linux发布版本中默认允许IMAP后，这些漏洞变得流行起来。Morris蠕虫以后这还是第一次广泛传播的蠕虫。这一端口还被用于IMAP2，但并不流行。 已有一些报道发现有些0到143端口的攻击源于脚本。 

161 SNMP(UDP) 

入侵者常探测的端口。SNMP允许远程管理设备。所有配置和运行信息都储存在数据库中，通过SNMP客获得这些信息。许多管理员错误配置将它们暴露于Internet。Crackers将试图使用缺省的密码“public”“private”访问系统。他们可能会试验所有可能的组合。 SNMP包可能会被错误的指向你的网络。Windows机器常会因为错误配置将HP JetDirect remote management软件使用SNMP。HP OBJECT IDENTIFIER将收到SNMP包。新版的Win98使用SNMP解析域名，你会看见这种包在子网内广播 
（cable modem, DSL）查询sysName和其它信息。 

162 SNMP trap  

可能是由于错误配置 

177 xdmcp  

许多Hacker通过它访问X-Windows控制台，它同时需要打开6000端口。 

513  

rwho 可能是从使用cable modem或DSL登陆到的子网中的UNIX机器发出的广播。这些人为Hacker进入他们的系统提供 了很有趣的信息。  　 

553 CORBA IIOP (UDP)  

如果你使用cable modem或DSL VLAN，你将会看到这个端口的广播。CORBA是一种面向对象的RPC（remote procedure call）系统。Hacker会利用这些信息进入系统。 

600 Pcserver backdoor 

请查看1524端口一些玩script的孩子认为他们通过修改ingreslock和pcserver文件已经完全攻破了系统-- Alan J. Rosenthal. 

635 mountd 

Linux的mountd Bug。这是人们扫描的一个流行的Bug。大多数对这个端口的扫描是基于UDP的，但基于TCP 的mountd有所增加（mountd同时运行于两个端口）。记住，mountd可运行于任何端口（到底在哪个端口，需要在端口111做portmap查询），只是Linux默认为635端口，就象NFS通常运行于2049端口。 

1024 
许多人问这个端口是干什么的。它是动态端口的开始。许多程序并不在乎用哪个端口连接网络，它们请求操作系统为它们分配“下一个闲置端口”。基于这一点分配从端口1024开始。这意味着第一个向系统请求分配动态端口的程序将被分配端口1024。为了验证这一点，你可以重启机器，打开Telnet，再打开一个窗口运行“natstat -a”，你将会看到Telnet被分配1024端口。请求的程序越多，动态端口也越多。操作系统分配的端口将逐渐变大。再来一遍，当你浏览Web页时用“netstat”查看，每个Web页需要一个新 
端口。 

　?ersion 0.4.1, June 20, 2000 
　　http://www.robertgraham.com/pubs/firewall-seen.html 
　　Copyright 1998-2000 by Robert Graham 
(mailto:firewall-seen1@robertgraham.com. 
　　All rights reserved. This document may only be reproduced (whole or 
in part) for non-commercial purposes. All reproductions must 
contain this copyright notice and must not be altered, except by 
permission of the author. 
　　1025 参见1024 
　　1026 参见1024 

1080 SOCKS 

这一协议以管道方式穿过防火墙，允许防火墙后面的许多人通过一个IP地址访问Internet。理论上它应该只允许内部的通信向外达到Internet。但是由于错误的配置，它会允许Hacker/Cracker的位于防火墙外部的攻击穿过防火墙。或者简单地回应位于Internet上的计算机，从而掩饰他们对你的直接攻击。WinGate是一种常见的Windows个人防火墙，常会发生上述的错误配置。在加入IRC聊天室时常会看到这种情况。 

1114 SQL 

系统本身很少扫描这个端口，但常常是sscan脚本的一部分。 

1243 Sub-7木马（TCP） 

参见Subseven部分。 

1524 ingreslock后门 

许多攻击脚本将安装一个后门Sh*ll 于这个端口（尤其是那些针对Sun系统中Sendmail和RPC服务漏洞的脚本，如statd,ttdbserver和cmsd）。如果你刚刚安装了你的防火墙就看到在这个端口上的连接企图，很可能是上述原因。你可以试试Telnet到你的机器上的这个端口，看看它是否会给你一个Sh*ll 。连接到600/pcserver也存在这个问题。 

2049 NFS 

NFS程序常运行于这个端口。通常需要访问portmapper查询这个服务运行于哪个端口，但是大部分情况是安装后NFS杏谡飧龆丝冢?acker/Cracker因而可以闭开portmapper直接测试这个端口。 

3128 squid 

这是Squid HTTP代理服务器的默认端口。攻击者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。你也会看到搜索其它代理服务器的端口：8000/8001/8080/8888。扫描这一端口的另一原因是：用户正在进入聊天室。其它用户（或服务器本身）也会检验这个端口以确定用户的机器是否支持代理。请查看5.3节。 

5632 pcAnywere 

你会看到很多这个端口的扫描，这依赖于你所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能得代理（译者：指agent而不是proxy）。Hacker/cracker也会寻找开放这种服务的机器，所以应该查看这种扫描的源地址。一些搜寻pcAnywere的扫描常包含端口22的UDP数据包。参见拨号扫描。 

6776 Sub-7 artifact 

这个端口是从Sub-7主端口分离出来的用于传送数据的端口。例如当控制者通过电话线控制另一台机器，而被控机器挂断时你将会看到这种情况。因此当另一人以此IP拨入时，他们将会看到持续的，在这个端口的连接企图。（译者：即看到防火墙报告这一端口的连接企图时，并不表示你已被Sub-7控制。） 

6970 RealAudio 

RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP7070端口外向控制连接设置的。 

13223 PowWow 

PowWow 是Tribal Voice的聊天程序。它允许用户在此端口打开私人聊天的连接。这一程序对于建立连接非常具有“进攻性”。它会“驻扎”在这一TCP端口等待回应。这造成类似心跳间隔的连接企图。如果你是一个拨号用户，从另一个聊天者手中“继承”了IP地址这种情况就会发生：好象很多不同的人在测试这一端口。这一协议使用“OPNG”作为其连接企图的前四个字节。 

17027 Conducent 

这是一个外向连接。这是由于公司内部有人安装了带有Conducent "adbot" 的共享软件。Conducent "adbot"是为共享软件显示广告服务的。使用这种服务的一种流行的软件是Pkware。有人试验：阻断这一外向连接不会有任何问题，但是封掉IP地址本身将会导致adbots持续在每秒内试图连接多次而导致连接过载： 

机器会不断试图解析DNS名─ads.conducent.com，即IP地址216.33.210.40 ； 
216.33.199.77 
；216.33.199.80 
；216.33.199.81；216.33.210.41。（译者：不知NetAnts使用的Radiate是否也有这种现 
象） 

27374 Sub-7木马(TCP) 

参见Subseven部分。 

30100 NetSphere木马(TCP) 

通常这一端口的扫描是为了寻找中了NetSphere木马。 

31337 Back Orifice “elite” 

Hacker中31337读做“elite”/ei’li:t/（译者：法语，译为中坚力量，精华。即 3=E, 1=L, 7=T）。因此许多后门程序运行于这一端口。其中最有名的是Back Orifice。曾经一段时间内这是Internet上最常见的扫描。现在它的流行越来越少，其它的 木马程序越来越流行。 

31789 Hack-a-tack 

这一端口的UDP通讯通常是由于"Hack-a-tack"远程访问木马（RAT, Remote Access Trojan）。这种木马包含内置的31790端口扫描器，因此任何31789端口到317890端口的连 接意味着已经有这种入侵。（31789端口是控制连接，317890端口是文件传输连接） 

32770~32900 RPC服务 
　　  Sun Solaris的RPC服务在这一范围内。详细的说：早期版本的Solaris（2.5.1之前）将 portmapper置于这一范围内，即使低端口被防火墙封闭仍然允许Hacker/cracker访问这一端口。 扫描这一范围内的端口不是为了寻找portmapper，就是为了寻找可被攻击的已知的RPC服务。 

33434~33600 traceroute 

如果你看到这一端口范围内的UDP数据包（且只在此范围之内）则可能是由于traceroute。

参见traceroute部分。 
　 
41508 Inoculan 

早期版本的Inoculan会在子网内产生大量的UDP通讯用于识别彼此。参见 http//www.circlemud.org/~jelson/software/udpsend.html 
[url]http://www.ccd.bnl.gov/nss/tips/inoculan/index.html[/url 
　 
　　端口1~1024是保留端口，所以它们几乎不会是源端口。但有一些例外，例如来自NAT机器的连接。 常看见紧接着1024的端口，它们是系统分配给那些并不在乎使用哪个端口连接的应用程序的“动态端口”。 Server Client 服务描述 
　　1-5/tcp 动态 FTP 1-5端口意味着sscan脚本 
　　20/tcp 动态 FTP FTP服务器传送文件的端口 
　　53 动态 FTP DNS从这个端口发送UDP回应。你也可能看见源/目标端口的TCP连接。 
　　123 动态 S/NTP 简单网络时间协议（S/NTP）服务器运行的端口。它们也会发送到这个端口的广播。 
　　27910~27961/udp 动态 Quake Quake或Quake引擎驱动的游戏在这一端口运行其服务器。因此来自这一端口范围的UDP包或发送至这一端口范围的UDP包通常是游戏。 
　　61000以上 动态 FTP 61000以上的端口可能来自Linux NAT服务器（IP Masquerade）

怎么截取动态图片?
NO1:使用QQ
1、用播放软件截图
PowerDVD、超级解霸、金山影霸等都有抓图功能。我个人认为PowerDVD播放AVI要比Windows Media Player强，至少对AC3的支持要更好一些；超级解霸、金山影霸对RM/RMVB的支持也要比RealPlayer可靠一些，当然前提条件是您装全了所需的插件、补丁。

2、用HyperSnap-DX截图
注意一定要是支持DirectX的DX系列版本，如果是太老的版本，需要升级。
另外需要在主菜单的“捕捉->启用特殊捕捉”中选择 “DirectX/Direct3D主表面” 和 “DirectX覆盖”, 不然截出来可能是一片黑。如果搞不清，干脆就把全部选项都选上。
如果没有注册，截出来的图上会有标记，比较讨厌。注册码、注册机之类的东西上网搜一下就行了。
HyperSnap-DX是通用截图工具，除了截动画外，还可以截游戏画面。

3、用Windows本身的Print Screen键截图
通常情况下用这个键截出来的是一片黑，因为缺省情况下这个键对DirectX无效。当然这个问题可以通过设置解决：在Windows的“开始”菜单中点“运行”，运行程序dxdiag.exe后，在“显示”页中点“禁用”DirectShow硬件加速，这时再按Print Screen键就能截图了。截完后再“启动”硬件加速即可。
如果经过上面的设置后还截不到图，那么还有一招：如果是想截RealPlayer中的图，那么先启动Windows Media Player，随便打开一个DivX或Xvid格式的AVI文件，然后再启动RealPlayer，打开想截取的文件，播放到需要的位置，按Print Screen键即可。如果是想截取DivX或Xvid格式的AVI文件中的图，则应该先起RealPlayer，打开一个RM或RMVB，再起Windows Media Player，这时候也就可以用Print Screen键截取Windows Media Player中的画面。这个利用了DirectX中的特性。
按Print Screen键截出的图是保存在剪贴板中的，需要启动画笔或Photoshop等图像编辑软件，“粘贴”出来。当然，如果你在混稿费，粘贴到Word里也是可以的。

4、用VirtualDub/NanDub截AVI
在VirtualDub、NanDub的主菜单中，选“File->Save image sequence”，就可以逐帧解码AVI中的指定范围，每帧存为一个文件。
这两个软件好像只有经常玩Dvdrip的人才会用。

5、一揽子截图解决方案
截过图的人都知道，上面所有方法截出来的都是单帧，相当于播放的时候按“暂停”看到的画面。由于MPEG（包括MPEG4）是“针对运动图像的有损压缩”，因此一般情况下这种单帧静止画面的画质，会感觉比连续播放时的画质差。
为了解决这个问题，我开发了“动画截图工具”系列，采用“图像平均”技术，可以从一系列画面合成出一张最终结果，相当于连续播放的效果，比只抓单帧的效果要好。当然，会不会用这个技术就是你的事了，我已经在说明书中说明怎么用，请仔细阅读。
另外“动画截图工具”系列还提供图像的高精度放大功能。
关闭“视频加速功能即可”。 如果不关闭,截出来的是黑屏!
不信你试试

以Windows Media Player 9.0为例，选择菜单“工具→选项”，找到“性能”选项卡中的“视频加速”一栏，然后拖动下方的拉杆将默认的“完成”改为“无”，按“确定”保存设置，接着打开需要截图的影片即可正常截图，就不会出现黑屏了。

1、用播放软件截图
PowerDVD、超级解霸、金山影霸等都有抓图功能。

2、用专门的截图软件（比如HyperSnap-DX）截图
注意一定要是支持DirectX的DX系列版本，如果是太老的版本，需要升级。
另外需要在主菜单的“捕捉->启用特殊捕捉”中选择 “DirectX/Direct3D主表面” 和 “DirectX覆盖”, 不然截出来可能是一片黑。如果搞不清，干脆就把全部选项都选上。

3、用Windows本身的Print Screen键截图
通常情况下用这个键截出来的是一片黑，因为缺省情况下这个键对DirectX无效。当然这个问题可以通过设置解决：在Windows的“开始”菜单中点“运行”，运行程序dxdiag.exe后，在“显示”页中点“禁用”DirectShow硬件加速，这时再按Print Screen键就能截图了。截完后再“启动”硬件加速即可。后面的回帖中有图解。
按Print Screen键截出的图是保存在剪贴板中的，需要启动画笔或Photoshop等图像编辑软件，“粘贴”出来。

4、用Windows本身的Print Screen键截图（双播放器截屏）
就是先开一个播放器比如Windows Media Player，随便放一个片子停掉不要关闭播放器，然后再开另一个播放器比如Realone，这样就可以用键盘上的Print Screen键截Realone的图了。这个的原理其实和方法3是一样的。

还有一种不需要任何截图工具即可搞定的办法
对Media Player播放的视频，肯定绝大多数人马上想到去用键盘上的Print Screen按键实施截图。其实，在Windows 98/XP下，一些主流视频格式，如.Avi、.Wmv、.Mpeg、.Rmvb等在播放过程中，要实施对其截图操作，您只能抓到播放器，却抓不到正在播放的图像；而少部分“高手”知道抓取视频截图需要播放软件支持，或者使用特殊的抓图软件，而不能直接使用Print Screen按键。这是为什么呢？在此我们通过一个操作实例来捅破视频截图的“窗户纸”。

首先启动一个播放软件，如Windows Midia Player，随便播放一个视频文件；然后再启动另一款播放软件，如暴风影音，播放您要抓取的视频文件。当出现需要截取的画面时，按下Print Screen按键进行视频截图，将视频图像自动保存在系统的剪贴板中；接着随便启动一个图形编辑软件，如Windows中的“画图”，在软件中使用“粘贴”命令就可以看到刚才抓下的图片了；最后，用“画图”工具对图片进行剪裁。

如此这般操作，视频截图成功，其中道理何在呢？原来，视频在播放过程中，系统往往调用DirectDraw来加速视频的播放。因DirectDraw的特殊性，所以不能用按Print Screen按键的办法来截图。而我们利用Windows窗口下不能同时开两个DirectDraw窗口的特性，在上图中我们可以看到首先启动的Windows Midia Player使用了DirectDraw，所以无法捕捉到图像，而暴风影音因前者启动了DirectDraw，自己就不会再启动DirectDraw，所以能够成功截取视频图像。