辨明是非 文件關(guān)聯(lián)型木馬的特殊化查殺

有時候殺掉或刪除某個木馬后，系統(tǒng)也出了故障，所有應(yīng)用程序都打不開了。此時，若用戶對計算機技術(shù)的了解不多的話，那么最終就只能選擇重裝系統(tǒng)解決問題了！

一、什么是并聯(lián)方式

令人費解的是，自己明明已經(jīng)刪除了木馬文件和相應(yīng)的啟動項，卻為什么不能恢復(fù)正常呢？不少用戶都很疑惑，難道刪除的木馬竟然惡意修改了操作系統(tǒng)核心嗎？要想解開這些疑惑，我們就不得不從什么是文件的“并聯(lián)方式”說起，因為這種木馬修改了應(yīng)用程序文件（通常是EXE）的并聯(lián)方式。說起Windows系統(tǒng)，就不能不談到注冊表，注冊表在Windows系統(tǒng)中的地位是高高在上的，如果用戶使用的是Windows系統(tǒng)，而至今還不知道什么注冊表的話，那么還是先找些注冊表和Windows系統(tǒng)原理的資料好好補習(xí)補習(xí)吧！

在Windows系統(tǒng)中，幾乎所有文件的打開操作都是通過注冊表內(nèi)相應(yīng)鍵值指定的應(yīng)用程序來執(zhí)行的，這個部分位于注冊表的“HKEY_CLASSES_ROOT”主鍵內(nèi)。當(dāng)系統(tǒng)收到一個文件名請求時，就會根據(jù)這個文件的后綴名結(jié)合注冊表里存儲的相應(yīng)鍵值來識別文件類型，從而調(diào)用相應(yīng)的程序?qū)⑵浯蜷_、執(zhí)行。無論是文件夾、文檔還是應(yīng)用程序，Windows系統(tǒng)都將其視為一個文件，當(dāng)然也擁有文件類型，同樣可以用其他方式開啟。例如：各種音頻、視頻文件（如：rm、avi、wmv、mp3等）都可以使用兩種以上的程序?qū)⑵浯蜷_播放。只不過Windows系統(tǒng)將應(yīng)用程序（EXE）設(shè)置它的調(diào)用程序為“"%1" %*”，讓系統(tǒng)內(nèi)核理解為“可執(zhí)行請求”，它就會為使用這種打開方式的文件創(chuàng)建進(jìn)程，最終文件就被加載執(zhí)行了。如果有其他的程序更改了這個鍵值，Windows就會調(diào)用那個指定的文件來開啟它。

二、木馬原理

那些文件并聯(lián)木馬程序會把EXE后綴名對應(yīng)的exefile類型的“打開方式”改成為“木馬程序”%1" %*”，運行程序時系統(tǒng)就會先為“木馬程序”創(chuàng)建進(jìn)程，把緊跟著的文件名作為參數(shù)傳遞給木馬執(zhí)行，這樣用戶就被木馬欺騙了，用戶會覺得程序已經(jīng)被正常啟動了。因為木馬程序被作為所有EXE文件的調(diào)用程序，使得它可以長期駐留內(nèi)存，每次都能恢復(fù)自身文件，所以在一般用戶看來，這個木馬就做到了“永生不死”或認(rèn)為是又“死灰復(fù)燃”了，其實用戶了解這些木馬的原理后，就知道它既不能“長命百歲”，也沒有“死而復(fù)生”的能力。

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]