辨明是非 文件關聯型木馬的特殊化查殺

有時候殺掉或刪除某個木馬后，系統也出了故障，所有應用程序都打不開了。此時，若用戶對計算機技術的了解不多的話，那么最終就只能選擇重裝系統解決問題了！

一、什么是并聯方式

令人費解的是，自己明明已經刪除了木馬文件和相應的啟動項，卻為什么不能恢復正常呢？不少用戶都很疑惑，難道刪除的木馬竟然惡意修改了操作系統核心嗎？要想解開這些疑惑，我們就不得不從什么是文件的“并聯方式”說起，因為這種木馬修改了應用程序文件（通常是EXE）的并聯方式。說起Windows系統，就不能不談到注冊表，注冊表在Windows系統中的地位是高高在上的，如果用戶使用的是Windows系統，而至今還不知道什么注冊表的話，那么還是先找些注冊表和Windows系統原理的資料好好補習補習吧！

在Windows系統中，幾乎所有文件的打開操作都是通過注冊表內相應鍵值指定的應用程序來執行的，這個部分位于注冊表的“HKEY_CLASSES_ROOT”主鍵內。當系統收到一個文件名請求時，就會根據這個文件的后綴名結合注冊表里存儲的相應鍵值來識別文件類型，從而調用相應的程序將其打開、執行。無論是文件夾、文檔還是應用程序，Windows系統都將其視為一個文件，當然也擁有文件類型，同樣可以用其他方式開啟。例如：各種音頻、視頻文件（如：rm、avi、wmv、mp3等）都可以使用兩種以上的程序將其打開播放。只不過Windows系統將應用程序（EXE）設置它的調用程序為“"%1" %*”，讓系統內核理解為“可執行請求”，它就會為使用這種打開方式的文件創建進程，最終文件就被加載執行了。如果有其他的程序更改了這個鍵值，Windows就會調用那個指定的文件來開啟它。

二、木馬原理

那些文件并聯木馬程序會把EXE后綴名對應的exefile類型的“打開方式”改成為“木馬程序”%1" %*”，運行程序時系統就會先為“木馬程序”創建進程，把緊跟著的文件名作為參數傳遞給木馬執行，這樣用戶就被木馬欺騙了，用戶會覺得程序已經被正常啟動了。因為木馬程序被作為所有EXE文件的調用程序，使得它可以長期駐留內存，每次都能恢復自身文件，所以在一般用戶看來，這個木馬就做到了“永生不死”或認為是又“死灰復燃”了，其實用戶了解這些木馬的原理后，就知道它既不能“長命百歲”，也沒有“死而復生”的能力。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]