文件关联型木马的特殊化查杀(1)

　　有时候杀掉或删除某个木马后，系统也出了故障，所有应用程序都打不开了。此时，若用户对计算机技术的了解不多的话，那么最终就只能选择重装系统解决问题了！

　　一、什么是并联方式

　　令人费解的是，自己明明已经删除了木马文件和相应的启动项，却为什么不能恢复正常呢？不少用户都很疑惑，难道删除的木马竟然恶意修改了操作系统核心吗？要想解开这些疑惑，我们就不得不从什么是文件的“并联方式”说起，因为这种木马修改了应用程序文件（通常是EXE）的并联方式。说起Windows系统，就不能不谈到注册表，注册表在Windows系统中的地位是高高在上的，如果用户使用的是Windows系统，而至今还不知道什么注册表的话，那么还是先找些注册表和Windows系统原理的资料好好补习补习吧！

　　在Windows系统中，几乎所有文件的打开操作都是通过注册表内相应键值指定的应用程序来执行的，这个部分位于注册表的“HKEY_CLASSES_ROOT”主键内。当系统收到一个文件名请求时，就会根据这个文件的后缀名结合注册表里存储的相应键值来识别文件类型，从而调用相应的程序将其打开、执行。无论是文件夹、文档还是应用程序，Windows系统都将其视为一个文件，当然也拥有文件类型，同样可以用其他方式开启。例如：各种音频、视频文件（如：rm、avi、wmv、MP3等）都可以使用两种以上的程序将其打开播放。只不过Windows系统将应用程序（EXE）设置它的调用程序为“"%1" %*”，让系统内核理解为“可执行请求”，它就会为使用这种打开方式的文件创建进程，最终文件就被加载执行了。如果有其他的程序更改了这个键值，Windows就会调用那个指定的文件来开启它。

　　二、木马原理

　　那些文件并联木马程序会把EXE后缀名对应的exefile类型的“打开方式”改成为“木马程序”%1" %*”，运行程序时系统就会先为“木马程序”创建进程，把紧跟着的文件名作为参数传递给木马执行，这样用户就被木马欺骗了，用户会觉得程序已经被正常启动了。