與以往一樣，我們先了解一些文件相關(guān)的基礎(chǔ)知識，然后再聊與木馬查殺相關(guān)的知識。

八、文件基本知識

　　首先，我們要明確兩個概念“文件格式”、“文件系統(tǒng)格式”與一個機制“文件讀寫機制”，在此基礎(chǔ)上我們再談論文件的隱藏與查找、保護與刪除。

A、文件格式

　　文件格式是什么呢？我們都知道一個文件名字的組成一般都是由文件名與擴展名組成的，比如：Explorer.exe 這個是我們經(jīng)?？吹降某绦?。為什么我們說他是程序呢？因為他的擴展名是“.exe”，這個擴展名表明了他的文件格式，是exe格式的程序文件，而“exe”其實就是“Execute”這個英文單詞的縮寫，意思是“執(zhí)行”，即可以執(zhí)行的文件。

　　再比如：“A.bmp”文件，對計算機比較了解的朋友，一眼就可以看出，這是一個圖片文件，為什么會是圖片呢？因為“.bmp”代表的是一個圖片格式，這也是一個英文的縮寫“Bitmap”（位圖）。

　　所以，不同的擴展名代表了不同的格式，什么是格式呢？格式就是什么東西放在什么地方，什么地方又放了什么東西的一種規(guī)則。比如EXE文件，他的格式與BMP文件就完全不同，EXE文件開始部分是DOS頭，前兩個字節(jié)是“MZ”；而BMP文件的開始部分是位圖文件頭，前兩個字節(jié)是“BM”，你用記本事打開一個EXE文件與BMP文件比較一下，看看最前面的兩個字母是不是一個是MZ一個是BM呢？當然了，不同的并不僅僅是開頭，全部都是不一樣的。 為什么我們要講這些呢？這是為了告訴你一個事實，那就是“擴展名代表了一個文件的格式，但更改擴展名并不會使文件格式發(fā)生改變。張三就是張三，你硬讓他改名為李四，也不會改變他是張三的事實”。

　　你如果把一個程序的擴展名改成了“.bmp”那么這個程序看起來就和圖片一樣了，圖標也會變成圖片一樣的圖標。但他實質(zhì)上仍然是一個可以執(zhí)行的程序。當然了，改了擴展名后，你雙擊它，就無法執(zhí)行了，為什么呢？因為Windows會認為這是一個圖片，嘿，系統(tǒng)是只認名字不認人的。所以，系統(tǒng)會調(diào)用圖片瀏覽程序來打開這個偽裝的程序，結(jié)果顯然是失敗的，因為這并不是一個圖片。但是，如果我們把BMP的文件關(guān)聯(lián)改成Explorer.exe呢？那系統(tǒng)就會調(diào)用Exolorer.exe來打開這個文件，結(jié)果呢？就執(zhí)行了。關(guān)于文件關(guān)聯(lián)的情況，請參閱自啟動項篇的相關(guān)章節(jié)。

　　有朋友可能遇到過，有的木馬擴展名并不是exe而是pif、scr等等，但同樣可以用鼠標雙擊來執(zhí)行?，F(xiàn)在是不是已經(jīng)明白他們?yōu)槭裁茨軌驁?zhí)行了呢？呵，不明白我就再總結(jié)一下子：一個文件是否可以通過鼠標雙擊來執(zhí)行，與其擴展名并沒有必然聯(lián)系。有聯(lián)系的是該文件的文件格式與在系統(tǒng)中注冊的打開此格式文件所使用的程序，缺一不可。

　　如果將exe文件的文件關(guān)聯(lián)改成圖片瀏覽器，那么它也就無法雙擊執(zhí)行了。而木馬習慣于將自己改成pif或scr是因為系統(tǒng)中默認的打開這兩種格式文件的程序就是Explorer.exe,與exe文件是一樣的。

　　如果指定了用某一程序來打開或加載某一文件，只要文件格式正確就可以正確打開或加載，與擴展名無關(guān)。這就是為什么有些進程中的模塊看起來并不是DLL文件，而有些進程看起來并不是EXE文件的原因。擴展名只是告訴系統(tǒng)，這一類的文件需要用某一個程序來打開，如果打開時已經(jīng)指定了程序，那擴展名就無用了，有用的只是文件格式。

　　在Windows系統(tǒng)中，可以執(zhí)行的文件格式叫做PE格式（Portable Executable File Format/可移植的執(zhí)行體文件格式），包括了EXE、DLL等。而可執(zhí)行文件意指文件中存的是指令序列或與其有關(guān)的東西，是可以放到內(nèi)存中一條條執(zhí)行的。與其對應的是數(shù)據(jù)文件，其中存的并不是可指行的指令，而供查看的數(shù)據(jù)，包括圖片、音樂、文檔等。

　　某類型的文件格式會有相應的程序去讀取它們，而我們自己也可以定義自己的文件格式，比如：我們可以定義.SSS為擴展名的文件格式，并寫個程序來讀取，這是完全可行的。

　　這里我們再順便說一說擴展名的更改，手動更改一是在DOS下或控制臺下更改，另外就是在文件夾的菜單中選擇“工具”à“文件夾選擇”，在彈出的窗口中，將“隱藏已知文件類型的擴展名”前面的勾去掉，這樣，文件夾中的文件就會顯示全部的文件名與擴展名，就可以隨便的更改了。

　　為什么說這是不負責任呢？這就要從NTFS文件系統(tǒng)的優(yōu)勢說起了，當你明白NTFS文件系統(tǒng)的優(yōu)勢后，就會明白，為了圖一時的方便，用戶犧牲的又是什么。

　　除了FAT與NTFS外，其實我們還經(jīng)常接觸另外的兩種文件系統(tǒng)格式，但卻不像FAT與NTFS那么去注意它們罷了，它們就是CDFS（CD-ROM）\ UDF(DVD-ROM)，呵，是不是呢？光盤都接觸過吧？不過，我們這下面將只講FAT與NTFS，因為他們與我們的主題木馬的查殺是最相關(guān)的。

　　文件格式有特定的程序來識別并讀取使用，而文件系統(tǒng)格式則由特定的驅(qū)動來識別并讀取使用，這就是我們經(jīng)常聽到的FSD（文件系統(tǒng)驅(qū)動），而FSD-HOOK就是HOOK這幾個驅(qū)動了：

　　我們不用關(guān)心，事實上的數(shù)據(jù)在磁盤中是如何存放的，每種格式的存放方式都不相同，想了解這個的請去查閱相關(guān)資料，我們現(xiàn)在只需要明白，文件系統(tǒng)格式與文件系統(tǒng)驅(qū)動這個概念就可以了。下面呢，我們就看一看，一個文件是如何讀取的，了解了原理上的東西，再看問題就會清晰很多。