[Windows]關於映像劫持

什麼是映像劫持

也許你曾遇到過這種情況：無論你將軟體安裝在什麼地方，在啟動並執行時候總會出現“系統找不到指定的檔案”的錯誤提示，導致軟體無法運行。如果你將軟體的exe檔案改個名稱，就可以正常運行了。這種現象就叫做映像劫持。映像劫持是一種影響系統正常運轉的手段，很多病毒、木馬都會使用這種手段阻止安全軟體的運行。

 

映像劫持的原理

映像劫持是利用Windows的IFEO（Image File Execution Options）功能來實現的。IFEO實際上是Windows的一項正常功能，主要用於偵錯工具，其初衷是在程式啟動的時候開啟調試器來偵錯工具，這樣一來可以在調試器中觀察程式在難以重現的環境中的行為。例如，某個程式在隨使用者登入自動啟動時會出錯，但在登入後手動啟動時卻一切正常，這就可以通過IFEO設定一個調試器，無論程式何時啟動，都會開啟這個調試器對其進行調試，以便找出問題。

 

在註冊表中，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options就是儲存IFEO設定的地方。下面來示範一下IFEO正常的用法（假設你已經安裝了Visual Studio）：

 

開啟登錄編輯程式，在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options中添加一個新的項，取名為“calc.exe”。

 

開啟剛剛建立的calc.exe項，在右側的窗格中右擊，建立一個字串值，取名為“Debugger”，取值為“vsjitdebugger.exe”。關閉登錄編輯程式。

 

此時運行系統內建的計算機，會彈出一個應用程式錯誤視窗，選擇“偵錯工具”，就會啟動Visual Studio對計算機進行調試。

 

當你運行calc.exe的時候，系統首先會在註冊表的Image File Execution Options中尋找名為“calc.exe”的項，如果存在該項，則繼續尋找名為“Debugger”的字串值，如果找到，則轉而啟動Debugger值中指定的程式，即vsjitdebugger.exe，並將calc.exe的完整路徑作為參數傳遞給它。所以，當你運行計算機的時候，系統實際上執行的是“vsjitdebugger.exe C:\Windows\System32\calc.exe”這個命令列，而不是“calc.exe”。

 

IFEO的初衷是很好的，但它的設計顯然不夠完善。在上面的例子中，如果你將“vsjitdebugger.exe”改成“cmd.exe”，那麼運行計算機的時候卻開啟了一個命令列視窗；如果改成任意一個不存在的程式名稱，例如“abc”，那麼運行計算機的時候就會出現“系統找不到指定的檔案”的錯誤，此時calc.exe這個程式（映像）被“劫持”了。

 

由此可以看出，映像劫持並不等於IFEO，反之亦然。映像劫持的正式英文名稱其實是“Image Hijack”。

 

 

 

下面是我開發的一個用於編輯IFEO的小程式，其前身是skycn上的“映像劫持編輯器”。該程式由於被掃描出含有病毒，被停止下載了。對此我想說的是，IFEO屬於註冊表的敏感地區，修改這個地區的程式都有可能被殺毒軟體封殺。如果你不放心的話，最好還是不要使用了。

 

==========

IfeoEditor

系統支援：XP/Vista/Win7

 

最新版本：2.0.0 Beta

：http://files.cnblogs.com/zplutor/IfeoEditor_2.0.0_Beta.rar