IT之家 7 月 8 日消息，據(jù)微軟資深工程師雷蒙德 · 陳當(dāng)?shù)貢r間 7 月 7 日在微軟官網(wǎng)發(fā)文介紹，雖然 Windows 95 本身已經(jīng)具備攔截存在缺陷的第三方安裝程序、防止其降級系統(tǒng)組件的能力，但隨之而來還有一個難題：系統(tǒng)該如何識別安裝程序或安裝文件正在運(yùn)行。

IT之家注意到，為解決這一問題，微軟采用了一套十分簡易的啟發(fā)式判定機(jī)制，核心邏輯是通過文件名“猜測”程序是否為安裝程序。判定規(guī)則很簡單：如果正在運(yùn)行的程序文件名中包含 setup、installer、inst 這類關(guān)鍵詞，系統(tǒng)就判定它大概率是安裝程序。同時這套機(jī)制還收錄了其他語種的對應(yīng)變體詞匯，例如意大利語的 imposta、土耳其語的 ayarla、希伯來語的 felrak。

如果程序文件名里沒有上述關(guān)鍵詞，Windows 95 會啟用備用判定規(guī)則：檢查該可執(zhí)行文件的完整存儲路徑中是否帶有 setup 一詞。背后邏輯不變 —— 安裝程序的文件路徑一般都會帶有明確標(biāo)識，方便系統(tǒng)識別。

陳還補(bǔ)充道：“上述兩種判定場景下，系統(tǒng)不會立刻校驗(yàn)文件，而是延遲至下次開機(jī)再檢測。原因在于部分安裝程序檢測到系統(tǒng)文件正在占用、無法直接替換時，會調(diào)用 ExitWindowsExec 函數(shù)退出 Windows 系統(tǒng)，切回 MS-DOS 環(huán)境運(yùn)行批處理腳本，之后再重啟 Windows。我們必須等到系統(tǒng)重啟，才能捕捉到這批腳本非法篡改的系統(tǒng)文件?！?/p>

不過有個例外：通過 INF 文件安裝多媒體驅(qū)動時，Windows 95 會實(shí)時校驗(yàn)相關(guān)文件，負(fù)責(zé)多媒體驅(qū)動開發(fā)的團(tuán)隊(duì)當(dāng)時拿到了特殊豁免權(quán)限。

Windows 95 當(dāng)年竟依靠如此簡陋的判定邏輯識別安裝程序，近些年來各類惡意程序攻擊手段愈發(fā)復(fù)雜成熟，可想而知，Windows 11 這類現(xiàn)代操作系統(tǒng)早已改用更精密、先進(jìn)的識別方案。

廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。