木马病毒的通用解法.doc

1、木马病毒的通用解法 由于很多新手对安全问题了解不多，所以并不知道自己的计算机中了“木马”该怎么样清除。虽然现在市面上有很多新版杀毒软件都可以自动清除“木马” ，但它们并不能防范新出现的“木马”程序，因此最关键的还是要知道“木马”的工作原理，这样就会很容易发现“木马”。相信你看了这篇文章之后，就会成为一名查杀“木马”的高手了。 “木马”程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的只要把 Form 的 Visible 属性设为 False、ShowInTaskBar 设为 False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为“系统服务”可以很轻松

2、地伪装自己。 当然它也会悄无声息地启动，你当然不会指望用户每次启动后点击“木马”图标来运行服务端， ， “木马”会在每次用户启动时自动装载服务端，Windows 系统启动时自动加载应用程序的方法， “木马”都会用上，如：启动组、win.ini、system.ini、注册表等等都是“木马”藏身的好地方。下面具体谈谈“木马”是怎样自动加载的。 在 win.ini 文件中，在WINDOWS下面， “run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得

3、看清楚，因为好多“木马” ，如“AOL Trojan 木马” ，它把自身伪装成 command.exe 文件，如果不注意可能不会发现它不是真正的系统启动文件。 在 system.ini 文件中，在BOOT下面有个“shell=文件名” 。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe” ，而是“shell= explorer.exe 程序名” ，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。 在注册表中的情况最复杂，通过 regedit 命令打开注册表编辑器，在点击至：“HKEYLOCALMACHINESoftwareMicrosoftW

4、indowsCurrentVersionRun”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为 EXE，这里切记：有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery v1.0 木马” ，它将注册表“HKEYLOCALMACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”下的 Explorer 键值改为 Explorer=“C:WINDOWSexpiorer.exe”， “木马”程序与真正的Explorer 之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“HKE

5、YCURRENTUSERSoftwareMicrosoftWindowsCurrentVersionRun” 、“HKEYUSERSSoftwareMicrosoftWindowsCurrentVersionRun”的目录下都有可能，最好的办法就是在“HKEYLOCALMACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索即可。 知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最安全也是最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对你进行攻击。然后编辑 win.i

6、ni 文件，将WINDOWS下面， “run=“木马”程序”或“load=“木马”程序”更改为“run=”和“load=” ；编辑 system.ini 文件，将BOOT下面的“shell=木马文件” ，更改为：“shell=explorer.exe” ；在注册表中，用 regedit 对注册表进行编辑，先在“HKEYLOCALMACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是：有的“木马”程序并不是直接将“HKEYLOCALMACHINESoftwareMi

7、crosoftWindowsCurrentVersionRun”下的“木马”键值删除就行了，因为有的“木马”如：BladeRunner“木马” ，如果你删除它， “木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到 MSDOS 下，找到此“木马”文件并删除掉。重新启动计算机，然后再到注册表中将所有“木马”文件的键值删除。至此，我们就大功告成了木马程序是如何实现隐藏的- 注册表？或者 System.ini？木马是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在人不知鬼不觉的状态下控制你或者监视你。有人说，既然木马这么厉害，那我离它远一点不就可以了！然而这个木

8、马实在是“淘气” ，它可不管你是否欢迎，只要它高兴，它就会想法设法地闯到你“家”中来的！哎呀，那还了得，赶快看看自己的电脑中有没有木马，说不定正在“家”中兴风作浪呢！那我怎么知道木马在哪里呢，相信不熟悉木马的菜鸟们肯定想知道这样的问题。下面就是木马潜伏的诡招，看了以后不要忘记采取绝招来对付这些损招哟！1、集成到程序中 其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。绑定到某一应用程序中，如绑定到

9、系统文件，那么每一次 Windows 启动均会启动木马。2、隐藏在配置文件中 木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，现在这种方式不是很隐蔽，容易被发现，所以在 Autoexec.bat 和 Config.sys 中加载木马程序的并不多见，但也不能因此而掉以轻心哦。3、潜伏在 Win.ini 中 木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的

10、木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在 Win.ini 中是木马感觉比较惬意的地方。大家不妨打开 Win.ini 来看看，在它的windows字段中有启动命令“load=”和“run=” ，在一般情况下“”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:windowsfile.exe load=c:windowsfile.exe 这时你就要小心了，这个 file.exe 很可能是木马哦。 4、伪装在普通文件中 这个方法出现的比较晚，不过现在很流行，对于不熟练的 windows 操作者

11、，很容易上当。具体方法是把可执行文件伪装成图片或文本-在程序中把图标改成 Windows 的默认图片图标, 再把文件名改为*.jpg.exe, 由于 Win98 默认设置是“不显示已知的文件后缀名“,文件将会显示为*.jpg, 不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就更完美了)。5、内置到注册表中 上面的方法让木马着实舒服了一阵，既没有人能找到它，又能自动运行，真是快哉！然而好景不长，人类很快就把它的马脚揪了出来，并对它进行了严厉的惩罚！但是它还心有不甘，总结了失败教训后，认为上面的藏身之处很容易找，现在必须躲在不容易被人发现的地方，于是它想到了注册表！的确注册表由于比较复

12、杂，木马常常喜欢藏在这里快活，赶快检查一下，有什么程序在其下，睁大眼睛仔细看了，别放过木马哦：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion 下所有以“run”开头的键值；HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion 下所有以“run”开头的键值；HKEY-USERS.DefaultSoftwareMicrosoftWindowsCurrentVersion下所有以“run”开头的键值。6、在 System.ini 中藏身 木马真是无处不在呀！什么地方有空子，它就

13、往哪里钻！这不，Windows 安装目录下的System.ini 也是木马喜欢隐蔽的地方。还是小心点，打开这个文件看看，它与正常文件有什么不同，在该文件的boot字段中，是不是有这样的内容，那就是 shell=Explorer.exe file.exe，如果确实有这样的内容，那你就不幸了，因为这里的 file.exe 就是木马服务端程序！另外，在 System.ini 中的386Enh字段，要注意检查在此段内的“driver=路径程序名” ，这里也有可能被木马所利用。再有，在 System.ini 中的mic、drivers、drivers32这三个字段，这些段也是起到加载驱动程序的作用，但也

14、是增添木马程序的好场所，现在你该知道也要注意这里喽。 7、隐形于启动组中 有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑（哎，这木马脸皮也真是太厚） ，因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。动组对应的文件夹为：C:windowsstart menuprogramsstartup，在注册表中的位置：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerShellFolders Startup=“C:wind

15、owsstart menuprogramsstartup“。要注意经常检查启动组哦！8、隐蔽在 Winstart.bat 中 按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。这不，Winstart.bat 也是一个能自动被 Windows 加载运行的文件，它多数情况下为应用程序及Windows 自动生成，在执行了 W 并加载了多数驱动程序之后开始执行（这一点可通过启动时按 F8 键再选择逐步跟踪启动过程的启动方式可得知） 。由于 Autoexec.bat 的功能可以由 Winstart.bat 代替完成，因此木马完全可以像在 Autoexec.bat 中那样被加载运行，危险由此

16、而来。 9、捆绑在启动文件中 即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。10、设置在超级连接中 木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗！奉劝不要随便点击网页上的链接，除非你了解它，信任它，为它死了也愿意等如何根据名称识别计算机病毒-转载于瑞星社区很多时候大家已经用杀毒软件查出了自己的机子中了例如 Backdoor.RmtBomb.12 、Trojan.Win32.SendIP.15 等等这些一串英文还带数字的病毒名，这时有些人就懵了，那么长

17、一串的名字，我怎么知道是什么病毒啊？其实只要我们掌握一些病毒的命名规则，我们就能通过杀毒软件的报告中出现的病毒名来判断该病毒的一些公有的特性了。世界上那么多的病毒，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名方法来命名的。一般格式为：. 。病毒前缀是指一个病毒的种类，他是用来区别病毒的种族分类的。不同的种类的病毒，其前缀也是不同的。比如我们常见的木马病毒的前缀 Trojan ，蠕虫病毒的前缀是 Worm 等等还有其他的。病毒名是指一个病毒的家族特征，是用来区别和标识病毒家族的，如以前著名的 CIH 病毒的

18、家族名都是统一的“ CIH ”，还有近期闹得正欢的振荡波蠕虫病毒的家族名是“ Sasser ”。病毒后缀是指一个病毒的变种特征，是用来区别具体某个家族病毒的某个变种的。一般都采用英文中的 26 个字母来表示，如 Worm.Sasser.b 就是指 振荡波蠕虫病毒的变种 B，因此一般称为 “振荡波 B 变种”或者“振荡波变种 B”。如果该病毒变种非常多（也表明该病毒生命力顽强 _） ，可以采用数字与字母混合表示变种标识。综上所述，一个病毒的前缀对我们快速的判断该病毒属于哪种类型的病毒是有非常大的帮助的。通过判断病毒的类型，就可以对这个病毒有个大概的评估（当然这需要积累一些常见病毒类型的相关知识，

19、这不在本文讨论范围） 。而通过病毒名我们可以利用查找资料等方式进一步了解该病毒的详细特征。病毒后缀能让我们知道现在在你机子里呆着的病毒是哪个变种。下面附带一些常见的病毒前缀的解释（针对我们用得最多的 Windows 操作系统）：1、系统病毒系统病毒的前缀为：Win32、PE、Win95、W32、W95 等。这些病毒的一般公有的特性是可以感染 windows 操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。如 CIH 病毒。2、蠕虫病毒蠕虫病毒的前缀是：Worm。这种病毒的公有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲

20、击波（阻塞网络） ，小邮差（发带毒邮件） 等。3、木马病毒、黑客病毒木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如 QQ 消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PS

21、W 或者什么 PWD 之类的一般都表示这个病毒有盗取密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。4、脚本病毒脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）可不是我们的老大代码兄哦 _。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的） ，如欢乐时光（VBS.Happytime） 、十四日（Js.Fortnight.c.s）等。5、宏病毒其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一

22、类。宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、Excel97（也许还有别的）其中之一。凡是只感染 WORD97 及以前版本 WORD 文档的病毒采用 Word97 做为第二前缀，格式是：Macro.Word97；凡是只感染 WORD97 以后版本 WORD 文档的病毒采用 Word 做为第二前缀，格式是：Macro.Word；凡是只感染 EXCEL97 及以前版本 EXCEL 文档的病毒采用 Excel97 做为第二前缀，格式是：Macro.Excel97；凡是只感染 EXCEL97 以后版本 EXCEL 文档的病毒采用Excel 做为第二前缀，格式是：Mac

23、ro.Excel，依此类推。该类病毒的公有特性是能感染OFFICE 系列文档，然后通过 OFFICE 通用模板进行传播，如：著名的美丽莎(Macro.Melissa)。6、后门病毒后门病毒的前缀是：Backdoor。该类病毒的公有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。如 54 很多朋友遇到过的 IRC 后门 Backdoor.IRCBot 。7、病毒种植程序病毒这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C） 、MSN 射手(Dropper.Worm.Smibag)等。

24、8破坏性程序病毒破坏性程序病毒的前缀是：Harm。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化 C 盘（Harm.formatC.f） 、杀手命令（Harm.Command.Killer）等。9玩笑病毒玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girlghost）病毒。10捆绑机病毒捆绑机病毒的前缀是：Binder。这类病毒的公有特性是病毒作者会使用特

25、定的捆绑程序将病毒与一些应用程序如 QQ、IE 捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑 QQ（Binder.QQPass.QQBin） 、系统杀手（Binder.killsys）等。以上为比较常见的病毒前缀，有时候我们还会看到一些其他的，但比较少见，这里简单提一下：DoS：会针对某台主机或者服务器进行 DoS 攻击；Exploit：会自动通过溢出对方或者自己的系统漏洞来传播自身，或者他本身就是一个用于 Hacking 的溢出工具；HackTool：黑客工具，也许本身并不破坏你的机子，但是

26、会被别人加以利用来用你做替身去破坏别人。你可以在查出某个病毒以后通过以上所说的方法来初步判断所中病毒的基本情况，达到知己知彼的效果。在杀毒无法自动查杀，打算采用手工方式的时候这些信息会给你很大的帮助 注册表从入门到精通注册表对有的人还是比较陌生的，因为现在第三方软件太多了，如优化大师、魔法兔子等等，但个人觉得改善系统的第三方软件还不够完善，如果初级用户使用不当，会出现严重的后果，所以提供这篇文章，希望大家多多学习，本人能力有限，还希望大家多提宝贵意见： 一、注册表的由来 PC 机及其操作系统的一个特点就是允许用户按照自己的要求对计算机系统的硬件和软件进行各种各样的配置。早期的图形操作系统，如

27、Win3.x 中，对软硬件工作环境的配置是通过对扩展名为.ini 的文件进行修改来完成的，但 INI 文件管理起来很不方便，因为每种设备或应用程序都得有自己的 INI 文件，并且在网络上难以实现远程访问。 为了克服上述这些问题，在 Windows 95 及其后继版本中，采用了一种叫做“注册表”的数据库来统一进行管理，将各种信息资源集中起来并存储各种配置信息。按照这一原则，Windows 各版本中都采用了将应用程序和计算机系统全部配置信息容纳在一起的注册表，用来管理应用程序和文件的关联、硬件设备说明、状态属性以及各种状态信息和数据等。 与 INI 文件不同的是： 1.注册表采用了二进制形式登录数

28、据； 2.注册表支持子键，各级子关键字都有自己的“键值” ； 3.注册表中的键值项可以包含可执行代码，而不是简单的字串； 4.在同一台计算机上，注册表可以存储多个用户的特性。 注册表的特点有： 1.注册表允许对硬件、系统参数、应用程序和设备驱动程序进行跟踪配置，这使得修改某些设置后不用重新启动成为可能。 2.注册表中登录的硬件部分数据可以支持高版本 Windows 的即插即用特性。当 Windows检测到机器上的新设备时，就把有关数据保存到注册表中，另外，还可以避免新设备与原有设备之间的资源冲突。 3.管理人员和用户通过注册表可以在网络上检查系统的配置和设置，使得远程管理得以实现。 二、使用注

29、册表 1.大家可以在开始菜单中的运行里输入 regedit 2.也可以在 DOS 下输入 regedit 三、注册表根键说明 hkey_classes_root 包含注册的所有 OLE 信息和文档类型，是从 hkey_local_machinesoftwareclasses 复制的。 hkey_current_user 包含登录的用户配置信息，是从 hkey_users当前用户子树复制的。hkey_local_machine 包含本机的配置信息。其中 config 子树是显示器打印机信息； enum 子树是即插即用设备信息；system 子树是设备驱动程序和服务参数的控制集合；software

30、 子树是应用程序专用设置。 hkey_users 所有登录用户信息。 hkey_current_config 包含常被用户改变的部分硬件软件配置，如字体设置、显示器类型、打印机设置等。是从 hkey_local_machineconfig 复制的。 hkey_dyn_data 包含现在计算机内存中保存的系统信息。 四、注册表详细内容 Hkey_local_machinesoftwaremicrosoftwindowscurrentVersionexploreruser shell folders 保存个人文件夹、收藏夹的路径 Hkey_local_machinesystemcurrentCon

31、trolSetcontrolkeyboard Layouts 保存键盘使用的语言以及各种中文输入法 Hkey_users.Defaultsoftwaremicrosoftinternet explorertypeURLs 保存 IE 浏览器地址栏中输入的 URL 地址列表信息。清除文档菜单时将被清空。 Hkey_users.Defaultso.mi.wi.currentVersionex.menuOrderstartMenu 保留程序菜单排序信息 Hkey_users.Defaultso.microsoftwindowscurrentVersionexplorerRunMRU 保存“开始 *

32、运行.“中运行的程序列表信息。清除文档菜单时将被清空。 Hkey_users.Defaultso.microsoftwindowscurrentVersionexplorerecentDocs 保存最近使用的十五个文档的快捷方式(删除掉可解决文档名称重复的毛病)，清除文档菜单时将被清空。 Hkey_local_machinesoftwaremicrosoftwindowscurrentVersionuninstall 保存已安装的 Windows 应用程序卸载信息。 hkey_users.defaultsoftwaremicrosoftwindowscurrentVersionapplets

33、保存Windows 应用程序的纪录数据。 Hkey_local_machinesystemCurrentControlSetservicesclass 保存控制面板-增添硬件设备-设备类型目录。 Hkey_local_machinesystemCurrentControlSetcontrolupdate 立即刷新设置。值为 00 设置为自动刷新，01 设置为手工刷新在资源管理器中按 F5 刷新。 HKEY_CURRENT_USERControl PanelDesktop 新建串值名 MenuShowDelay=0 可使“开始”菜单中子菜单的弹出速度提高。新建串值名 MinAnimate，值为

34、1 启动动画效果开关窗口，值为 0 取消动画效果。 Hkey_local_machinesoftwaremicrosoftwindowscurrentVersionrun 保存由控制面板设定的计算机启动时运行程序的名称，其图标显示在任务条右边。启动文件夹程序运行时图标也在任务条右边 hkey_users.defaultsoftwaremicrosoftwindowscurrentVersionrun 保存由用户设定的计算机启动时运行程序的名称，其图标显示在任务条右侧。 HKEY_CLASS_ROOT/Paint.Pricture/DefaultIcon 默认图片的图标。双击窗口右侧的字符串，在

35、打开的对话框中删除原来的键值，输入%1。重新启动后，在“我的电脑”中打开Windows 目录，选择“大图标“，然后你看到的 Bmp 文件的图标再也不是千篇一律的画板图标了，而是每个 Bmp 文件的略图。 Hkey-local-machine software microsoft windows currentVersion Policies Ratings 保存 IE4.0 中文版“安全”*“分级审查”中设置的口令(数据加密)。 Hkey-local-machine software microsoft windows currentVersion explorer desktopnameSp

36、ace 保存桌面中特殊的图标,如回收站、收件箱、MS Network 等。五、如何备份注册表 利用注册表编辑器手工备份注册表 注册表编辑器（Regedit）是操作系统自带的一款注册表工具，通过它就能对注册表进行各种修改。当然，“备份“与“恢复“注册表自然是它的本能了。 （1）通过注册表编辑器备份注册表 由于修改注册表有时会危及系统的安全，因此不管是 WINDOWS 98 还是 WINDOWS 2000 甚至 WINDOWS XP，都把注册表编辑器“藏“在了一个非常隐蔽的地方，要想“请“它出山，必须通过特殊的手段才行。点击“开始“菜单，选择菜单上的“运行“选项，在弹出的“运行“窗口中输入“Reg

37、edit“后，点击“确定“按钮，这样就启动了注册表编辑器。 点击注册表编辑器的“注册表“菜单，再点击“导出注册表文件“选项，在弹出的对话框中输入文件名“regedit“，将“保存类型“选为“注册表文件“，再将“导出范围“设置为“全部“，接下来选择文件存储位置，最后点击“保存“按钮，就可将系统的注册表保存到硬盘上。 完成上述步骤后，找到刚才保存备份文件的那个文件夹，就会发现备份好的文件已经放在文件夹中了。 （2）在 DOS 下备份注册表 当注册表损坏后，WINDOWS（包括“安全模式“）无法进入，此时该怎么办呢？在纯 DOS环境下进行注册表的备份、恢复是另外一种补救措施，下面来看看在 DOS 环

38、境下，怎样来备份、恢复注册表。 在纯 DOS 下通过注册表编辑器备份与恢复注册表前面已经讲解了利用注册表编辑器在WINDOWS 环境下备份、恢复注册表，其实“Regedit.exe“这个注册表编辑器不仅能在 WINDOWS环境中运行，也能在 DOS 下使用。 虽然在 DOS 环境中的注册表编辑器的功能没有在 WINDOWS 环境中那么强大，但是也有它的独到之处。比如说通过注册表编辑器在 WINDOWS 中备份了注册表，可系统出了问题之后，无法进入 WINDOWS，此时就可以在纯 DOS 下通过注册表编辑器来恢复注册表。 应该说在 DOS 环境中备份注册表的情况还是不多见的，一般在 WINDOWS 中备份就行了，不过在一些特殊的情况下，这种方式就显得很实用了。 进入 DOS 后，再进入 C 盘的 WINDOWS 目录，在该目录的提示符下输入“regedit“后按回车键，便能查看“regedit“的使用参数。 通过“Regedit“备份注册表仍然需要用到“system.dat“和“user.dat“这两个文件，而该程序的具体命令格式是这样的： Regedit /L:system /R:user /E filename.reg Regpath