深入探討Windows XP系統文件保護功能
本文詳細介紹了關於Windows系統中文件保護機制的相關知識及其工作原理。
安裝一個應用程序卻不料引起Windows崩潰的時候，很有可能是因為應用程序改寫了關鍵的Windows系統文件，導致系統崩潰。在文件被修改後，結果往往不可預知。系統可能正常運行，或者出一些錯誤，或者完全崩潰。幸運的是，Windows 2000, XP,和Server 2003應用了一個稱作Windows文件保護(Windows File Protection， WFP)機制，它可以防止關鍵的系統文件被改寫。在這篇文章中，我將解釋何謂WFP和它是如何工作的。我還要告訴你如何修改或忽略WFP的行為。(注釋:盡管在Windows 2000, XP，和Server 2003上，WFP的運行沒什麼區別，但這篇文章中的信息，包括注冊表相關條目和SFC語法，是針對XP的。)
Windows文件保護是如何工作的
WFP被設計用來保護Windows文件夾的內容。WFP保護特定的文件類型，比如SYS、EXE、DLL、OCX、FON和TTF，而不是阻止對整個文件夾的任何修改。注冊表鍵值決定WFP保護的文件類型。
當一個應用程序試圖替換一個受保護的文件，WFP檢查替換文件的數字簽名，以確定此文件是否是來自微軟和是否是正確的版本。如果這兩個條件都符合，則允許替換。正常情況下，允許替換系統文件的文件種類包括Windows的服務包，補丁和操作系統升級程序。系統文件還可以由Windows更新程序或Windows設備管理器/類安裝程序替換。
如果這兩個條件沒有同時滿足，受保護文件將被新文件替換，但將很快被正確的文件替換回來。當這種情況發生時，Windows會從Windows安裝CD或者計算機的DLLCache文件夾中復制正確版本的文件。
Windows文件保護並不僅僅通過拒絕修改來保護文件，它還可以拒絕刪除。來看看WFP的做法，打開\WINDOWS\SYSTEM32文件夾並將CALC.EXE文件重命名為CALC.OLD。當你這樣做時，一個消息將提示你如果改變這個文件的擴展名可能會導致這個文件不可用。點擊Yes按鈕確認這個警告。現在，等幾分鐘後按F5鍵以刷新文件系統的視圖，完成替換可能要花些時間。當文件最終被替換後，Windows會在事件日志中做相應的記錄。
關於WFP值得關注的一點是它和Windows安裝程序結合的很緊密。無論何時，如果Windows安裝程序需要安裝一個受保護的文件，它就把這個文件交給WFP，而不是自己試圖去安裝這個文件。然後由WFP判斷是否允許安裝。
系統文件檢查
雖然自動文件替換會節省時間，但也存在需要手動干預的情況。例如，你可能不願意空等著WFP去判斷受保護的文件是否已經被替換。幸運的是，你可以用一個名為系統文件檢查(SFC)的工具手動控制WFP。
SFC是一個命令行工具，需要在命令提示符窗口下運行。它的語法像這樣:
SFC [/SCANNOW] [/SCANONCE] [/SCANBOOT] [/REVERT] [/PURGECACHE] [/CACHESIZE=x]
/SCANNOW選項通知SFC立即掃描所有受保護的系統文件。如果在掃描過程中發現一個錯誤的文件版本，這個錯誤的版本將被替換為微軟正確的版本。當然，這意味著你可能必須有Windows安裝CD，最新的服務包或者升級補丁。
/SCANONCE參數通知WFP在系統下次啟動的時候掃描受保護的系統文件。在掃描過程中，任何錯誤的文件將被正確的版本替換。正如這個參數名的意思，這個掃描只進行一次。之後的系統啟動將恢復正常，SFC不再運行。
/SCANBOOT參數和/SCANONCE選項類似。區別在於SCANONCE只在Windows下次啟動時掃描受保護的文件，而SCANBOOT參數則在Windows每次啟動時都掃描系統文件。如果需要，這兩個參數將替換錯誤的系統文件，這可能需要你提供正確文件版本的拷貝。
/REVERT選項用來關閉SFC，例如，假設你使用SCANBOOT選項在每次系統啟動的時候掃描所以保護的文件。正如你所能想到的，這確實會增加計算機啟動的總時間。最後，你可能厭倦了漫長的啟動時間，想關閉SFC。只需要簡單的使用SFC /REVERT，就可以在啟動的時候關閉SFC。
對/PURGECACHE選項就需要謹慎些。在這之前，我解釋說Windows使用一個緩存文件夾來保存各類系統文件正確版本的備份。如果你運行SFC /PURGECACHE命令，那麼這個文件緩存將被清空，那些備份文件將被刪除。這個命令還會導致Windows開始掃描各類受保護文件，並在掃描的同時重建這個文件緩存。當然，這可能意味著你必須向Windows提供Windows安裝CD或系統文件升級的拷貝。
