病毒，木马，系统编程的高手近来看看了

[Xcoder]

我发现win2000有一种机制，如果你修改了explorer, svchost等系统文件，他会马上就恢复过来。这是一种什么机制阿？通过手工设置能去掉么？通过编程呢？如何突破这种机制？
牛人们......先谢一个......

[fisker0303]

学习来啦~~

[loucai]

长见识了

[mct1025]

有些文件会从ServicePackFiles目录下恢复

[oyljerry]

系统文件保护，保护系统文件等不会被修改，可以通过修改注册表等

[idAnts]

备份的文件在system32\dllcache中
你可以通过控制面版-》管理工具-》本地安全策略里进行设置修改。

[WuOu]

Mark.

[zhenzhihy]

长知识了，呵呵

[binjuny]

系统文件保护，只要被修改，就会恢复，
还有一个技术是像3721那样，有个监视的，一旦被关，立即重启一个

[rageliu]

不错的贴！！没研究过！可能是原始文件 备份 缓存 注册表等的中和运用

[BBirdlyh]

不明白怎么禁止这一做法,我就知道在每个盘的目录下都有一个隐藏文件里面以看不动的序号为文件名其实是所有可执行程序的备份

[bobob]

一定是在某个地方还有一个备份,然后有一个进程监视这些东西,发现改动就还原

[rageliu]

判断文件是否被改动容易！可是那个备份在什么地方呢？难道每个会还原的系统文件都哦有个备份？这样会不会太费空间？

[会思考的草]

就是文件保护功能吧，据说可以禁用。

[DrSmart]

这叫系统文件保护机制 sfc嘛
方法一、
修改注册表禁止系统文件保护，具体
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon
把SFCDisabled的dword型设为2就行了，重启后就不会保护了。
方法二、
禁用系统文件保护这个服务，该服务是隐藏服务，并且由内核管理，需要特殊的驱动服务管理软件禁用

[BOYGUARD110]

mark

[xiao_xiao_zi]

它根本就是有个备份目录，没那么神奇
你要改动的话，先改备份目录里的东东
然后再改程序目录里的
就OK了

[DrSmart]

没有的即使删除了dllcache的目录只是不会自动还原，但是系统还是会提示你插入
cd-rom恢复文件，还是我说的那两种方法

[xiao_xiao_zi]

不是删除
比如你要替换某个文件，就要同时替换那几个目录里的程序
就没事了