由於有部分病毒會在資料夾下創建desktop.ini檔案，目前很多朋友對該檔案產生了不完全錯誤的認識，認為是病毒檔案。其實這是錯誤的，desktop.ini與病毒並沒有多深的淵源，desktop.ini是系統可識別的一個檔案，作用是存儲用戶對資料夾的個性設定（用戶更換資料夾圖示等等都會生成desktop.ini）；而病毒所創建的desktop.ini則不同（這么說也並不完全正確，見後文），病毒所創建的檔案內容依病毒的不同而異，可以是感染日期或其它的有意無意字元（串）。
基本介紹
- 中文名：desktop.ini
- 外文名：desktop.ini
- 功能：能讓資料夾和捷徑一樣的功能
- 相關：有一個特殊的CLSID
- 對象：指向資料夾
用處,病毒,簡介,病毒行為,清除方法,解決過程,DESKTOP,常見疑問,
用處
指向特殊資料夾
desktop.ini 還有一個特殊的CLSID，修改後能讓資料夾和捷徑一樣的功能，當然只能指向資料夾。
資料夾圖示
[.ShellClassInfo]
InfoTip=注釋
IconFile=圖示檔案的路徑
IconIndex=選擇要使用檔案中的第幾個圖示
與註冊表對應說明
與註冊表對應說明自定義圖示檔案，其擴展名可以是.exe、.dll、.ico等。
資料夾背景
[ExtShellFolderViews]
{BE098140-A513-11D0-A3A4-00C04FD706EC}={BE098140-A513-11D0-A3A4-00C04FD706EC}
[{BE098140-A513-11D0-A3A4-00C04FD706EC}]
Attributes=1
IconArea_Image=11.jpg
[.ShellClassInfo]
ConfirmFileOp=0
其中11.jpg是圖片，把以上內容用記事本保存為desktop.ini ，和背圖片一起放在要改變背景的資料夾內。為了防止誤刪，可以把desktop.ini和圖片設為隱藏屬性。
標示特殊資料夾
1.直接在資料夾名後續上一個"."再加對應的CLSID
如：把一個資料夾取名為：新建資料夾.{20D04FE0-3AEA-1069-A2D8-08002B30309D}
（注意：新建資料夾後面有一個半角的句號）
那么這個資料夾的圖示將變為我的電腦的圖示，並且在雙擊該資料夾時將打開我的電腦。
在下面查看CLSID
在註冊表中展開HKEY_CLASSES_ROOT\CLSID\，在CLSID分支下面就可以看到很多的ID，這些ID對應的都是系統裡面不同的程式，檔案，系統組件等
常見組件類對應的CLSID:
我的文檔：450D8FBA-AD25-11D0-98A8-0800361B1103
我的電腦：20D04FE0-3AEA-1069-A2D8-08002B30309D
網上鄰居：208D2C60-3AEA-1069-A2D7-08002B30309D
資源回收筒：645FF040-5081-101B-9F08-00AA002F954E
Internet Explorer：871C5380-42A0-1069-A2EA-08002B30309D
控制臺：21EC2020-3AEA-1069-A2DD-08002B30309D
撥號網路/網路連線 :992CFFA0-F557-101A-88EC-00DD010CCC48
任務計畫:D6277990-4C6A-11CF-8D87-00AA0060F5BF
印表機（和傳真）：2227A280-3AEA-1069-A2DE-08002B30309D
歷史資料夾：7BD29E00-76C1-11CF-9DD0-00A0C9034933
ActiveX快取資料夾： 88C6C381-2E85-11D0-94DE-444553540000
公文包： 85BBD920-42A0-1069-A2E4-08002B30309D
2.第二種是通過一個desktop.ini檔案
還以我的電腦為例：
新建一個資料夾，名字隨便，然後在其下邊建立desktop.ini檔案，內容如下：
[.ShellClassInfo]
CLSID={相應的ID}
註：有部分病毒會建立這樣的資料夾以達到隱藏自身的目的.另外這也是一種我們隱藏小秘密的方法.
標示資料夾所有者
這通常見於我的文檔等如我的文檔里就有這樣一個檔案，內容如下：
[DeleteOnCopy]
Owner=Administrator
Personalized=5
PersonalizedName=My Documents
改變資料夾顏色
關於這項功能的實現需要註冊一個.dll檔案ColorFolder.dll。具體情況本人由於未曾嘗試，故不能提供相應內容，以下是本人在網上搜到的以供參考。
改變資料夾顏色
[.ShellClassInfo]
IconFile=ColorFolder.dll
IconIndex=0
保存為desktop.ini檔案，連同ColorFolder.dll檔案（Mikebox網盤里有下載）
如果想同時添加背景圖片（bj.jpg）及改變資料夾內檔案名稱顏色！
[ExtShellFolderViews]
IconArea_Text=0x000000FF
Attributes=1
IconArea_Image=bj.jpg
[.ShellClassInfo]
ConfirmFileOp=0
把名字為bj.jpg的圖片也放到同一個資料夾里，再在原有代碼下再加上以上這些就可以改變資料夾的背景圖片了！更換bj.jpg圖片，並修改紅色位置的名稱（bj.jpg）為更換後的圖片名，就可以設定成為你喜歡的背景圖片（建議選用jpg格式的）！修改0x000000FF就可以變檔案顏色為你想要的顏色！
0x000000FF為紅色
0x00008000為綠色
0x00FF0000為藍色
0x00FFFFFF為白色！（改變顏色也要有動態程式庫檔案的支持）
註冊動態程式庫：請在開始〉〉〉運行中輸入："regsvr32 ColorFolder.dll"（不包括引號，regsvr32和ColorFolder.dll之間有空格！）註冊動態程式庫到系統即可！
以上修改完desktop.ini檔案後，須要運行（attrib +s 相應資料夾的路徑）命令才會生效！
標識特殊的資料夾名稱
實現方法需要利用desktop.ini中的locallizedresourcename一行，例如：
[email protected],-28995
這一行可以將資料夾的名稱顯示改成系統資料夾的“我的音樂”
更多的標識如下：
LocalizedResourceName=@shell32.dll,-28995---28997
28996 共享視頻
28995 共享音樂
28997 共享圖像
---------------------------------------------------
[email protected],-12688---12696
12693收藏夾
12691 我最近的文檔
---------------------------------------------------
LocalizedResourceName=@shell32.dll,-21760---21795
21779 圖片收藏
21780 線上服務
21781 Program Files
21782 程式
21783 收到傳真
21784 傳送傳真
21785共享文檔
21790 我的音樂
---------------------------------------------------
LocalizedResourceName=@shell32.dll,-22016---22075
－－－－－－－－－－－－－－－－－－－－
"@xpsp2res.dll,-6100"="顯示桌面"
"@xpsp1res.dll,-11003"="啟動 Internet Explorer 瀏覽器"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9227"="我的文檔"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9216"="我的電腦"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-8964"="資源回收筒"
"@shell32.dll,-22051"="記事本"
"@C:\\WINDOWS\\system32\\tourstart.exe,-1"="漫遊 Windows XP"
"@shell32.dll,-22022"="命令提示符"
"@shell32.dll,-22017"="通訊簿"
"@shell32.dll,-22041"="放大鏡"
"@shell32.dll,-22065"="輔助工具管理器"
"@shell32.dll,-22052"="螢幕鍵盤"
"@shell32.dll,-22040"="本地安全策略"
"@shell32.dll,-22059"="服務"
"@shell32.dll,-22023"="計算機管理"
"@shell32.dll,-22029"="事件查看器"
"@shell32.dll,-22025"="數據源 (ODBC)"
"@shell32.dll,-22055"="性能"
"@C:\\WINDOWS\\system32\\comres.dll,-661"="組件服務"
"@shell32.dll,-21762"="管理工具"
"@shell32.dll,-21761"="附屬檔案"
"@shell32.dll,-21760"="輔助工具"
"@shell32.dll,-21772"="娛樂"
"@shell32.dll,-22067"="Windows 資源管理器"
"@shell32.dll,-22062"="同步"
"@C:\\WINDOWS\\system32\\compatUI.dll,-115"="程式兼容性嚮導"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9217"="網上鄰居"
"@explorer.exe,-7023"="運行（&R)..."
"C:\\Program Files\\SkyNet\\FireWall\\PFW.exe"="天網防火牆個人版"
"C:\\WINDOWS\\system32\\ctfmon.exe"="CTF Loader"
"@C:\\WINDOWS\\ime\\imkr6_1\\imekrcic.dll,-22"="Korean Input System (IME 2002）"
"@C:\\WINDOWS\\ime\\sptip.dll,-600"="語音識別"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22913"="顯示連線到此計算機的驅動器和硬體。"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9319"="印表機和傳真"
"@C:\\WINDOWS\\system32\\netshell.dll,-1200"="網路連線"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-8503"="搜尋（&E)..."
"@C:\\WINDOWS\\system32\\mycomput.dll,-400"="管理（&G)"
"C:\\WINDOWS\\system32\\rundll32.exe"="Run a DLL as an App"
"@explorer.exe,-7003"="打開一個程式、資料夾、文檔或網站。"
"C:\\WINDOWS\\Explorer.EXE"="Windows Explorer"
"D:\\Program Files\\QQIP\\CoralQQ.exe"="CoralQQ 載入程式"
"D:\\Program Files\\Maxthon1.58\\Maxthon.exe"="Maxthon Web Browser"
"C:\\WINDOWS\\system32\\notepad.exe"="記事本"
"D:\\Program Files\\QQIP\\QQ.exe"="QQ"
"C:\\Program Files\\Internet Explorer\\iexplore.exe"="Internet Explorer"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\WINWORD.EXE"="Microsoft Office Word"
"C:\\PROGRA~1\\EDITPL~1\\EDITPLUS.EXE"="EditPlus"
"C:\\Program Files\\Windows NT\\Accessories\\WORDPAD.EXE"="寫字板"
"C:\\WINDOWS\\NOTEPAD.EXE"="記事本"
"@shell32.dll,-12691"="我最近的文檔"
"D:\\yuanwei\\server\\Tomcat_center\\bin\\startup.bat"="startup"
"C:\\WINDOWS\\system32\\cmd.exe"="Windows Command Processor"
"@C:\\WINDOWS\\system32\\notepad.exe,-469"="文本文檔"
"@shell32.dll,-12693"="收藏夾"
"C:\\Program Files\\AⅥConverter\\AⅥConverter.exe"="AⅥConverter"
"C:\\WINDOWS\\system32\\taskmgr.exe"="Windows 增強型任務管理器"
"@shell32.dll,-12710"="運行（&R)"
"C:\\Program Files\\EditPlus 2\\editplus.exe"="EditPlus"
"D:\\Program Files\\Maxthon2\\Maxthon.exe"="Maxthon Browser"
"D:\\Foxmail\\Foxmail.exe"="Internet Mail Client"
"C:\\Program Files\\WinRAR\\WinRAR.exe"="WinRAR"
"@wmploc.dll,-1800"="播放"
"@wmploc.dll,-6502"="Windows Media Player"
"@%SystemRoot%\\system32\\SHELL32.dll,-17154"="打開資料夾以查看檔案"
"@%SystemRoot%\\system32\\SHELL32.dll,-17155"="Windows 資源管理器"
"@%SystemRoot%\\system32\\SHELL32.dll,-17168"="不執行操作"
"@%systemroot%\\System32\\wiaacmgr.exe,-276"="將圖片複製到計算機上的一個資料夾"
"@%systemroot%\\System32\\wiaacmgr.exe,-101"="Microsoft 掃瞄器和照相機嚮導"
"@%SystemRoot%\\system32\\SHELL32.dll,-17156"="查看圖片的幻燈片"
"@%SystemRoot%\\system32\\SHELL32.dll,-17157"="Windows 圖片和傳真查看器"
"@%SystemRoot%\\system32\\SHELL32.dll,-17158"="列印此圖片"
"@%SystemRoot%\\system32\\SHELL32.dll,-17159"="照片列印嚮導"
"@shell32.dll,-8504"="自動播放（&P)"
"C:\\WINDOWS\\system32\\shimgvw.dll"="Windows 圖片和傳真查看器"
"C:\\WINDOWS\\system32\\mspaint.exe"="畫圖"
"C:\\PROGRA~1\\MICROS~2\\OFFICE11\\OIS.EXE"="Microsoft Office Picture Manager"
"@shimgvw.dll,-550"="預覽（&V)"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-303"="JPEG 圖像"
"C:\\WINDOWS\\system32\\zipfldr.dll"="Compressed (zipped) Folders"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\Rar$EX00.765\\fo-ts312.exe"="TopStyle Pro Setup "
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\is-DONLV.tmp\\is-VQ0HA.tmp"="Setup/Uninstall"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\Rar$EX00.657\\fo-ts312.exe"="TopStyle Pro Setup "
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\is-G2RO4.tmp\\is-A6NHJ.tmp"="Setup/Uninstall"
"C:\\Program Files\\Bradbury\\TopStyle3\\TopStyle3.exe"="TopStyle"
"D:\\Downloads\\editplus\\EditPlus-v2.30.Build.311.HH\\editplus.exe"="EditPlus 漢化版"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\EXCEL.EXE"="Microsoft Office Excel"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\MSPUB.EXE"="Microsoft Office Publisher"
"C:\\Program Files\\UltraEdit\\Uedit32.exe"="UltraEdit-32 Professional Text/Hex Editor"
"@C:\\Program Files\\NetMeeting\\conf.exe,-12345"="H.323 Internet 電話服務"
"@C:\\WINDOWS\\system32\\accwiz.exe,-16"="輔助功能嚮導設定"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9909"="Windows Media 音頻/視頻檔案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9910"="Windows Media 音頻/視頻播放列表"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9904"="AU 格式聲音"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22978"="公文包"
"@C:\\WINDOWS\\System32\\ntbackup.exe,-40"="Windows 備份檔案"
"@C:\\WINDOWS\\System32\\pdh.dll,-10023"="性能監視器檔案"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-304"="BMP 圖像"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6145"="安全編錄"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9918"="CD 音頻曲目"
"@C:\\WINDOWS\\System32\\cdfview.dll,-4610"="頻道檔案"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6108"="安全證書"
"@C:\\Program Files\\NetMeeting\\conf.exe,-12346"="快速撥號"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6110"="證書吊銷列表"
"@C:\\WINDOWS\\system32\\netshell.dll,-1300"="撥號網路檔案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9927"="Microsoft 錄製的電視節目"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-301"="EMF 圖像"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-302"="GIF 圖像"
"@C:\\Program Files\\NetMeeting\\conf.exe,-12347"="Intel IPhone 兼容"
"@C:\\WINDOWS\\System32\\setupapi.dll,-2000"="安裝信息"
"@C:\\Program Files\\Internet Explorer\\Connection Wizard\\icwres.dll,-20003"="Internet 通訊設定"
"@C:\\WINDOWS\\System32\\wshext.dll,-4804"="JScript Script File"
"@C:\\WINDOWS\\System32\\wshext.dll,-4805"="JScript Encoded Script File"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9902"="電影剪輯"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9926"="M3U 檔案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9907"="MIDI 序列"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9925"="MP3 格式聲音"
"@C:\\WINDOWS\\system32\\mmcbase.dll,-130"="Microsoft 通用管理文檔"
"@C:\\WINDOWS\\System32\\msi.dll,-34"="Windows Installer軟體包"
"@C:\\WINDOWS\\System32\\msi.dll,-35"="Windows Installer 修補程式"
"@C:\\WINDOWS\\System32\\RCBdyctl.dll,-150"="Microsoft 遠程訪問事件"
"@C:\\Program Files\\Movie Maker\\wmm2res.dll,-63097"="Windows Movie Maker 項目"
"@C:\\WINDOWS\\PCHealth\\HelpCtr\\Binaries\\msinfo.dll,-391"="MSInfo 文檔"
"@C:\\Program Files\\NetMeeting\\nmwb.dll,-1234"="Microsoft NetMeeting T126 兼容白板文檔"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6111"="PKCS #7 證書"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6113"="PKCS #7 簽名"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-305"="PNG 圖像"
"@C:\\WINDOWS\\System32\\scrobj.dll,-8192"="Windows Script Component"
"@C:\\WINDOWS\\system32\\shscrap.dll,-258"="片段對象"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6112"="Microsoft 系列證書存儲"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6109"="證書信任列表"
"@C:\\WINDOWS\\System32\\wshext.dll,-4803"="VBScript Encoded Script File"
"@C:\\WINDOWS\\System32\\wshext.dll,-4802"="VBScript Script File"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9908"="波形聲音"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9911"="Windows Media 音頻捷徑"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9912"="Windows Media 音頻檔案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9920"="Windows Media Player 下載軟體包"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-307"="WMF 圖像"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9915"="Windows Media Player 外觀檔案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9914"="Windows Media 音頻/視頻檔案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9916"="Windows Media Player 外觀程式包"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9923"="Windows Media 播放列表"
"@\"C:\\Program Files\\Windows NT\\Accessories\\WORDPAD.EXE\",-208"="寫入文檔"
"@C:\\WINDOWS\\System32\\wshext.dll,-4801"="Windows Script File"
"@C:\\WINDOWS\\System32\\wshext.dll,-4800"="Windows Script Host Settings File"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9913"="Windows Media 音頻/視頻播放列表"
"@C:\\WINDOWS\\system32\\msxml3r.dll,-1"="XML 文檔"
"@C:\\WINDOWS\\system32\\msxml3r.dll,-2"="XSL 樣式表"
"C:\\PROGRA~1\\FlashGet\\flashget.exe"="FlashGet"
"D:\\yuanwei\\server\\tomcat\\bin\\startup.bat"="startup"
"@netcfgx.dll,-50002"="允許您的計算機訪問 Microsoft 網路上的資源。"
"@netcfgx.dll,-50003"="允許其它計算機用 Microsoft 網路訪問您的計算機上的資源。"
"@netcfgx.dll,-50015"="質量服務數據包計畫程式。該組件提供網路交通控制，包括流量率和優先權服務。"
"@netcfgx.dll,-50001"="TCP/IP 是默認的廣域網協定。它提供跨越多種網際網路的通訊。"
"@shdoclc.dll,-880"="Internet Explorer"
"@shdoclc.dll,-867"="每日提示（&T)"
"@shdoclc.dll,-868"="顯示每日提示。"
"D:\\Downloads\\editplus\\UltraCompare_Pro_4.10a_SC.exe"="UltraCompare_Pro_4.10a_SC"
"D:\\Program Files\\UltraCompare\\uc.exe"="UltraCompare Professional"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22914"="包含信件，報告和其它文檔以及檔案。"
"C:\\WINDOWS\\hh.exe"="Microsoft® HTML Help Executable"
"D:\\Downloads\\wom\\WoptiUtilities\\WoptiUtilities.exe"="Windows最佳化大師(Wopti Utilities)"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\Rar$EX00.500\\StormCodec6.10.00.exe"="StormCodec6.10.00"
"C:\\Program Files\\MPC\\StormSet.exe"="StormSet"
"@shell32.dll,-21779"="圖片收藏"
"@shell32.dll,-21790"="我的音樂"
"D:\\doc\\chm\\《黃易全集》典藏版.exe"="eBook 閱讀器"
"@inetcplc.dll,-4746"="輔助功能"
"@inetcplc.dll,-4731"="始終擴展圖像的說明文字"
"@inetcplc.dll,-4732"="隨焦點（或選擇）的更改移動系統插入標記"
"@inetcplc.dll,-4745"="瀏覽"
"@inetcplc.dll,-4852"="使用直接插入自動完成功能"
"@inetcplc.dll,-4856"="啟用個性化收藏夾選單"
"@inetcplc.dll,-4866"="強制螢幕外合成，即便是在終端伺服器下（需要重啟動）"
"@inetcplc.dll,-4833"="顯示友好 HTTP 錯誤信息"
"@inetcplc.dll,-4734"="顯示友好的 URL"
"@inetcplc.dll,-4743"="使用被動 FTP（為防火牆和 DSL 數據機兼容性）"
"@inetcplc.dll,-4737"="為 FTP 站點啟用資料夾視圖"
"@inetcplc.dll,-4840"="在地址欄中顯示“轉到”按鈕"
"@inetcplc.dll,-4837"="自動檢查 Internet Explorer 更新"
"@inetcplc.dll,-4836"="啟用即需安裝（Internet Explorer)"
"@inetcplc.dll,-4835"="下載完成後發出通知"
"@inetcplc.dll,-4838"="關閉“歷史記錄”和“收藏夾”中所有未使用的資料夾（需要重啟動）"
"@inetcplc.dll,-4829"="允許頁面轉換"
"@inetcplc.dll,-4861"="重新使用啟動捷徑的視窗"
"@inetcplc.dll,-4736"="允許脫機項目按計畫同步"
"@xpsp2res.dll,-4892"="禁用腳本調試（其他）"
"@xpsp2res.dll,-4891"="禁用腳本調試 (Internet Explorer)"
"@inetcplc.dll,-4832"="顯示每個腳本錯誤的通知"
"@inetcplc.dll,-4735"="使用平滑滾動"
"@inetcplc.dll,-4828"="給連結加下劃線"
"@inetcplc.dll,-4825"="始終"
"@inetcplc.dll,-4827"="懸停"
"@inetcplc.dll,-4826"="從不"
"@inetcplc.dll,-4874"="啟用第三方瀏覽器擴展（需要重啟動）"
"@inetcplc.dll,-4873"="對網頁上的按鈕和控制項啟用視覺樣式"
"@inetcplc.dll,-4839"="總是以 UTF-8 傳送 URL （需要重啟動）"
"@inetcplc.dll,-4875"="啟用即需安裝（其它）"
"@inetcplc.dll,-4747"="安全"
"@inetcplc.dll,-4750"="關閉瀏覽器時清空 Internet 臨時資料夾"
"@inetcplc.dll,-4749"="不將加密的頁面存入硬碟"
"@xpsp2res.dll,-5710"="允許來自 CD 的活動內容在我的計算機上運行"
"@inetcplc.dll,-4761"="檢查發行商的證書吊銷"
"@inetcplc.dll,-4762"="檢查下載的程式的簽名"
"@xpsp2res.dll,-5700"="允許活動內容在我的計算機上的檔案中運行"
"@inetcplc.dll,-4863"="啟用集成 Windows 身份驗證（需要重啟動）"
"@inetcplc.dll,-4756"="啟動配置檔案助理"
"@xpsp2res.dll,-10505"="允許運行或安裝軟體，即使簽名無效"
"@inetcplc.dll,-4757"="在安全和非安全模式之間轉換時發出警告"
"@inetcplc.dll,-4759"="對無效站點證書發出警告"
"@inetcplc.dll,-4752"="使用 SSL 2.0"
"@inetcplc.dll,-4753"="使用 SSL 3.0"
"@inetcplc.dll,-4760"="檢查伺服器證書吊銷（需要重啟動）"
"@inetcplc.dll,-4758"="重定向提交的表單時發出警告"
"@inetcplc.dll,-4754"="使用 TLS 1.0"
"@inetcplc.dll,-4822"="HTTP 1.1 設定"
"@inetcplc.dll,-4823"="使用 HTTP 1.1"
"@inetcplc.dll,-4824"="通過代理連線使用 HTTP 1.1"
"@inetcplc.dll,-4744"="多媒體"
"@inetcplc.dll,-4741"="播放網頁中的動畫"
"@inetcplc.dll,-4871"="啟用自動圖像大小調整"
"@inetcplc.dll,-4865"="啟用圖像工具列（需要重啟動）"
"@inetcplc.dll,-4742"="顯示圖片"
"@inetcplc.dll,-4843"="顯示圖像下載占位符"
"@inetcplc.dll,-4738"="智慧型圖像抖動"
"@inetcplc.dll,-4739"="播放網頁中的聲音"
"@inetcplc.dll,-4740"="播放網頁中的視頻"
"@inetcplc.dll,-4769"="列印"
"@inetcplc.dll,-4770"="列印背景顏色和圖像"
"@inetcplc.dll,-4771"="從地址欄中搜尋"
"@inetcplc.dll,-4844"="搜尋時"
"@inetcplc.dll,-4845"="顯示結果，然後轉到最相近的站點"
"@inetcplc.dll,-4847"="只在主視窗中顯示結果"
"@inetcplc.dll,-4846"="轉到最相近的站點"
"@inetcplc.dll,-4848"="不從地址欄中搜尋"
"D:\\Program Files\\PLSQL Developer\\plsqldev.exe"="PL/SQL Developer"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\POWERPNT.EXE"="Microsoft Office PowerPoint"
"@C:\\WINDOWS\\system32\\mstsc.exe,-4001"="從遠程位置連線到計算機的桌面並運行應用程式，如同您坐在其控制台前面。"
"C:\\WINDOWS\\system32\\mstsc.exe"="Remote Desktop Connection"
"d:\\Downloads\\ExeSetupFav.exe"="ExeSetupFav Microsoft 基礎類應用程式"
"C:\\WINDOWS\\system32\\YeskyComponents\\YComs.exe"="YComs Microsoft 基礎類應用程式"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-32517"="系統列和「開始」選單"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22985"="資料夾選項"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22981"="字型"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22982"="管理工具"
"@C:\\WINDOWS\\system32\\mstask.dll,-3408"="任務計畫"
"@C:\\WINDOWS\\system32\\wiashext.dll,-331"="掃瞄器和照相機"
"@C:\\Program Files\\Internet Explorer\\iexplore.exe,-702"="Internet Explorer"
"C:\\Program Files\\Bradbury\\TopStyle3\\unins000.exe"="Setup/Uninstall"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\_iu14D2N.tmp"="Setup/Uninstall"
"D:\\Downloads\\editplus\\TopStyle3\\TopStyle3\\TopStyle3.exe"="TopStyle"
"D:\\yuanwei\\VStart\\VStart.exe"="音速啟動 - 您的啟動專家"
"D:\\yuanwei\\VStart\\軟體\\Mybase\\Mybase.exe"="Mybase"
"C:\\Program Files\\MPC\\mplayerc.exe"="Media Player Classic"
"C:\\Program Files\\Windows Media Player\\wmplayer.exe"="Windows Media Player"
"C:\\Program Files\\MPC\\GSpot.exe"="GSpot Codec Information Appliance (tm)"
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="MSN Messenger"
"C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE11\\MSOXMLED.EXE"="XML Editor"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\INFOPATH.EXE"="Microsoft Office InfoPath"
"@shell32.dll,-30498"="檔案和資料夾"
"@shell32.dll,-30506"="記住每個資料夾的視圖設定"
"@shell32.dll,-30497"="在我的電腦上顯示控制臺"
"@shell32.dll,-30507"="在單獨的進程中打開資料夾視窗"
"@shell32.dll,-30517"="不快取縮略圖"
"@shell32.dll,-30514"="在資料夾提示中顯示檔案大小信息"
"@shell32.dll,-30511"="在資源管理器資料夾列表中顯示簡單資料夾查看"
"@shell32.dll,-30499"="隱藏檔案和資料夾"
"@shell32.dll,-30501"="不顯示隱藏的檔案和資料夾"
"@shell32.dll,-30500"="顯示所有檔案和資料夾"
"@shell32.dll,-30503"="隱藏已知檔案類型的擴展名"
"@shell32.dll,-30509"="自動搜尋網路資料夾和印表機"
"@shell32.dll,-30513"="在登錄時還原上一個資料夾視窗"
"@shell32.dll,-30512"="用彩色顯示加密或壓縮的 NTFS 檔案"
"@shell32.dll,-30504"="在標題欄顯示完整路徑"
"@shell32.dll,-30505"="在地址欄中顯示完整路徑"
"@shell32.dll,-30502"="滑鼠指向資料夾和桌面項時顯示提示信息"
"@shell32.dll,-30518"="使用簡單檔案共享 （推薦）"
"@shell32.dll,-30508"="隱藏受保護的作業系統檔案（推薦）"
"@shell32.dll,-30510"="顯示系統資料夾的內容"
"@shell32.dll,-28964"="您已選擇在 Windows 資源管理器中顯示受保護的作業系統檔案（標記為系統和隱藏的檔案）。
這些檔案是啟動和運行 Windows 所必需的。刪除或編輯它們會使您的計算機無法運行。
是否顯示這些檔案?"
"C:\\WINDOWS\\regedit.exe"="Registry Editor"
"@SHELL32.dll,-9227"="我的文檔"
標識特殊的資料夾圖示
IconResource=%SystemRoot%\system32\imageres.dll,-112
這一行可以將系統資料夾《我的文檔》的顯示改成原系統圖示
更多的標識如下：
-108 我的音樂
-112 我的文檔
-113 我的圖片
-115 收藏夾
-183 桌面
-184 下載
-185 連結
-186 遊戲
-189 我的視頻
病毒
簡介
該病毒為Windows平台下集成執行檔感染、網路感染、下載網路木馬或其它病毒的複合型病毒，病毒運行後將自身偽裝成系統正常檔案，以迷惑用戶，通過修改註冊表項使病毒開機時可以自動運行，同時病毒通過執行緒注入技術繞過防火牆的監視，連線到病毒作者指定的網站下載特定的木馬或其它病毒，同時病毒運行後枚舉區域網路的所有可用共享，並嘗試通過弱口令方式連線感染目標計算機。
運行過程過感染用戶機器上的執行檔，造成用戶機器運行速度變慢，破壞用戶機器的執行檔，給用戶安全性構成危害。
病毒主要通過已分享資料夾、檔案捆綁、運行被感染病毒的程式、可帶病毒的郵件附屬檔案等方式進行傳播。
病毒行為
1、病毒運行後將自身複製到Windows資料夾下，檔案名稱為：
%SystemRoot%\rundl132.exe
2、運行被感染的檔案後，病毒將病毒體複製到為以下檔案：
%SystemRoot%\logo_1.exe
3、同時病毒會在病毒資料夾下生成：
病毒目錄\vdll.dll
4、病毒從Z盤開始向前搜尋所有可用分區中的exe檔案，然後感染所有大小27kb-10mb的執行檔，感染完畢在被感染的資料夾中生成：
_desktop.ini （檔案屬性：系統、隱藏。）
5、病毒會嘗試修改%SysRoot%\system32\drivers\etc\hosts檔案。
6、病毒通過添加如下註冊表項實現病毒開機自動運行：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"load"="C:\\WINNT\\rundl132.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"load"="C:\\WINNT\\rundl132.exe"
7、病毒運行時嘗試查找窗體名為："RavMonClass"的程式，查找到窗體後傳送訊息關閉該程式。
8、枚舉以下防毒軟體進程名，查找到後終止其進程：
Ravmon.exe
Eghost.exe
Mailmon.exe
KAVPFW.EXE
IPARMOR.EXE
Ravmond.exe
9、同時病毒嘗試利用以下命令終止相關殺病毒軟體：
net stop "Kingsoft AntiVirus Service"
10、傳送ICMP探測數據"Hello,World"，判斷網路狀態，網路可用時，
枚舉區域網路所有共享主機，並嘗試用弱口令連線\\IPC$、\admin$等已分享資料夾，連線成功後進行網路感染。
11、感染用戶機器上的exe檔案，但不感染以下資料夾中的檔案：
system
system32
windows
Documents and settings
system Volume Information
Recycled
winnt
Program Files
Windows NT
WindowsUpdate
Windows Media Player
Outlook Express
Internet Explorer
ComPlus Applications
NetMeeting
Common Files
Messenger
Microsoft Office
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gaming Zone
12、枚舉系統進程，嘗試將病毒dll(vdll.dll）選擇性注入以下進程名對應的進程：
Explorer
Iexplore
找到符合條件的進程後隨機注入以上兩個進程中的其中一個。
13、當外網可用時，被注入的dll檔案嘗試連線一些網站下載並運行相關程式，位置具體為：c:\1.txt、：%SystemRoot%\0Sy.exe、：%SystemRoot%\1Sy.exe、：%SystemRoot%\2Sy.exe
14、病毒會將下載後的"1.txt"的內容添加到以下相關註冊表項：
[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW]
"auto"="1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows]
"ver_down0"="[boot loader]\\\\\\\\\\\\\\\\ "
"ver_down1"="[boot loader]
timeout=30
[operating systems]
multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS=\"Microsoft Windows XP Professional\" ////"
"ver_down2"="default=multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS=\"Microsoft Windows XP Professional\" /////"
清除方法
1、釋放自身以及感染exe檔案後生成
C:\WINDOWS\rundl132.exe
C:\WINDOWS\logo_1.exe
病毒所在目錄\vidll.dll
2、添加註冊表信息
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
“load” “C:\WINDOWS\rundl132.exe”
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
“load” “C:\WINDOWS\rundl132.exe”
[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW]
“auto”=“1”
3、感染部分exe檔案，並在被感染exe檔案所在目錄釋放_desktop.ini
4、修改hosts檔案
C:\WINDOWS\system32\drivers\etc\hosts
5、vidll.dll插入到進程explorer.exe或iexplore.exe
6、停掉部分安全軟體的進程
解決過程
1、關閉rundl132.exe的進程，並刪除
C:\WINDOWS\rundl132.exe
2、搜尋找到並刪除vidll.dll
可以通過SSM自動啟動來禁用vidll.dll，重新啟動後刪除vidll.dll
或停止其插入的進程，再刪除該dll檔案，如果它插入了explorer.exe這個進程，那么
打開任務管理器（ALT CTRL Delete），結束掉explorer.exe這個進程，刪除vidll.dll檔案
然後用任務管理器上面的標籤 檔案===新建任務===瀏覽，找到並運行
C:\WINDOWS\Explorer.exe
3、刪除其在註冊表中創建的信息及其他病毒檔案_desktop.ini、logo_1.exe
4、修復被更改的hosts檔案，hosts檔案用記事本打開
C:\WINDOWS\system32\drivers\etc\hosts
DESKTOP
電腦中了desktop.ini病毒之後會在硬碟所有的分區內創建若干個諸如desktop_1.ini、desktop_2.ini之類的病毒體，一般在系統下刪除這些檔案中的任何一個，病毒馬上就會新建一個一樣的檔案。通常遇到這樣的病毒體，我們可以一次性在DOS下刪除所有分區的病毒體，這個就需要藉助批處理了。具體做法如下：
打開記事本，然後複製如下代碼進去：
再改成bat格式
cd \
c:
del Desktop_*.ini /f /s /q /ah
cd \
d:
del Desktop_*.ini /f /s /q /ah
cd \
e:
del Desktop_*.ini /f /s /q /ah
cd \
f:
del Desktop_*.ini /f /s /q /ah
cd \
g:
del Desktop_*.ini /f /s /q /ah
然後雙擊運行即可刪除所有的病毒體了。
常見疑問
1：管理工具資料夾裡面的desktop.ini中[LocalizedFileNames]這個什麼意思？
答：[LocalizedFileNames]是“局限性檔案名稱稱”也就是控制檔案的標識。
2：一個desktop.ini裡面
[.shellclassinfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21762
這個起什麼作用？
前面LocalizedResourceName這個又是起什麼作用？
後面-21762這個又是起什麼作用？根據什麼原理？
答：LocalizedResourceName是“局限性資源名稱”後面的是名稱引用的地址，注意SHELL32.DLL動態程式庫中記錄了很多這類的信息，還包括圖示ICO的地址，最後的-21762是一個ID，也可以理解成INDEX索引。
3：一個desktop.ini裡面
InfoTip是指向資料夾時的說明，
但是[email protected],-12690這個什麼意思
答：參考第二個問題就不難理解了，infotip是“信息提示”後邊連線還是SHELL32.DLL。後面的-12690也是一個索引編號。
4：一個desktop.ini裡面
IconFile是指圖示的資料夾路徑
IconFile=%SystemRoot%\system32\SHELL32.dll
ICONINDEX=-238是指圖表檔案名稱，
但是-238是哪個圖示，這些圖示放在哪個資料夾，
怎么可以清楚的看到這些圖示的列表，
以及外面引用的數字代表的是哪個圖示，比如說-238是代表哪個圖示。
答：繼續參考前兩個問題的答案，ICONFILE是“ICO圖示檔案”，後面的我不再多解釋了。至於如何找到這個圖示，可以通過任意一個捷徑的屬性中的選擇圖示選項中查找圖片，然後再對照索引來定位所指定的圖片。
5：一個desktop.ini裡面
[DeleteOnCopy]
Owner=Jed
Personalized=14
PersonalizedName=My Videos
這些什麼意思？
答：這應該是“我的文檔”中“我的視頻”資料夾中的desktop.ini。“Owner=Jed”的意思是當前資料夾是屬於“Jed”這個用戶的，“Personalized=14”的意思是私人使用的私有化屬性，14是什麼意思沒弄明白，“PersonalizedName=My Videos”的意思是此私有文檔名稱為“My Videos”。
6：一個desktop.ini裡面，開頭
； ==++==
；
； Copyright (c) Microsoft Corporation. All rights reserved.
；
； ==--==
這些是什麼意思？
是不是跟HTML代碼的<!-- -->；中注釋的功能一樣呢？
如果是，那具體的格式是什麼？
答：這個很簡單，是指此段代碼的所有權為“Microsoft”。這個很多地方都能看到，比如很多網站下面會寫明“Copyright (c) 某某公司 Corporation. All rights reserved.”意思就是所有權歸屬。
7：一個desktop.ini裡面
[.ShellClassInfo]
CLSID=
ConfirmFileOp=1
InfoTip=Contains application stability information.
這個什麼意思？
答：這應該是受系統保護的資料夾中的desktop.ini，是用來指明ShellClass信息的，“CLSID=”是指class的ID在註冊表中的地址是“1D2680C9-0E2A-469d-B787-065558BC7D43”，“InfoTip=Contains application stability information”為信息提示。請參考第3個問題的答案。
8：xp字型檔夾（c:\windows\fonts\）中的desktop.ini
[.ShellClassInfo]
UICLSID=
這個什麼意思？
答：參考第7個問題不難理解，“UICLSID=”的意思是字型樣式的ID在註冊表中的地址為“BD84B380-8CA2-1069-AB1D-08000948F534”。
9：xp中C:\Documents and Settings\Default User\SendTo\desktop.ini中的
[LocalizedFileNames]
郵件接收者.MAPIMail=@sendmail.dll,-4
桌面捷徑[email protected],-21
什麼意思？
答：“LocalizedFileNames”的意思就不說了，前面有。後面的問題直接按英文意思解釋就可以了，一個是“郵件接收者”一個是“桌面捷徑”，分別使用的動態程式庫都是“sendmail.dll”只是ID不同，一個是4、一個是21。
10：一個desktop.ini
-----------------------------------
[.shellclassinfo]
iconindex=mainicon
iconfile=d:\千千靜聽\\ttplayer.exe
-----------------------------------
中的mainicon改成1或者2的話，外面資料夾的圖示會改變，
但是iconfile=*.*是支持什麼格式的圖示呢？我只知道exe程式圖示是支持的，ico格式應該也能支持，
試了BMP。JPG之類的都是不支持的。
11：ConfirmFileOp=0這句什麼意思？
答：確認檔案選項為0，表示刪除時，系統不會給出警告。至於0代表什麼設定個人估計是默認設定，不行你換成1看看有什麼變化。]
