windows - 通过将 Windows "open"传递给我的程序来使它成为一切

Question

我正在为一个学校项目编写自己的反病毒软件。我已经确定了一些基础知识，比如检查文件的 MD5 散列值与已知坏散列值的库，检查文件中已知的坏字节模式，检查它是否会尝试连接到网络......目前这一切通过将要检查的文件路径作为参数传递给我的程序来工作。

我想做的是更类似于真正的反病毒/恶意软件的工作方式，即检查用户双击的每个文件。

IE:当在资源管理器中双击 TEST.exe 时，而不是直接启动 TEST.exe，我希望操作系统使用 TEST.exe 的路径实际调用 ANTIVIRUS.exe。然后 ANTIVIRUS.exe 将检查 TEST.exe 并确定它是否可以安全启动。

我考虑过修改注册表中的“打开方式”属性，但我注意到您无法设置用哪个程序打开可执行文件。

我怎样才能更改 Windows (XP,7,8) 设置来做这样的事情(如果可能的话？)。如果不能以这种方式完成，其他防病毒软件如何在文件启动时设法检查文件？

Answer 1

您所说的“打开”实际上是 ShellExecute。这不是真正的 AV 使用的，因为 ShellExecute 最终会调用 CreateProcess。但是调用 CreateProcess 的方法更多，也许最重要的是可以直接调用它。

@wmz 有另一个合理(但复杂)的提示:您可以在文件系统驱动程序级别进行检查。这不是常规程序，而是作为内核的一部分运行。这使得编程变得更加困难，例如所有 .Net 语言都无法使用。