由于有部分病毒会在资料夹下创建desktop.ini档案，目前很多朋友对该档案产生了不完全错误的认识，认为是病毒档案。其实这是错误的，desktop.ini与病毒并没有多深的渊源，desktop.ini是系统可识别的一个档案，作用是存储用户对资料夹的个性设定（用户更换资料夹图示等等都会生成desktop.ini）；而病毒所创建的desktop.ini则不同（这幺说也并不完全正确，见后文），病毒所创建的档案内容依病毒的不同而异，可以是感染日期或其它的有意无意字元（串）。
基本介绍
- 中文名desktop.ini
- 外文名desktop.ini
- 功能能让资料夹和捷径一样的功能
- 相关有一个特殊的CLSID
- 对象指向资料夹
用处
指向特殊资料夹
desktop.ini 还有一个特殊的CLSID，修改后能让资料夹和捷径一样的功能，只能指向资料夹。
资料夹图示
[.ShellClassInfo]
InfoTip=注释
IconFile=图示档案的路径
IconIndex=选择要使用档案中的第几个图示与注册表对应说明
自定义图示档案，其扩展名可以是.exe、.dll、.ico等。
资料夹背景
[ExtShellFolderViews]
{BE098140-A513-11D0-A3A4-00C04FD706EC}={BE098140-A513-11D0-A3A4-00C04FD706EC}
[{BE098140-A513-11D0-A3A4-00C04FD706EC}]
Attributes=1
IconArea_Image=11.jpg
[.ShellClassInfo]
ConfirmFileOp=0
其中11.jpg是图片，把以上内容用记事本保存为desktop.ini ，和背图片一起放在要改变背景的资料夹内。为了防止误删，可以把desktop.ini和图片设为隐藏属性。
标示特殊资料夹
系统中有一些特殊的资料夹，如资源回收筒、我的电脑、我的文档、网上邻居等。这些资料夹的标示有两种方法
1.直接在资料夹名后续上一个"."再加对应的CLSID
如把一个资料夹取名为新建资料夹.{20D04FE0-3AEA-1069-A2D8-08002B30309D}
（注意新建资料夹后面有一个半角的句号）
那幺这个资料夹的图示将变为我的电脑的图示，并且在双击该资料夹时将打开我的电脑。
在下面查看CLSID
在注册表中展开HKEY_CLASSES_ROOT\CLSID\，在CLSID分支下面就可以看到很多的ID，这些ID对应的都是系统里面不同的程式，档案，系统组件等
常见组件类对应的CLSID:
我的文档450D8FBA-AD25-11D0-98A8-0800361B1103
我的电脑20D04FE0-3AEA-1069-A2D8-08002B30309D
网上邻居208D2C60-3AEA-1069-A2D7-08002B30309D
资源回收筒645FF040-5081-101B-9F08-00AA002F954E
Internet Explorer871C5380-42A0-1069-A2EA-08002B30309D
控制台21EC2020-3AEA-1069-A2DD-08002B30309D
拨号网路/网路连线 :992CFFA0-F557-101A-88EC-00DD010CCC48
任务计画:D6277990-4C6A-11CF-8D87-00AA0060F5BF
印表机（和传真）2227A280-3AEA-1069-A2DE-08002B30309D
历史资料夹7BD29E00-76C1-11CF-9DD0-00A0C9034933
ActiveX快取资料夹 88C6C381-2E85-11D0-94DE-444553540000
公文包 85BBD920-42A0-1069-A2E4-08002B30309D
2.第二种是通过一个desktop.ini档案
还以我的电脑为例
新建一个资料夹，名字随便，然后在其下边建立desktop.ini档案，内容如下
[.ShellClassInfo]
CLSID={相应的ID}
注有部分病毒会建立这样的资料夹以达到隐藏自身的目的.这也是一种我们隐藏小秘密的方法.
标示资料夹所有者
这通常见于我的文档等如我的文档里就有这样一个档案，内容如下
[DeleteOnCopy]
Owner=Administrator
Personalized=5
PersonalizedName=My Documents
改变资料夹颜色
关于这项功能的实现需要注册一个.dll档案ColorFolder.dll。具体情况本人由于未曾尝试，故不能提供相应内容，以下是本人在网上搜到的以供参考。
改变资料夹颜色
[.ShellClassInfo]
IconFile=ColorFolder.dll
IconIndex=0
保存为desktop.ini档案，连同ColorFolder.dll档案（Mikebox网盘里有下载）
如果想添加背景图片（bj.jpg）及改变资料夹内档案名称颜色！
[ExtShellFolderViews]
IconArea_Text=0x000000FF
Attributes=1
IconArea_Image=bj.jpg
[.ShellClassInfo]
ConfirmFileOp=0
把名字为bj.jpg的图片也放到同一个资料夹里，再在原有代码下再加上以上这些就可以改变资料夹的背景图片了！更换bj.jpg图片，并修改红色位置的名称（bj.jpg）为更换后的图片名，就可以设定成为你喜欢的背景图片（建议选用jpg格式的）！修改0x000000FF就可以变档案颜色为你想要的颜色！
0x000000FF为红色
0x00008000为绿色
0x00FF0000为蓝色
0x00FFFFFF为白色！（改变颜色也要有动态程式库档案的支持）
注册动态程式库请在开始〉〉〉运行中输入"regsvr32 ColorFolder.dll"（不包括引号，regsvr32和ColorFolder.dll之间有空格！）注册动态程式库到系统即可！
以上修改完desktop.ini档案后，须要运行（attrib +s 相应资料夹的路径）命令才会生效！
标识特殊的资料夹名称
实现方法需要利用desktop.ini中的locallizedresourcename一行，例如
LocalizedResourceName=@shell32.dll,-28995
这一行可以将资料夹的名称显示改成系统资料夹的“我的音乐”
更多的标识如下
LocalizedResourceName=@shell32.dll,-28995---28997
28996 共享视频
28995 共享音乐
28997 共享图像
---------------------------------------------------
LocalizedResourceName=@shell32.dll,-12688---12696
12693收藏夹
12691 我最近的文档
---------------------------------------------------
LocalizedResourceName=@shell32.dll,-21760---21795
21779 图片收藏
21780 线上服务
21781 Program Files
21782 程式
21783 收到传真
21784 传送传真
21785共享文档
21790 我的音乐
---------------------------------------------------
LocalizedResourceName=@shell32.dll,-22016---22075
－－－－－－－－－－－－－－－－－－－－
"@xpsp2res.dll,-6100"="显示桌面"
"@xpsp1res.dll,-11003"="启动 Internet Explorer 浏览器"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9227"="我的文档"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9216"="我的电脑"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-8964"="资源回收筒"
"@shell32.dll,-22051"="记事本"
"@C:\\WINDOWS\\system32\\tourstart.exe,-1"="漫游 Windows XP"
"@shell32.dll,-22022"="命令提示符"
"@shell32.dll,-22017"="通讯簿"
"@shell32.dll,-22041"="放大镜"
"@shell32.dll,-22065"="辅助工具管理器"
"@shell32.dll,-22052"="萤幕键盘"
"@shell32.dll,-22040"="本地安全策略"
"@shell32.dll,-22059"="服务"
"@shell32.dll,-22023"="计算机管理"
"@shell32.dll,-22029"="事件查看器"
"@shell32.dll,-22025"="数据源 (ODBC)"
"@shell32.dll,-22055"="性能"
"@C:\\WINDOWS\\system32\\comres.dll,-661"="组件服务"
"@shell32.dll,-21762"="管理工具"
"@shell32.dll,-21761"="附属档案"
"@shell32.dll,-21760"="辅助工具"
"@shell32.dll,-21772"="娱乐"
"@shell32.dll,-22067"="Windows 资源管理器"
"@shell32.dll,-22062"="同步"
"@C:\\WINDOWS\\system32\\compatUI.dll,-115"="程式兼容性嚮导"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9217"="网上邻居"
"@explorer.exe,-7023"="运行（&R)..."
"C:\\Program Files\\SkyNet\\FireWall\\PFW.exe"="天网防火墙个人版"
"C:\\WINDOWS\\system32\\ctfmon.exe"="CTF Loader"
"@C:\\WINDOWS\\ime\\imkr6_1\\imekrcic.dll,-22"="Korean Input System (IME 2002）"
"@C:\\WINDOWS\\ime\\sptip.dll,-600"="语音识别"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22913"="显示连线到此计算机的驱动器和硬体。"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-9319"="印表机和传真"
"@C:\\WINDOWS\\system32\\netshell.dll,-1200"="网路连线"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-8503"="搜寻（&E)..."
"@C:\\WINDOWS\\system32\\mycomput.dll,-400"="管理（&G)"
"C:\\WINDOWS\\system32\\rundll32.exe"="Run a DLL as an App"
"@explorer.exe,-7003"="打开一个程式、资料夹、文档或网站。"
"C:\\WINDOWS\\Explorer.EXE"="Windows Explorer"
"D:\\Program Files\\QQIP\\CoralQQ.exe"="CoralQQ 载入程式"
"D:\\Program Files\\Maxthon1.58\\Maxthon.exe"="Maxthon Web Browser"
"C:\\WINDOWS\\system32\\notepad.exe"="记事本"
"D:\\Program Files\\QQIP\\QQ.exe"="QQ"
"C:\\Program Files\\Internet Explorer\\iexplore.exe"="Internet Explorer"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\WINWORD.EXE"="Microsoft Office Word"
"C:\\PROGRA~1\\EDITPL~1\\EDITPLUS.EXE"="EditPlus"
"C:\\Program Files\\Windows NT\\Accessories\\WORDPAD.EXE"="写字板"
"C:\\WINDOWS\\NOTEPAD.EXE"="记事本"
"@shell32.dll,-12691"="我最近的文档"
"D:\\yuanwei\\server\\Tomcat_center\\bin\\startup.bat"="startup"
"C:\\WINDOWS\\system32\\cmd.exe"="Windows Command Processor"
"@C:\\WINDOWS\\system32\\notepad.exe,-469"="文本文档"
"@shell32.dll,-12693"="收藏夹"
"C:\\Program Files\\AⅥConverter\\AⅥConverter.exe"="AⅥConverter"
"C:\\WINDOWS\\system32\\taskmgr.exe"="Windows 增强型任务管理器"
"@shell32.dll,-12710"="运行（&R)"
"C:\\Program Files\\EditPlus 2\\editplus.exe"="EditPlus"
"D:\\Program Files\\Maxthon2\\Maxthon.exe"="Maxthon Browser"
"D:\\Foxmail\\Foxmail.exe"="Internet Mail Client"
"C:\\Program Files\\WinRAR\\WinRAR.exe"="WinRAR"
"@wmploc.dll,-1800"="播放"
"@wmploc.dll,-6502"="Windows Media Player"
"@%SystemRoot%\\system32\\SHELL32.dll,-17154"="打开资料夹以查看档案"
"@%SystemRoot%\\system32\\SHELL32.dll,-17155"="Windows 资源管理器"
"@%SystemRoot%\\system32\\SHELL32.dll,-17168"="不执行操作"
"@%systemroot%\\System32\\wiaacmgr.exe,-276"="将图片複製到计算机上的一个资料夹"
"@%systemroot%\\System32\\wiaacmgr.exe,-101"="Microsoft 扫瞄器和照相机嚮导"
"@%SystemRoot%\\system32\\SHELL32.dll,-17156"="查看图片的幻灯片"
"@%SystemRoot%\\system32\\SHELL32.dll,-17157"="Windows 图片和传真查看器"
"@%SystemRoot%\\system32\\SHELL32.dll,-17158"="列印此图片"
"@%SystemRoot%\\system32\\SHELL32.dll,-17159"="照片列印嚮导"
"@shell32.dll,-8504"="自动播放（&P)"
"C:\\WINDOWS\\system32\\shimgvw.dll"="Windows 图片和传真查看器"
"C:\\WINDOWS\\system32\\mspaint.exe"="画图"
"C:\\PROGRA~1\\MICROS~2\\OFFICE11\\OIS.EXE"="Microsoft Office Picture Manager"
"@shimgvw.dll,-550"="预览（&V)"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-303"="JPEG 图像"
"C:\\WINDOWS\\system32\\zipfldr.dll"="Compressed (zipped) Folders"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\Rar$EX00.765\\fo-ts312.exe"="TopStyle Pro Setup "
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\is-DONLV.tmp\\is-VQ0HA.tmp"="Setup/Uninstall"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\Rar$EX00.657\\fo-ts312.exe"="TopStyle Pro Setup "
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\is-G2RO4.tmp\\is-A6NHJ.tmp"="Setup/Uninstall"
"C:\\Program Files\\Bradbury\\TopStyle3\\TopStyle3.exe"="TopStyle"
"D:\\Downloads\\editplus\\EditPlus-v2.30.Build.311.HH\\editplus.exe"="EditPlus 汉化版"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\EXCEL.EXE"="Microsoft Office Excel"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\MSPUB.EXE"="Microsoft Office Publisher"
"C:\\Program Files\\UltraEdit\\Uedit32.exe"="UltraEdit-32 Professional Text/Hex Editor"
"@C:\\Program Files\\NetMeeting\\conf.exe,-12345"="H.323 Internet 电话服务"
"@C:\\WINDOWS\\system32\\accwiz.exe,-16"="辅助功能嚮导设定"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9909"="Windows Media 音频/视频档案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9910"="Windows Media 音频/视频播放列表"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9904"="AU 格式声音"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22978"="公文包"
"@C:\\WINDOWS\\System32\\ntbackup.exe,-40"="Windows 备份档案"
"@C:\\WINDOWS\\System32\\pdh.dll,-10023"="性能监视器档案"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-304"="BMP 图像"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6145"="安全编录"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9918"="CD 音频曲目"
"@C:\\WINDOWS\\System32\\cdfview.dll,-4610"="频道档案"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6108"="安全证书"
"@C:\\Program Files\\NetMeeting\\conf.exe,-12346"="快速拨号"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6110"="证书吊销列表"
"@C:\\WINDOWS\\system32\\netshell.dll,-1300"="拨号网路档案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9927"="Microsoft 录製的电视节目"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-301"="EMF 图像"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-302"="GIF 图像"
"@C:\\Program Files\\NetMeeting\\conf.exe,-12347"="Intel IPhone 兼容"
"@C:\\WINDOWS\\System32\\setupapi.dll,-2000"="安装信息"
"@C:\\Program Files\\Internet Explorer\\Connection Wizard\\icwres.dll,-20003"="Internet 通讯设定"
"@C:\\WINDOWS\\System32\\wshext.dll,-4804"="JScript Script File"
"@C:\\WINDOWS\\System32\\wshext.dll,-4805"="JScript Encoded Script File"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9902"="电影剪辑"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9926"="M3U 档案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9907"="MIDI 序列"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9925"="MP3 格式声音"
"@C:\\WINDOWS\\system32\\mmcbase.dll,-130"="Microsoft 通用管理文档"
"@C:\\WINDOWS\\System32\\msi.dll,-34"="Windows Installer软体包"
"@C:\\WINDOWS\\System32\\msi.dll,-35"="Windows Installer 修补程式"
"@C:\\WINDOWS\\System32\\RCBdyctl.dll,-150"="Microsoft 远程访问事件"
"@C:\\Program Files\\Movie Maker\\wmm2res.dll,-63097"="Windows Movie Maker 项目"
"@C:\\WINDOWS\\PCHealth\\HelpCtr\\Binaries\\msinfo.dll,-391"="MSInfo 文档"
"@C:\\Program Files\\NetMeeting\\nmwb.dll,-1234"="Microsoft NetMeeting T126 兼容白板文档"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6111"="PKCS #7 证书"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6113"="PKCS #7 签名"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-305"="PNG 图像"
"@C:\\WINDOWS\\System32\\scrobj.dll,-8192"="Windows Script Component"
"@C:\\WINDOWS\\system32\\shscrap.dll,-258"="片段对象"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6112"="Microsoft 系列证书存储"
"@C:\\WINDOWS\\System32\\cryptext.dll,-6109"="证书信任列表"
"@C:\\WINDOWS\\System32\\wshext.dll,-4803"="VBScript Encoded Script File"
"@C:\\WINDOWS\\System32\\wshext.dll,-4802"="VBScript Script File"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9908"="波形声音"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9911"="Windows Media 音频捷径"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9912"="Windows Media 音频档案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9920"="Windows Media Player 下载软体包"
"@C:\\WINDOWS\\system32\\shimgvw.dll,-307"="WMF 图像"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9915"="Windows Media Player 外观档案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9914"="Windows Media 音频/视频档案"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9916"="Windows Media Player 外观程式包"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9923"="Windows Media 播放列表"
"@\"C:\\Program Files\\Windows NT\\Accessories\\WORDPAD.EXE\",-208"="写入文档"
"@C:\\WINDOWS\\System32\\wshext.dll,-4801"="Windows Script File"
"@C:\\WINDOWS\\System32\\wshext.dll,-4800"="Windows Script Host Settings File"
"@C:\\WINDOWS\\inf\\unregmp2.exe,-9913"="Windows Media 音频/视频播放列表"
"@C:\\WINDOWS\\system32\\msxml3r.dll,-1"="XML 文档"
"@C:\\WINDOWS\\system32\\msxml3r.dll,-2"="XSL 样式表"
"C:\\PROGRA~1\\FlashGet\\flashget.exe"="FlashGet"
"D:\\yuanwei\\server\\tomcat\\bin\\startup.bat"="startup"
"@netcfgx.dll,-50002"="允许您的计算机访问 Microsoft 网路上的资源。"
"@netcfgx.dll,-50003"="允许其它计算机用 Microsoft 网路访问您的计算机上的资源。"
"@netcfgx.dll,-50015"="质量服务数据包计画程式。该组件提供网路交通控制，包括流量率和优先权服务。"
"@netcfgx.dll,-50001"="TCP/IP 是默认的广域网协定。它提供跨越多种网际网路的通讯。"
"@shdoclc.dll,-880"="Internet Explorer"
"@shdoclc.dll,-867"="每日提示（&T)"
"@shdoclc.dll,-868"="显示每日提示。"
"D:\\Downloads\\editplus\\UltraCompare_Pro_4.10a_SC.exe"="UltraCompare_Pro_4.10a_SC"
"D:\\Program Files\\UltraCompare\\uc.exe"="UltraCompare Professional"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22914"="包含信件，报告和其它文档以及档案。"
"C:\\WINDOWS\\hh.exe"="Microsoft® HTML Help Executable"
"D:\\Downloads\\wom\\WoptiUtilities\\WoptiUtilities.exe"="Windows最佳化大师(Wopti Utilities)"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\Rar$EX00.500\\StormCodec6.10.00.exe"="StormCodec6.10.00"
"C:\\Program Files\\MPC\\StormSet.exe"="StormSet"
"@shell32.dll,-21779"="图片收藏"
"@shell32.dll,-21790"="我的音乐"
"D:\\doc\\chm\\《黄易全集》典藏版.exe"="eBook 阅读器"
"@inetcplc.dll,-4746"="辅助功能"
"@inetcplc.dll,-4731"="始终扩展图像的说明文字"
"@inetcplc.dll,-4732"="随焦点（或选择）的更改移动系统插入标记"
"@inetcplc.dll,-4745"="浏览"
"@inetcplc.dll,-4852"="使用直接插入自动完成功能"
"@inetcplc.dll,-4856"="启用个性化收藏夹选单"
"@inetcplc.dll,-4866"="强制萤幕外合成，即便是在终端伺服器下（需要重启动）"
"@inetcplc.dll,-4833"="显示友好 HTTP 错误信息"
"@inetcplc.dll,-4734"="显示友好的 URL"
"@inetcplc.dll,-4743"="使用被动 FTP（为防火墙和 DSL 数据机兼容性）"
"@inetcplc.dll,-4737"="为 FTP 站点启用资料夹视图"
"@inetcplc.dll,-4840"="在地址栏中显示“转到”按钮"
"@inetcplc.dll,-4837"="自动检查 Internet Explorer 更新"
"@inetcplc.dll,-4836"="启用即需安装（Internet Explorer)"
"@inetcplc.dll,-4835"="下载完成后发出通知"
"@inetcplc.dll,-4838"="关闭“历史记录”和“收藏夹”中所有未使用的资料夹（需要重启动）"
"@inetcplc.dll,-4829"="允许页面转换"
"@inetcplc.dll,-4861"="重新使用启动捷径的视窗"
"@inetcplc.dll,-4736"="允许脱机项目按计画同步"
"@xpsp2res.dll,-4892"="禁用脚本调试（其他）"
"@xpsp2res.dll,-4891"="禁用脚本调试 (Internet Explorer)"
"@inetcplc.dll,-4832"="显示每个脚本错误的通知"
"@inetcplc.dll,-4735"="使用平滑滚动"
"@inetcplc.dll,-4828"="给连结加下划线"
"@inetcplc.dll,-4825"="始终"
"@inetcplc.dll,-4827"="悬停"
"@inetcplc.dll,-4826"="从不"
"@inetcplc.dll,-4874"="启用第三方浏览器扩展（需要重启动）"
"@inetcplc.dll,-4873"="对网页上的按钮和控制项启用视觉样式"
"@inetcplc.dll,-4839"="总是以 UTF-8 传送 URL （需要重启动）"
"@inetcplc.dll,-4875"="启用即需安装（其它）"
"@inetcplc.dll,-4747"="安全"
"@inetcplc.dll,-4750"="关闭浏览器时清空 Internet 临时资料夹"
"@inetcplc.dll,-4749"="不将加密的页面存入硬碟"
"@xpsp2res.dll,-5710"="允许来自 CD 的活动内容在我的计算机上运行"
"@inetcplc.dll,-4761"="检查发行商的证书吊销"
"@inetcplc.dll,-4762"="检查下载的程式的签名"
"@xpsp2res.dll,-5700"="允许活动内容在我的计算机上的档案中运行"
"@inetcplc.dll,-4863"="启用集成 Windows 身份验证（需要重启动）"
"@inetcplc.dll,-4756"="启动配置档案助理"
"@xpsp2res.dll,-10505"="允许运行或安装软体，即使签名无效"
"@inetcplc.dll,-4757"="在安全和非安全模式之间转换时发出警告"
"@inetcplc.dll,-4759"="对无效站点证书发出警告"
"@inetcplc.dll,-4752"="使用 SSL 2.0"
"@inetcplc.dll,-4753"="使用 SSL 3.0"
"@inetcplc.dll,-4760"="检查伺服器证书吊销（需要重启动）"
"@inetcplc.dll,-4758"="重定向提交的表单时发出警告"
"@inetcplc.dll,-4754"="使用 TLS 1.0"
"@inetcplc.dll,-4822"="HTTP 1.1 设定"
"@inetcplc.dll,-4823"="使用 HTTP 1.1"
"@inetcplc.dll,-4824"="通过代理连线使用 HTTP 1.1"
"@inetcplc.dll,-4744"="多媒体"
"@inetcplc.dll,-4741"="播放网页中的动画"
"@inetcplc.dll,-4871"="启用自动图像大小调整"
"@inetcplc.dll,-4865"="启用图像工具列（需要重启动）"
"@inetcplc.dll,-4742"="显示图片"
"@inetcplc.dll,-4843"="显示图像下载占位符"
"@inetcplc.dll,-4738"="智慧型图像抖动"
"@inetcplc.dll,-4739"="播放网页中的声音"
"@inetcplc.dll,-4740"="播放网页中的视频"
"@inetcplc.dll,-4769"="列印"
"@inetcplc.dll,-4770"="列印背景颜色和图像"
"@inetcplc.dll,-4771"="从地址栏中搜寻"
"@inetcplc.dll,-4844"="搜寻时"
"@inetcplc.dll,-4845"="显示结果，然后转到最相近的站点"
"@inetcplc.dll,-4847"="只在主视窗中显示结果"
"@inetcplc.dll,-4846"="转到最相近的站点"
"@inetcplc.dll,-4848"="不从地址栏中搜寻"
"D:\\Program Files\\PLSQL Developer\\plsqldev.exe"="PL/SQL Developer"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\POWERPNT.EXE"="Microsoft Office PowerPoint"
"@C:\\WINDOWS\\system32\\mstsc.exe,-4001"="从远程位置连线到计算机的桌面并运行应用程式，如同您坐在其控制台前面。"
"C:\\WINDOWS\\system32\\mstsc.exe"="Remote Desktop Connection"
"d:\\Downloads\\ExeSetupFav.exe"="ExeSetupFav Microsoft 基础类应用程式"
"C:\\WINDOWS\\system32\\YeskyComponents\\YComs.exe"="YComs Microsoft 基础类应用程式"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-32517"="系统列和「开始」选单"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22985"="资料夹选项"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22981"="字型"
"@C:\\WINDOWS\\system32\\SHELL32.dll,-22982"="管理工具"
"@C:\\WINDOWS\\system32\\mstask.dll,-3408"="任务计画"
"@C:\\WINDOWS\\system32\\wiashext.dll,-331"="扫瞄器和照相机"
"@C:\\Program Files\\Internet Explorer\\iexplore.exe,-702"="Internet Explorer"
"C:\\Program Files\\Bradbury\\TopStyle3\\unins000.exe"="Setup/Uninstall"
"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\_iu14D2N.tmp"="Setup/Uninstall"
"D:\\Downloads\\editplus\\TopStyle3\\TopStyle3\\TopStyle3.exe"="TopStyle"
"D:\\yuanwei\\VStart\\VStart.exe"="音速启动 - 您的启动专家"
"D:\\yuanwei\\VStart\\软体\\Mybase\\Mybase.exe"="Mybase"
"C:\\Program Files\\MPC\\mplayerc.exe"="Media Player Classic"
"C:\\Program Files\\Windows Media Player\\wmplayer.exe"="Windows Media Player"
"C:\\Program Files\\MPC\\GSpot.exe"="GSpot Codec Information Appliance (tm)"
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="MSN Messenger"
"C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE11\\MSOXMLED.EXE"="XML Editor"
"C:\\Program Files\\Microsoft Office\\OFFICE11\\INFOPATH.EXE"="Microsoft Office InfoPath"
"@shell32.dll,-30498"="档案和资料夹"
"@shell32.dll,-30506"="记住每个资料夹的视图设定"
"@shell32.dll,-30497"="在我的电脑上显示控制台"
"@shell32.dll,-30507"="在单独的进程中打开资料夹视窗"
"@shell32.dll,-30517"="不快取缩略图"
"@shell32.dll,-30514"="在资料夹提示中显示档案大小信息"
"@shell32.dll,-30511"="在资源管理器资料夹列表中显示简单资料夹查看"
"@shell32.dll,-30499"="隐藏档案和资料夹"
"@shell32.dll,-30501"="不显示隐藏的档案和资料夹"
"@shell32.dll,-30500"="显示所有档案和资料夹"
"@shell32.dll,-30503"="隐藏已知档案类型的扩展名"
"@shell32.dll,-30509"="自动搜寻网路资料夹和印表机"
"@shell32.dll,-30513"="在登录时还原上一个资料夹视窗"
"@shell32.dll,-30512"="用彩色显示加密或压缩的 NTFS 档案"
"@shell32.dll,-30504"="在标题栏显示完整路径"
"@shell32.dll,-30505"="在地址栏中显示完整路径"
"@shell32.dll,-30502"="滑鼠指向资料夹和桌面项时显示提示信息"
"@shell32.dll,-30518"="使用简单档案共享 （推荐）"
"@shell32.dll,-30508"="隐藏受保护的作业系统档案（推荐）"
"@shell32.dll,-30510"="显示系统资料夹的内容"
"@shell32.dll,-28964"="您已选择在 Windows 资源管理器中显示受保护的作业系统档案（标记为系统和隐藏的档案）。
这些档案是启动和运行 Windows 所必需的。删除或编辑它们会使您的计算机无法运行。
是否显示这些档案?"
"C:\\WINDOWS\\regedit.exe"="Registry Editor"
"@SHELL32.dll,-9227"="我的文档"
标识特殊的资料夹图示
IconResource=%SystemRoot%\system32\imageres.dll,-112
这一行可以将系统资料夹《我的文档》的显示改成原系统图示
更多的标识如下
-108 我的音乐
-112 我的文档
-113 我的图片
-115 收藏夹
-183 桌面
-184 下载
-185 连结
-186 游戏
-189 我的视频
病毒
简介
该病毒为Windows平台下集成执行档感染、网路感染、下载网路木马或其它病毒的複合型病毒，病毒运行后将自身伪装成系统正常档案，以迷惑用户，通过修改注册表项使病毒开机时可以自动运行，病毒通过执行绪注入技术绕过防火墙的监视，连线到病毒作者指定的网站下载特定的木马或其它病毒，病毒运行后枚举区域网路的所有可用共享，并尝试通过弱口令方式连线感染目标计算机。
运行过程过感染用户机器上的执行档，造成用户机器运行速度变慢，破坏用户机器的执行档，给用户安全性构成危害。
病毒主要通过已分享资料夹、档案捆绑、运行被感染病毒的程式、可带病毒的邮件附属档案等方式进行传播。
病毒行为
1、病毒运行后将自身複製到Windows资料夹下，档案名称为
%SystemRoot%\rundl132.exe
2、运行被感染的档案后，病毒将病毒体複製到为以下档案
%SystemRoot%\logo_1.exe
3、病毒会在病毒资料夹下生成
病毒目录\vdll.dll
4、病毒从Z盘开始向前搜寻所有可用分区中的exe档案，然后感染所有大小27kb-10mb的执行档，感染完毕在被感染的资料夹中生成
_desktop.ini （档案属性系统、隐藏。）
5、病毒会尝试修改%SysRoot%\system32\drivers\etc\hosts档案。
6、病毒通过添加如下注册表项实现病毒开机自动运行
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"load"="C:\\WINNT\\rundl132.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"load"="C:\\WINNT\\rundl132.exe"
7、病毒运行时尝试查找窗体名为"RavMonClass"的程式，查找到窗体后传送讯息关闭该程式。
8、枚举以下防毒软体进程名，查找到后终止其进程
Ravmon.exe
Eghost.exe
Mailmon.exe
KAVPFW.EXE
IPARMOR.EXE
Ravmond.exe
9、病毒尝试利用以下命令终止相关杀病毒软体
net stop "Kingsoft AntiVirus Service"
10、传送ICMP探测数据"Hello,World"，判断网路状态，网路可用时，
枚举区域网路所有共享主机，并尝试用弱口令连线\\IPC$、\admin$等已分享资料夹，连线成功后进行网路感染。
11、感染用户机器上的exe档案，但不感染以下资料夹中的档案
system
system32
windows
Documents and settings
system Volume Information
Recycled
winnt
Program Files
Windows NT
WindowsUpdate
Windows Media Player
Outlook Express
Internet Explorer
ComPlus Applications
NetMeeting
Common Files
Messenger
Microsoft Office
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gaming Zone
12、枚举系统进程，尝试将病毒dll(vdll.dll）选择性注入以下进程名对应的进程
Explorer
Iexplore
找到符合条件的进程后随机注入以上两个进程中的其中一个。
13、当外网可用时，被注入的dll档案尝试连线一些网站下载并运行相关程式，位置具体为c:\1.txt、%SystemRoot%\0Sy.exe、%SystemRoot%\1Sy.exe、%SystemRoot%\2Sy.exe
14、病毒会将下载后的"1.txt"的内容添加到以下相关注册表项
[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW]
"auto"="1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows]
"ver_down0"="[boot loader]\\\\\\\\\\\\\\\\ "
"ver_down1"="[boot loader]
timeout=30
[operating systems]
multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS=\"Microsoft Windows XP Professional\" ////"
"ver_down2"="default=multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS=\"Microsoft Windows XP Professional\" /////"
清除方法
1、释放自身以及感染exe档案后生成
C:\WINDOWS\rundl132.exe
C:\WINDOWS\logo_1.exe
病毒所在目录\vidll.dll
2、添加注册表信息
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
“load” “C:\WINDOWS\rundl132.exe”
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
“load” “C:\WINDOWS\rundl132.exe”
[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW]
“auto”=“1”
3、感染部分exe档案，并在被感染exe档案所在目录释放_desktop.ini
4、修改hosts档案
C:\WINDOWS\system32\drivers\etc\hosts
5、vidll.dll插入到进程explorer.exe或iexplore.exe
6、停掉部分安全软体的进程
解决过程
1、关闭rundl132.exe的进程，并删除
C:\WINDOWS\rundl132.exe
2、搜寻找到并删除vidll.dll
可以通过SSM自动启动来禁用vidll.dll，重新启动后删除vidll.dll
或停止其插入的进程，再删除该dll档案，如果它插入了explorer.exe这个进程，那幺
打开任务管理器（ALT CTRL Delete），结束掉explorer.exe这个进程，删除vidll.dll档案
然后用任务管理器上面的标籤 档案===新建任务===浏览，找到并运行
C:\WINDOWS\Explorer.exe
3、删除其在注册表中创建的信息及其他病毒档案_desktop.ini、logo_1.exe
4、修复被更改的hosts档案，hosts档案用记事本打开
C:\WINDOWS\system32\drivers\etc\hosts
DESKTOP
电脑中了desktop.ini病毒之后会在硬碟所有的分区内创建若干个诸如desktop_1.ini、desktop_2.ini之类的病毒体，一般在系统下删除这些档案中的任何一个，病毒马上就会新建一个一样的档案。通常遇到这样的病毒体，我们可以一次性在DOS下删除所有分区的病毒体，这个就需要藉助批处理了。具体做法如下
打开记事本，然后複製如下代码进去
再改成bat格式
cd \
c:
del Desktop_.ini /f /s /q /ah
cd \
d:
del Desktop_.ini /f /s /q /ah
cd \
e:
del Desktop_.ini /f /s /q /ah
cd \
f:
del Desktop_.ini /f /s /q /ah
cd \
g:
del Desktop_.ini /f /s /q /ah
然后双击运行即可删除所有的病毒体了。
常见疑问
1管理工具资料夹里面的desktop.ini中[LocalizedFileNames]这个什幺意思？
答[LocalizedFileNames]是“局限性档案名称称”也就是控制档案的标识。
2一个desktop.ini里面
[.shellclassinfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21762
这个起什幺作用？
前面LocalizedResourceName这个又是起什幺作用？
后面-21762这个又是起什幺作用？根据什幺原理？
答LocalizedResourceName是“局限性资源名称”后面的是名称引用的地址，注意SHELL32.DLL动态程式库中记录了很多这类的信息，还包括图示ICO的地址，的-21762是一个ID，也可以理解成INDEX索引。
3一个desktop.ini里面
InfoTip是指向资料夹时的说明，
infotip=@Shell32.dll,-12690这个什幺意思
答参考第二个问题就不难理解了，infotip是“信息提示”后边连线还是SHELL32.DLL。后面的-12690也是一个索引编号。
4一个desktop.ini里面
IconFile是指图示的资料夹路径
IconFile=%SystemRoot%\system32\SHELL32.dll
ICONINDEX=-238是指图表档案名称，
-238是哪个图示，这些图示放在哪个资料夹，
怎幺可以清楚的看到这些图示的列表，
以及外面引用的数字代表的是哪个图示，比如说-238是代表哪个图示。
答继续参考前两个问题的答案，ICONFILE是“ICO图示档案”，后面的我不再多解释了。至于如何找到这个图示，可以通过任意一个捷径的属性中的选择图示选项中查找图片，然后再对照索引来定位所指定的图片。
5一个desktop.ini里面
[DeleteOnCopy]
Owner=Jed
Personalized=14
PersonalizedName=My Videos
这些什幺意思？
答这应该是“我的文档”中“我的视频”资料夹中的desktop.ini。“Owner=Jed”的意思是当前资料夹是属于“Jed”这个用户的，“Personalized=14”的意思是私人使用的私有化属性，14是什幺意思没弄明白，“PersonalizedName=My Videos”的意思是此私有文档名称为“My Videos”。
6一个desktop.ini里面，开头
； ==++==
；
； Copyright (c) Microsoft Corporation. All rights reserved.
；
； ==--==
这些是什幺意思？
是不是跟HTML代码的<!-- -->；中注释的功能一样呢？
如果是，那具体的格式是什幺？
答这个很简单，是指此段代码的所有权为“Microsoft”。这个很多地方都能看到，比如很多网站下面会写明“Copyright (c) 某某公司 Corporation. All rights reserved.”意思就是所有权归属。
7一个desktop.ini里面
[.ShellClassInfo]
CLSID=
ConfirmFileOp=1
InfoTip=Contains application stability information.
这个什幺意思？
答这应该是受系统保护的资料夹中的desktop.ini，是用来指明ShellClass信息的，“CLSID=”是指class的ID在注册表中的地址是“1D2680C9-0E2A-469d-B787-065558BC7D43”，“InfoTip=Contains application stability information”为信息提示。请参考第3个问题的答案。
8xp字型档夹（c:\windows\fonts\）中的desktop.ini
[.ShellClassInfo]
UICLSID=
这个什幺意思？
答参考第7个问题不难理解，“UICLSID=”的意思是字型样式的ID在注册表中的地址为“BD84B380-8CA2-1069-AB1D-08000948F534”。
9xp中C:\Documents and Settings\Default User\SendTo\desktop.ini中的
[LocalizedFileNames]
邮件接收者.MAPIMail=@sendmail.dll,-4
桌面捷径.DeskLink=@sendmail.dll,-21
什幺意思？
答“LocalizedFileNames”的意思就不说了，前面有。后面的问题直接按英文意思解释就可以了，一个是“邮件接收者”一个是“桌面捷径”，分别使用的动态程式库都是“sendmail.dll”只是ID不同，一个是4、一个是21。
10一个desktop.ini
-----------------------------------
[.shellclassinfo]
iconindex=mainicon
iconfile=d:\千千静听\\ttplayer.exe
-----------------------------------
中的mainicon改成1或者2的话，外面资料夹的图示会改变，
iconfile=.是支持什幺格式的图示呢？我只知道exe程式图示是支持的，ico格式应该也能支持，
试了BMP。JPG之类的都是不支持的。
答“iconindex=mainicon ”的意思是ICO图示索引为主图片，也就是默认图示。“iconfile=d:\千千静听\\ttplayer.exe ”说明图示档案的位置是“d:\千千静听\\ttplayer.exe ”，这里要解释一下，一般EXE档案中都包含ICO图示档案，还有就是WINDOWS的图示不支持BMP、JPG、GIF等图片格式，如果想使用的话可以用ICO档案转换工具进行转换，在编程软体中都会提供此类转换功能。
11ConfirmFileOp=0这句什幺意思？
答确认档案选项为0，表示删除时，系统不会给出警告。至于0代表什幺设定个人估计是默认设定，不行你换成1看看有什幺变化。]