記事本神技：利用檔案關聯變更隔離病毒、恢復 EXE 執行與手動清除惡意程式

Windows 內建「記事本」除編輯文字外，透過 ftype 指令修改檔案關聯，可將所有 .exe 檔案關聯至記事本開啟，使病毒無法執行，進而手動定位、刪除惡意檔案。本文詳細說明六步驟操作流程、ftype 語法詳解與風險控管。

核心原理

Windows 依據登錄 HKEY_CLASSES_ROOT\.exe → exefile → shell\open\command 決定 .exe 執行方式。ftype exefile=notepad.exe %1 將開啟命令改為記事本，病毒雙擊/自動執行時僅以文字形式開啟，無法感染、傳播、竊取資料。

六步驟實戰流程

步驟 1：開啟命令提示字元

Win+R → cmd → Enter (建議以系統管理員身分執行)。

步驟 2：將 .exe 關聯至記事本

ftype exefile=notepad.exe %1

執行後，所有 .exe 雙擊將以記事本開啟，病毒停止運作。

步驟 3：重新開機觀察

重開機後，螢幕將彈出大量記事本視窗 (含病毒檔、系統檔、輸入法等啟動項)。請勿關閉，這些視窗是尋找病毒路徑的關鍵。

步驟 4：恢復命令提示字元存取

1. 任意檔案右鍵 → 「開啟方式」 → 「選擇其他應用程式」 → 「更多應用程式」 → 向下捲動 → 「尋找此電腦上的其他應用程式」。
2. 瀏覽至 C:\Windows\System32\cmd.exe 選取。
3. 現在可正常開啟命令提示字元。

步驟 5：恢復 .exe 原始關聯並掃毒

ftype exefile="%1" %*

執行後 .exe 恢復可直接執行。立即執行完整掃毒 (Windows Defender / 第三方殺毒) 或手動修改登錄刪除病毒啟動項。

步驟 6：從記事本視窗定位並刪除病毒檔案

1. 每個記事本視窗：選單「檔案」→「另存新檔」。
2. 「另存新檔」對話框會顯示該檔案完整路徑與檔名。
3. 記錄可疑路徑/檔名 (特別是 Temp、AppData、Startup、System32 下非系統檔)。
4. 確認為惡意程式後，重新開機進入安全模式手動刪除，或改名副檔名為 .vir 觀察系統穩定後再刪除。

ftype 指令語法完整解析

風險控管與替代方案

適用情境

• 無法安裝/執行殺毒軟體的嚴重感染環境。
• 需快速定位病毒檔案路徑進行手動清除。
• 教學/實驗環境理解檔案關聯機制。