記事本神技：ftype 指令劫持 .exe 關聯，繞過病毒封鎖啟動命令提示字元手動清毒

當病毒修改登錄、劫持 `.exe` 執行關聯、植入殼層、禁止執行殺毒軟體、甚至禁用工作管理員/登錄編輯器/安全模式時，一個鮮為人知的 `ftype` 指令技巧能以「記事本」為跳板，奪回系統控制權。本文詳細拆解這招「以毒攻毒」的實戰流程與原理。

核心原理：ftype 修改檔案類型關聯的執行命令

`ftype` 指令對應登錄機碼 `HKEY_CLASSES_ROOT\\shell\open\command`。預設 `exefile` 類型關聯命令為：

exefile="%1" %*

即：直接執行程式本身 (`%1`) 並傳遞參數 (`%*`)。

將其改為：

exefile=notepad.exe %1

所有 `.exe` 雙點執行時，將改以記事本開啟程式二進位內容。病毒程式無法正常啟動，惡意行為被凍結。

實戰六步驟流程

步驟 1：以系統管理員身分開啟命令提示字元

Win+R → `cmd` → Ctrl+Shift+Enter (或右鍵「以系統管理員身分執行」)。

步驟 2：劫持 .exe 關聯至記事本

ftype exefile=notepad.exe %1

執行後，雙點任何 `.exe` (含病毒、系統程式、殺毒軟體) 皆開啟記事本顯示亂碼。

步驟 3：重新開機，觀察記事本大量彈出

開機啟動項、服務、殼層擴充套件嘗試執行 `.exe` 皆被導向記事本。病毒主程式、監視程式、殼層啟動器全部凍結。系統核心服務 (非 `.exe` 如 `svchost.exe` 載入 DLL) 仍正常運作，桌面可進入。

步驟 4：透過「開啟方式」取回命令提示字元

1. 右鍵任意檔案 (如 `.txt`) → 「開啟方式」 → 「選擇其他應用程式」 → 「更多應用程式」 → 「查看電腦上的其他應用程式」。
2. 瀏覽至 `C:\Windows\System32\cmd.exe` → 選取 → 確定。
3. 命令提示字元成功啟動 (繞過 `.exe` 關聯，直接呼叫 `cmd.exe` 二進位)。

步驟 5：還原 .exe 關聯，恢復正常執行環境

ftype exefile="%1" %*

或標準完整形式：

ftype exefile="%1" %*

立即生效，無需重開機。此時可正常執行殺毒軟體、系統工具、登錄編輯器。

步驟 6：從記事本視窗識別並手動清除病毒檔案

1. 每個彈出的記事本視窗：選單「檔案」→「另存新檔」→ 觀察「儲存位置」與「檔名」 → 記錄完整路徑。
2. 交叉比對：啟動資料夾 (`shell:startup`)、登錄 `Run`/`RunOnce`、服務映像路徑、排程工作、瀏覽器擴充套件資料夾。
3. 將確認的病毒檔案**重新命名** (如 `.exe.vir`) 而非直接刪除，重開機驗證系統穩定後再清除。
4. 執行完整掃描 (離線掃描最佳) 確保無殘留。

ftype 進階用法速查

風險與限制

• 會影響所有 `.exe` 執行，含系統關鍵程式 (`explorer.exe` 重啟可能失敗)、殺毒軟體即時掃描器。
• 僅對透過 ShellExecute/雙點觸發的 `.exe` 有效；服務控制管理器 (SCM) 直接啟動服務二進位、工作排程器直接呼叫 `.exe`、命令列直接輸入路徑執行**不受影響**。
• 部份進階病毒使用 DLL 注入、驅動層、WMI、排程工作、PowerShell 腳本持久化，不經由 `.exe` 關聯執行，此法無效。
• 操作錯誤可能導致系統無法正常操作，需具備基本命令列與登錄編輯能力。

優先替代方案

1. 安全模式 / 安全模式帶命令提示字元：最標準、風險最低的清毒環境。
2. Windows RE (復原環境) / PE 系統啟動離線掃描：繞過作業系統核心，根除 Rootkit、鎖定檔案。
3. Microsoft Safety Scanner / Windows Defender Offline：官方免費離線掃描工具。

此 `ftype` 技巧屬於「絕境求生」非常手段，適用於無法進入安全模式、無 PE/光碟/USB、病毒封鎖所有圖形介面工具但命令提示字元仍可短暫存取的極端情境。平時請以標準清毒流程為主。