Apakah folder WOW64 dan SysWOW64 dan untuk apa ia digunakan dalam Windows?

Informatec Digital » Sumber » Apakah folder WOW64 dan SysWOW64 dan untuk apa ia digunakan dalam Windows?

Jika anda pernah membuka Pengurus Tugas Windows kerana komputer anda berjalan lebih perlahan daripada biasa, anda mungkin pernah menemui proses pelik yang merujuk kepada SysWOW64 atau folder C:\Windows\SysWOW64 yang misteri . Kadangkala ia seolah-olah menggunakan banyak memori, anda tidak dapat menamatkan tugas, dan sudah tentu, loceng penggera mula berbunyi: "Bagaimana jika ini virus?"

Tambahan pula, apabila anda cuba menavigasi ke lokasi fail dari dalam Pengurus Tugas, anda mendapati bahawa folder tersebut mengandungi beratus-ratus fail .dll dan .exe , yang dengan mudah mencapai saiz beberapa gigabait. Lebih buruk lagi, Windows tidak akan membenarkan anda memadamkannya seperti folder lain. Memang difahami bahawa ini mungkin membimbangkan, tetapi perkara pertama yang perlu anda ketahui ialah SysWOW64, secara lalai, bukanlah virus , tetapi sebaliknya merupakan bahagian penting dalam sistem pengendalian.

Apakah WOW64, SysWOW64, dan mengapa folder pelik ini wujud?

Dalam sistem Microsoft moden, versi Windows 64-bit direka bentuk untuk serasi dengan aplikasi 64-bit dan program 32-bit yang lebih lama. Untuk mencapai matlamat ini, Windows mengintegrasikan teknologi yang dipanggil WOW64 (Windows pada Windows 64) , yang bertindak sebagai sejenis "penterjemah" antara aplikasi 32-bit dan sistem pengendalian 64-bit.

Komponen WOW64 ini menyediakan lapisan keserasian yang membolehkan program 32-bit menganggap ia berjalan pada sistem Windows 32-bit biasa, walaupun ia sebenarnya berjalan pada sistem 64-bit. Untuk mencapai matlamat ini, sistem ini menggunakan gabungan pengalihan fail dan pendaftaran , dan satu set pustaka yang mengendalikan terjemahan dan pertukaran konteks antara sistem 32-bit dan 64-bit.

Folder SysWOW64 adalah sebahagian daripada mekanisme ini . Pada sistem Windows 64-bit, anda akan menemui dua direktori sistem utama: C:\Windows\System32 dan C:\Windows\SysWOW64 . Walaupun namanya begitu, System32 mengandungi pustaka dan fail boleh laku 64-bit, manakala SysWOW64 menyimpan versi 32-bit yang diperlukan untuk program lama.

Organisasi yang nampaknya bercanggah ini berpunca daripada soal keserasian dengan perisian legasi . Ramai pembangun telah mengekod laluan C:\Windows\System32 ke dalam kod mereka , dengan mengandaikan bahawa folder ini akan sentiasa mengandungi pustaka sistem. Untuk mengelakkan kerosakan perisian ini apabila beralih kepada 64-bit, Microsoft memutuskan bahawa System32 akan kekal sebagai direktori "utama" sistem, yang kini mengandungi binari 64-bit, dan mencipta SysWOW64 untuk menempatkan yang 32-bit.

Pendek kata, WOW64 dan SysWOW64 membenarkan aplikasi 32-bit yang lebih lama berjalan tanpa perubahan dalam persekitaran 64-bit, mengurus perbezaan seni bina secara telus kepada pengguna.

Perbezaan antara Windows 32-bit dan 64-bit: RAM, program dan keserasian

Selama bertahun-tahun, kebanyakan komputer yang dijual kepada orang ramai menggunakan seni bina 32-bit dan versi Windows 32-bit. Dalam sistem ini, had praktikal RAM yang boleh digunakan biasanya antara 3 dan 4 GB , kerana sebahagian daripada ruang alamat dikhaskan untuk kad grafik dan peranti lain.

Dengan ketibaan pemproses dan sistem pengendalian 64-bit yang berpatutan seperti Windows 7 dan yang lebih baharu , pasaran telah membuat lonjakan besar kepada seni bina 64-bit. Sistem Windows 64-bit boleh mengendalikan jumlah memori yang jauh lebih besar, mencapai puluhan atau ratusan gigabait RAM dalam beberapa edisi , yang membuka pintu kepada aplikasi yang lebih mencabar dan prestasi keseluruhan yang lebih baik, terutamanya dalam persekitaran profesional.

Pada sistem 64-bit, anda boleh menjalankan program 64-bit asli dan, terima kasih kepada WOW64, juga aplikasi 32-bit klasik. Emulator WOW64 memastikan bahawa program 32-bit masih melihat persekitaran yang serupa dengan sistem Windows 32-bit, dengan pustaka dan laluan sistemnya sendiri , walaupun semuanya berfungsi secara berbeza di bawah hud.

Kebanyakan program 32-bit tidak perlu tahu sama ada ia benar-benar berjalan pada sistem 32-bit atau 64-bit. Hanya dalam kes yang sangat spesifik, apabila perisian perlu membezakan antara seni bina, ia mungkin menggunakan API Windows tertentu untuk mengetahuinya. Bagi pengguna biasa, perkara penting ialah, secara amnya, tiada apa-apa yang istimewa perlu dilakukan : sistem mengendalikannya secara automatik.

Walau bagaimanapun, terdapat beberapa pengecualian penting . Aplikasi peringkat sangat rendah tertentu, seperti banyak program antivirus lama, pemacu atau alat keselamatan yang berinteraksi secara langsung dengan kernel, memerlukan versi 64-bit tertentu untuk berfungsi dengan betul pada sistem Windows 64-bit. Dalam kes ini, versi 32-bit mungkin tidak serasi atau mungkin sangat terhad.

Folder System32, SysWOW64 dan Program Files: kandungan setiap satu

Apabila anda memasang Windows 64-bit pada komputer yang serasi, beberapa folder sistem dan program akan muncul , yang mungkin mengelirukan pada mulanya. Pada peringkat cakera, laluan utama yang perlu anda ketahui ialah:

• C: \ Windows \ System32: Folder sistem Windows yang, pada sistem 64-bit, menyimpan Perduaan 64-bit (boleh laku dan DLL).
• C: \ Windows \ SysWOW64: folder sistem yang dikhaskan untuk Fail 32-bit yang menggunakan aplikasi 32-bit di bawah WOW64.
• C:\Program Files (o C: Fail Program): direktori yang bertujuan untuk Program 64-bit dan fail-fail yang berkaitan dengannya.
• C:\Program Files (x86) (o C: \ Program Files (x86)): folder tempat Program 32-bit pada sistem Windows 64-bit.

Butiran yang paling membingungkan ialah folder System32 mengandungi kod 64-bit , manakala SysWOW64 penuh dengan fail 32-bit. Ini adalah sebaliknya daripada apa yang dijangkakan hanya dengan melihat namanya. Sebabnya, seperti yang telah disebutkan, adalah untuk mengekalkan keserasian dengan perisian lama yang menjangkakan untuk mencari sumber sistem dalam System32.

Dalam praktiknya, Windows secara telus mengalihkan banyak panggilan cakera. Apabila aplikasi 32-bit cuba mengakses C:\Windows\System32 , subsistem WOW64 mengalihkan permintaan tersebut ke C:\Windows\SysWOW64 , jadi program memuatkan pustaka 32-bit yang sesuai tanpa menyedari helahnya.

Berkenaan folder program, perkara yang serupa berlaku. Aplikasi 64-bit dipasang secara lalai dalam Fail Program , manakala aplikasi 32-bit pergi ke Fail Program (x86) . Jika pemasang direka bentuk dengan baik, ia akan mengesan seni bina sistem dan meletakkan setiap binari dalam folder yang betul untuk mengelakkan konflik.

Walaupun sesebuah program mungkin berfungsi walaupun anda meletakkannya di folder yang "salah", adalah lebih baik untuk sentiasa menghormati struktur ini . Jika sesebuah aplikasi meminta laluan "Fail Program" daripada Windows dan anda telah memasangnya di lokasi yang salah, ia mungkin akan mencari fail sokongan dalam direktori yang salah dan gagal dengan cara yang sukar untuk didiagnosis.

Apakah maksud WOW64 dan x86: sedikit sejarah

Istilah WOW64 berasal daripada "Windows pada Windows 64," yang boleh difahami sebagai "Windows 32-bit yang berjalan di atas Windows 64-bit." Ia merupakan komponen yang membolehkan aplikasi 32-bit berjalan pada sistem pengendalian 64-bit tanpa memerlukan sebarang campur tangan pengguna khas. Ia mencapai matlamat ini dengan menyediakan lapisan keserasian yang menterjemahkan panggilan antara kedua-dua sistem pengendalian.

Untuk menjalankan tugasnya, WOW64 bergantung pada beberapa pustaka pautan dinamik (DLL) yang sangat spesifik :

• wow64.dll: bertindak sebagai antara muka utama, menterjemahkan panggilan 32-bit kepada panggilan yang setara dengan 64-bit.
• wow64win.dll: menyediakan titik masuk yang digunakan oleh aplikasi untuk berinteraksi dengan subsistem 64-bit.
• wow64cpu.dllIa bertanggungjawab untuk mengurus perubahan mod pelaksanaan antara 32 dan 64 bit dalam pemproses.

Sebaliknya, istilah x86 merujuk kepada keluarga pemproses Intel (8086, 80186, 80286, 80386, dll.) yang berkongsi set arahan yang serasi. Lama-kelamaan, dan terutamanya sejak 80386 yang legenda, penggunaannya menjadi meluas untuk merujuk secara amnya kepada seni bina 32-bit yang serasi dengan set arahan tersebut . Hari ini, apabila anda melihat "x86," ia hampir selalu bermaksud "32-bit."

Konvensyen penamaan ini tercermin dalam Windows dalam folder Program Files (x86) , yang jelas menunjukkan bahawa ia adalah direktori yang dikhaskan untuk perisian 32-bit . Sebaliknya, folder Program Files tanpa akhiran dikaitkan dengan aplikasi 64-bit.

System32, SysWOW64 dan Pendaftaran Windows

Kewujudan aplikasi 32-bit dan 64-bit bukan sahaja mempengaruhi folder fail tetapi juga Windows Registry itu sendiri . Sama seperti terdapat laluan berasingan untuk binari 32-bit dan 64-bit, terdapat kekunci berbeza untuk memastikan konfigurasi setiap jenis aplikasi berasingan.

Dalam sistem 32-bit (x86) , entri penyahpasangan program biasanya disimpan dalam kunci:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall

Pada sistem 64-bit (x64) , Windows memperkenalkan nod tambahan di bawah Wow6432Node untuk mengendalikan program 32-bit yang berjalan di bawah WOW64. Dalam kes ini, laluan biasa untuk menyahpasang aplikasi 32-bit ialah:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall

Dengan cara ini, sistem ini memastikan konfigurasi dan rujukan 32-bit dan 64-bit berasingan , menghalang satu aplikasi daripada mudah mengganggu aplikasi yang lain hanya dengan berkongsi nama kunci atau nilai. Ini amat penting untuk pemasang, pengemas kini dan alat penyelenggaraan jarak jauh yang perlu membezakan versi program yang dipasang. Jika anda perlu memaksa penyahpasangan atau membersihkan entri pendaftaran yang bermasalah, terdapat panduan khusus yang menerangkan cara melakukannya dengan betul.

Adakah SysWOW64 sejenis virus atau bolehkah saya memadamkannya sahaja?

Salah satu ketakutan yang paling biasa ialah folder SysWOW64 adalah virus atau sesuatu yang berbahaya kerana ia memakan banyak ruang, muncul dalam Pengurus Tugas dan sukar untuk dipadam . Realitinya ialah SysWOW64 ialah folder sistem yang sah, penting untuk pengendalian Windows 64-bit.

Dalam keadaan biasa, SysWOW64 menyimpan fail .dll dan .exe 32-bit yang diperlukan oleh program yang berjalan di bawah WOW64. Ia boleh menempati beberapa gigabait, dan sesetengah pengguna juga melaporkan saiznya menghampiri 40 GB , terutamanya pada sistem lama dengan banyak aplikasi yang dipasang. Ini boleh menyebabkan komputer anda menjadi perlahan atau kehabisan ruang cakera; untuk memulihkan ruang, anda boleh merujuk arahan tentang cara mengalih keluar aplikasi yang tidak diperlukan dalam Windows 11, tetapi ia tidak semestinya bermakna ia berbahaya.

Apa yang boleh berlaku ialah pembangun perisian hasad mengeksploitasi nama SysWOW64 untuk menyembunyikan ciptaan mereka. Dalam erti kata lain, mereka tidak memanipulasi folder sistem asal, sebaliknya mencipta fail atau proses dengan nama yang hampir serupa untuk mengelakkan pengesanan. Dengan cara ini, pengguna yang tidak curiga boleh tersilap menganggap Trojan sebagai komponen sistem yang sah.

Jika anda mengesyaki sesuatu yang tidak kena, adalah dinasihatkan untuk mengimbas sistem anda dengan program antivirus atau anti-perisian intip yang baik dan terkini dan melakukan imbasan penuh. Alat seperti Malwarebytes dan produk keselamatan terkenal yang lain boleh mengesan proses berniat jahat yang cuba menyamar menggunakan nama fail sistem.

Jika imbasan penuh oleh perisian keselamatan tidak mengesan sebarang ancaman yang berkaitan dengan SysWOW64, tiada gunanya cuba memadam folder tersebut. Malah, memadam SysWOW64 secara manual boleh menyebabkan Windows tidak boleh digunakan atau menyebabkan ralat serius apabila cuba menjalankan aplikasi 32-bit.

Cara untuk mengetahui sama ada SysWOW64 yang anda lihat adalah sah atau perisian hasad

Walaupun direktori C:\Windows\SysWOW64 sah, tiada apa yang menghalang perisian berniat jahat daripada menggunakan nama yang sama atau hampir serupa di lokasi lain, atau daripada mendaftar sebagai proses latar belakang untuk menggunakan CPU dan memori secara berlebihan . Ini adalah teknik biasa, terutamanya di kalangan Trojan dan cryptominer.

Satu petanda jelas bahawa ada sesuatu yang tidak kena ialah perasan bahawa komputer mula berjalan dengan sangat perlahan, kipas berputar tanpa sebab yang jelas, atau penggunaan CPU melonjak secara konsisten melebihi 80-90%. Jika anda melihat proses dalam Pengurus Tugas dengan nama yang berkaitan dengan SysWOW64 dan penggunaan sumber yang tidak seimbang, adalah wajar untuk disiasat.

Pada ketika itu, anda boleh klik kanan pada proses tersebut dan pilih "Buka lokasi fail ." Jika fail boleh laku tidak berada dalam laluan sistem biasa atau berada dalam folder yang mencurigakan dalam AppData, Temp atau lokasi luar biasa yang lain, kemungkinan besar ia adalah perisian hasad yang menyamar sebagai komponen Windows.

Selain pengimbasan manual, imbasan penuh dengan suit keselamatan adalah penting . Banyak Trojan diedarkan melalui e-mel dengan lampiran yang dijangkiti, muat turun cetak rompak, retak, keygen atau iklan berniat jahat yang mengalihkan pengguna ke laman web yang diceroboh. Sebaik sahaja fail dilaksanakan, perisian hasad akan memuat turun secara senyap, mencipta proses yang berterusan dan boleh menggunakan nama yang sah untuk memperdaya pengguna.

Jika alat keselamatan anda mengesan fail berniat jahat bernama SysWOW64 atau sesuatu yang serupa, anda harus membiarkan perisian antivirus mengendalikan penyingkiran atau kuarantin komponen yang dijangkiti. Adalah penting untuk tidak menyentuh folder C:\Windows\SysWOW64 asal jika imbasan menunjukkan ia bersih.

Langkah lanjutan untuk merawat jangkitan berkaitan SysWOW64

Dalam situasi yang lebih serius, terutamanya apabila berurusan dengan ransomware, Trojan berterusan atau pelombong mata wang kripto , pembersihan sistem yang lebih teliti mungkin diperlukan. Walau bagaimanapun, sebarang manipulasi manual fail sistem membawa risiko yang wujud dan hanya disyorkan untuk pengguna yang berpengalaman.

Teknik biasa adalah dengan memulakan semula komputer dalam Mod Selamat dengan Rangkaian . Dalam persekitaran yang terhad ini, Windows hanya memuatkan perkhidmatan penting, menyukarkan banyak program perisian hasad untuk dijalankan atau dimuat semula semasa permulaan. Dari situ, lebih mudah untuk mencari dan memadam proses yang mencurigakan.

Untuk melakukan ini dalam Windows 7, Vista atau XP, anda boleh memulakan semula komputer anda dan menekan kekunci seperti F8 (atau kekunci lain, bergantung pada papan induk) berulang kali sehingga anda mengakses Pilihan Permulaan Lanjutan , di mana Mod Selamat dengan Rangkaian tersedia. Dalam Windows 8 dan Windows 10 , prosedurnya melibatkan membuka Tetapan, pergi ke Kemas Kini & Keselamatan , memasuki bahagian Pemulihan dan menggunakan pilihan permulaan lanjutan untuk mengakses pilihan but, termasuk Mod Selamat.

Sebaik sahaja berada dalam mod selamat, anda boleh menggunakan Pengurus Tugas untuk menyemak proses latar belakang, mencari mana-mana yang kelihatan mencurigakan, membuka lokasi cakera mereka dan, selepas tugas tamat, padam fail yang berkaitan . Proses ini harus dilengkapi dengan imbasan sistem penuh menggunakan alat anti-perisian hasad.

Ia juga berguna untuk menyemak program yang berjalan semasa permulaan daripada tab "Permulaan" Pengurus Tugas, melumpuhkan sebarang entri yang mencurigakan. Selain itu, anda boleh menjalankan Pembersihan Cakera Windows untuk memadam fail sementara, muat turun yang tidak perlu dan sisa-sisa lain yang digunakan oleh sesetengah perisian hasad untuk disembunyikan.

Amalan keselamatan dan sandaran yang baik

Walaupun SysWOW64 merupakan komponen yang sah, perisian hasad yang mengeksploitasi namanya boleh membuka pintu kepada serangan yang lebih kompleks , seperti ransomware yang menyulitkan fail anda atau Trojan yang mencuri maklumat sensitif. Itulah sebabnya menggabungkan beberapa langkah pencegahan adalah penting.

Pertama sekali, adalah dinasihatkan untuk sentiasa mengemas kini perisian antivirus atau anti-perisian hasad anda , yang mampu mengesan ancaman terkini. Tetapi penting juga untuk menyemak semula e-mel yang anda terima secara kritis, elakkan membuka lampiran daripada sumber yang meragukan, dan berhati-hati dengan pautan yang dipendekkan, tawaran yang kelihatan terlalu bagus untuk menjadi kenyataan, dan muat turun perisian tidak rasmi.

Satu lagi lapisan perlindungan penting adalah membuat sandaran data penting anda secara berkala. Jika ransomware berjaya menyulitkan dokumen, foto atau projek anda, mempunyai sandaran terkini boleh bermakna perbezaan antara memulihkan semuanya dan mengalami kerugian yang tidak dapat dipulihkan.

Dalam persekitaran yang mana privasi merupakan faktor utama, adalah wajar untuk mempertimbangkan penggunaan VPN yang dipercayai bagi mencegah jenis penjejakan tertentu dan melindungi sambungan anda daripada serangan pada rangkaian awam. Walaupun ini tidak melindungi secara langsung daripada SysWOW64 atau penirunya, ia menyumbang kepada peningkatan keselamatan sistem secara keseluruhan.

Apabila anda menggabungkan amalan penyemakan imbas yang baik, sistem terkini, perisian keselamatan yang andal dan tabiat bertanggungjawab dengan fail yang anda muat turun , anda dapat mengurangkan kemungkinan perisian hasad menyamar dengan nama seperti SysWOW64 tanpa anda sedari.

Folder SysWOW64 dan teknologi WOW64 merupakan komponen utama yang membolehkan Windows 64-bit menjalankan aplikasi 32-bit secara normal, bergantung pada laluan khas seperti SysWOW64, System32 dan Fail Program (x86), serta kunci pendaftaran berasingan. Walaupun sesetengah virus mengeksploitasi nama-nama ini untuk menyembunyikan diri, folder asal tidak boleh dipadamkan. Apa yang benar-benar penting ialah menggabungkan analisis keselamatan, akal sehat dan sandaran untuk memastikan sistem anda stabil, pantas dan bebas ancaman tanpa mengorbankan keserasian dengan perisian sedia ada anda.

Artikel berkaitan:

Bagaimana untuk memaksa menyahpasang program dan membersihkan pendaftaran dalam Windows