Kaj sta mapi WOW64 in SysWOW64 in za kaj se uporabljata v sistemu Windows?

Informatec Digital » Viri » Kaj sta mapi WOW64 in SysWOW64 in za kaj se uporabljata v sistemu Windows?

Če ste kdaj odprli upravitelja opravil sistema Windows , ker je vaš računalnik deloval počasneje kot običajno, ste verjetno naleteli na čudne procese, ki se sklicujejo na SysWOW64 ali skrivnostno mapo C:\Windows\SysWOW64 . Včasih se zdi, da celo porabijo veliko pomnilnika, opravila ne morete končati in seveda se začnejo oglašati alarmi: "Kaj če je to virus?"

Poleg tega, ko poskušate v upravitelju opravil poiskati lokacijo datoteke, odkrijete, da mapa vsebuje na stotine datotek .dll in .exe , ki zlahka dosežejo velikost več gigabajtov. Še huje, Windows vam ne bo dovolil, da je izbrišete kot katero koli drugo mapo. Razumljivo je, da je to lahko zaskrbljujoče, vendar morate najprej vedeti, da SysWOW64 privzeto ni virus , temveč ključni del operacijskega sistema.

Kaj sta WOW64, SysWOW64 in zakaj obstajajo te čudne mape?

V sodobnih Microsoftovih sistemih so 64-bitne različice sistema Windows zasnovane tako, da so združljive tako s 64-bitnimi aplikacijami kot s starejšimi 32-bitnimi programi. Da bi to dosegli, Windows integrira tehnologijo, imenovano WOW64 (Windows on Windows 64) , ki deluje kot nekakšen "prevajalnik" med 32-bitnimi aplikacijami in 64-bitnim operacijskim sistemom.

Ta komponenta WOW64 zagotavlja plast združljivosti , ki 32-bitnemu programu omogoča, da misli, da deluje v običajnem 32-bitnem sistemu Windows, čeprav dejansko deluje v 64-bitnem sistemu. Da bi to dosegel, sistem uporablja kombinacijo preusmeritve datotek in registra ter nabor knjižnic, ki obravnavajo prevajanje in preklapljanje konteksta med 32-bitnimi in 64-bitnimi sistemi.

Mapa SysWOW64 je del tega mehanizma . V 64-bitnem sistemu Windows boste našli dva glavna sistemska imenika: C:\Windows\System32 in C:\Windows\SysWOW64 . Kljub imenu System32 vsebuje 64-bitne knjižnice in izvedljive datoteke, medtem ko SysWOW64 shranjuje 32-bitne različice, potrebne za starejše programe.

Ta na videz protislovna organizacija izhaja iz vprašanja združljivosti s starejšo programsko opremo . Mnogi razvijalci so v svojo kodo vgradili pot C:\Windows\System32 , saj so predpostavljali, da bo ta mapa vedno vsebovala sistemske knjižnice. Da bi se izognili okvari te programske opreme pri prehodu na 64-bitno različico, se je Microsoft odločil, da bo System32 ostal "glavni" imenik sistema, ki zdaj vsebuje 64-bitne binarne datoteke, in ustvaril SysWOW64 za shranjevanje 32-bitnih.

Skratka, WOW64 in SysWOW64 omogočata, da se starejši 32-bitni programi izvajajo nespremenjeno v 64-bitnem okolju, pri čemer se arhitekturne razlike pregledno upravljajo za uporabnika.

Razlike med 32-bitnim in 64-bitnim sistemom Windows: RAM, programi in združljivost

Večina računalnikov, ki so se prodajali javnosti, je dolga leta uporabljala 32-bitne arhitekture in 32-bitne različice sistema Windows. V teh sistemih je praktična omejitev uporabnega RAM-a običajno med 3 in 4 GB , saj je del naslovnega prostora rezerviran za grafično kartico in druge naprave.

S prihodom cenovno dostopnih 64-bitnih procesorjev in operacijskih sistemov, kot je Windows 7 in novejši , je trg naredil velik preskok k 64-bitni arhitekturi. 64-bitni sistem Windows lahko obdela bistveno večje količine pomnilnika, ki v nekaterih izdajah doseže več deset ali celo več sto gigabajtov RAM-a , kar odpira vrata zahtevnejšim aplikacijam in izboljšani splošni zmogljivosti, zlasti v profesionalnih okoljih.

V 64-bitnem sistemu lahko zaženete izvorne 64-bitne programe in, zahvaljujoč WOW64, tudi klasične 32-bitne aplikacije. Emulator WOW64 zagotavlja, da 32-bitni program še vedno vidi okolje, podobno okolju 32-bitnega sistema Windows, z lastnimi knjižnicami in sistemskimi potmi , čeprav v osnovi vse deluje drugače.

Večina 32-bitnih programov ne potrebuje vedeti, ali dejansko delujejo v 32-bitnem ali 64-bitnem sistemu. Le v zelo specifičnih primerih, ko mora programska oprema razlikovati med arhitekturama, se lahko za to zateče k določenim Windows API-jem . Za povprečnega uporabnika je pomembno, da na splošno ni treba storiti ničesar posebnega : sistem to uredi samodejno.

Vendar pa obstajajo nekatere pomembne izjeme . Nekatere zelo nizkonivojske aplikacije, kot so številni starejši protivirusni programi, gonilniki ali varnostna orodja, ki neposredno komunicirajo z jedrom, za pravilno delovanje v 64-bitnem sistemu Windows zahtevajo posebne 64-bitne različice. V teh primerih 32-bitna različica morda ni združljiva ali pa je lahko zelo omejena.

Mape System32, SysWOW64 in Program Files: kaj vsebuje vsaka od njih

Ko namestite 64-bitni sistem Windows na združljiv računalnik, se prikaže več sistemskih in programskih map , kar je sprva lahko zmedeno. Na ravni diska so glavne poti, ki jih morate poznati, naslednje:

• C: \ Windows \ System32: Sistemska mapa sistema Windows, ki v 64-bitnem sistemu shranjuje 64-bitne binarne datoteke (izvršljive datoteke in DLL-ji).
• C: \ Windows \ SysWOW64: sistemska mapa, rezervirana za 32-bitne datoteke ki uporabljajo 32-bitne aplikacije pod WOW64.
• C:\Programske datoteke (o C: \ Program Files): imenik, namenjen za 64-bitni programi in z njim povezane datoteke.
• C:\Programske datoteke (x86) (o C: \ Program Files (x86)): mapa, kjer se 32-bitni programi na 64-bitnem sistemu Windows.

Najbolj zbunjujoča podrobnost je, da mapa System32 vsebuje 64-bitno kodo , medtem ko je SysWOW64 polna 32-bitnih datotek. To je ravno nasprotno od tega, kar bi pričakovali že na podlagi imen. Razlog je, kot smo že omenili, ohranjanje združljivosti s starejšo programsko opremo , ki pričakuje, da bo sistemske vire našla v System32.

V praksi Windows pregledno preusmeri številne klice na disk. Ko 32-bitna aplikacija poskuša dostopati do mape C:\Windows\System32 , podsistem WOW64 to zahtevo preusmeri na C:\Windows\SysWOW64 , tako da program naloži ustrezne 32-bitne knjižnice, ne da bi opazil trik.

Glede map programov se zgodi nekaj podobnega. 64-bitne aplikacije se privzeto namestijo v mapo Program Files , medtem ko se 32-bitne aplikacije namestijo v mapo Program Files (x86) . Če je namestitveni program dobro zasnovan, zazna arhitekturo sistema in vsako binarno datoteko namesti v pravilno mapo, da se izogne ​​konfliktom.

Čeprav program včasih deluje, tudi če ga postavite v »napačno« mapo, je vedno najbolje upoštevati to strukturo . Če aplikacija od sistema Windows zahteva pot do »Programskih datotek« in ste jo namestili na napačno mesto, lahko išče podporne datoteke v napačnem imeniku in odpove na načine, ki jih je težko diagnosticirati.

Kaj pomenita WOW64 in x86: malo zgodovine

Izraz WOW64 izhaja iz »Windows on Windows 64«, kar lahko razumemo kot »32-bitni Windows, ki se izvaja na 64-bitnem sistemu Windows«. To je komponenta, ki omogoča 32-bitnim aplikacijam delovanje v 64-bitnem operacijskem sistemu brez posebnega posredovanja uporabnika. To doseže z zagotavljanjem plasti združljivosti, ki prevaja klice med obema operacijskima sistemoma.

Za svoje delo se WOW64 zanaša na več zelo specifičnih dinamičnih knjižnic povezav (DLL) :

• wow64.dll: deluje kot glavni vmesnik in prevaja 32-bitne klice v njihove 64-bitne ekvivalente.
• wow64win.dll: zagotavlja vstopne točke, ki jih aplikacije uporabljajo za interakcijo s 64-bitnim podsistemom.
• wow64cpu.dllOdgovoren je za upravljanje spremembe načina izvajanja med 32 in 64 biti v procesorju.

Po drugi strani pa se izraz x86 nanaša na družino Intelovih procesorjev (8086, 80186, 80286, 80386 itd.), ki so si delili združljiv nabor ukazov. Sčasoma, še posebej od legendarnega 80386, se je njegova uporaba razširila in se na splošno nanašala na 32-bitne arhitekture, združljive s tem naborom ukazov . Danes, ko vidite »x86«, to skoraj vedno pomeni »32-bitni«.

Ta konvencija poimenovanja se v sistemu Windows odraža v mapi Program Files (x86) , kar jasno kaže, da je to imenik, rezerviran za 32-bitno programsko opremo . Nasprotno pa je mapa Program Files brez pripone povezana s 64-bitnimi aplikacijami.

System32, SysWOW64 in register sistema Windows

Soobstoj 32-bitnih in 64-bitnih aplikacij ne vpliva le na mape z datotekami, temveč tudi na sam register sistema Windows . Tako kot obstajajo ločene poti za 32-bitne in 64-bitne binarne datoteke, obstajajo tudi različni ključi, ki ohranjajo konfiguracijo vsake vrste aplikacije ločeno.

V 32-bitnih (x86) sistemih so vnosi za odstranitev programov običajno shranjeni v ključu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall

V 64-bitnih (x64) sistemih Windows uvede dodatno vozlišče pod Wow6432Node za upravljanje 32-bitnih programov, ki se izvajajo v WOW64. V tem primeru bi bila tipična pot za odstranitev 32-bitnih aplikacij:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall

Na ta način sistem ločuje 32-bitne in 64-bitne konfiguracije in reference , kar preprečuje, da bi ena aplikacija preprosto posegala v drugo zgolj z deljenjem imena ključa ali vrednosti. To je še posebej pomembno za namestitvene programe, programe za posodabljanje in orodja za oddaljeno vzdrževanje, ki morajo razlikovati, katera različica programa je nameščena. Če morate vsiliti odstranitev ali počistiti problematične vnose v register, obstajajo posebni vodniki, ki pojasnjujejo, kako to pravilno storiti.

Je SysWOW64 virus ali ga lahko samo izbrišem?

Eden najpogostejših strahov je, da je mapa SysWOW64 virus ali kaj nevarnega, ker zavzema veliko prostora, se prikaže v upravitelju opravil in jo je težko izbrisati . Resničnost je, da je SysWOW64 legitimna sistemska mapa, bistvena za delovanje 64-bitnega sistema Windows.

V normalnih okoliščinah SysWOW64 shranjuje 32-bitne datoteke .dll in .exe, ki jih potrebujejo programi, ki se izvajajo v sistemu WOW64. Zasedejo lahko več gigabajtov, nekateri uporabniki pa so poročali o velikostih, ki se približujejo 40 GB , zlasti v starejših sistemih z veliko nameščenimi aplikacijami. To lahko upočasni računalnik ali pa mu zmanjka prostora na disku; za sprostitev prostora si lahko ogledate navodila za odstranitev nepotrebnih aplikacij v sistemu Windows 11, vendar to ne pomeni nujno, da je škodljivo.

Lahko se zgodi, da razvijalci zlonamerne programske opreme izkoristijo ime SysWOW64 za prikrivanje svojih stvaritev. Z drugimi besedami, ne manipulirajo z izvirno sistemsko mapo, temveč ustvarijo datoteke ali procese z zelo podobnimi imeni, da se izognejo odkritju. Na ta način lahko nič hudega sluteči uporabnik trojanskega konja zamenja za legitimno sistemsko komponento.

Če sumite, da je nekaj narobe, je priporočljivo , da sistem pregledate z dobrim, posodobljenim protivirusnim programom ali programom proti vohunski programski opremi in izvedete popolno skeniranje. Orodja, kot je Malwarebytes in drugi znani varnostni izdelki, lahko zaznajo zlonamerne procese, ki se poskušajo prikriti z imeni sistemskih datotek.

Če popolno skeniranje z varnostno programsko opremo ne zazna nobenih groženj, povezanih s SysWOW64, ni smiselno poskušati izbrisati mape. Pravzaprav lahko ročno brisanje SysWOW64 povzroči neuporabnost sistema Windows ali resne napake pri poskusu zagona 32-bitnih aplikacij.

Kako ugotoviti, ali je SysWOW64, ki ga vidite, legitimen ali zlonameren

Tudi če je imenik C:\Windows\SysWOW64 legitimen, nič ne preprečuje zlonamerni programski opremi, da bi uporabila isto ali zelo podobno ime na drugi lokaciji ali da bi se registrirala kot proces v ozadju, kar bi prekomerno porabljalo procesor in pomnilnik . To je pogosta tehnika, zlasti med trojanci in rudarji kriptovalut.

Jasen znak, da je nekaj narobe, je, da računalnik začne delovati izjemno počasi, da se ventilator vrti brez očitnega razloga ali da poraba procesorja stalno narašča nad 80–90 %. Če v upravitelju opravil vidite procese z imeni, povezanimi s SysWOW64, in nesorazmerno porabo virov, je vredno raziskati.

Na tej točki lahko z desno miškino tipko kliknete proces in izberete »Odpri lokacijo datoteke «. Če izvedljiva datoteka ni v običajni sistemski poti ali je v sumljivi mapi znotraj AppData, Temp ali na drugem nenavadnem mestu, gre zelo verjetno za prikrito zlonamerno programsko opremo , ki se maskira kot komponenta sistema Windows.

Poleg ročnega skeniranja je bistvenega pomena tudi popolno skeniranje z varnostnim paketom . Številni trojanci se širijo prek e-poštnih sporočil z okuženimi prilogami, piratskih prenosov, razpok, generatorjev ključev ali zlonamernih oglasov, ki uporabnike preusmerjajo na ogrožena spletna mesta. Ko se datoteka zažene, se zlonamerna programska oprema tiho prenese, ustvari trajne procese in lahko uporabi legitimna imena, da zavede uporabnika.

Če vaše varnostno orodje zazna zlonamerno datoteko z imenom SysWOW64 ali kaj podobnega, morate protivirusni programski opremi dovoliti, da odstrani ali da okužene komponente v karanteno. Pomembno je, da se ne dotikate izvirne mape C:\Windows\SysWOW64, če pregled pokaže, da je čista.

Napredni koraki za zdravljenje okužb, povezanih s SysWOW64

V resnejših situacijah, zlasti pri soočanju z izsiljevalsko programsko opremo, vztrajnimi trojanci ali rudarji kriptovalut , je morda potrebno temeljitejše čiščenje sistema. Vendar pa vsaka ročna manipulacija sistemskih datotek nosi s seboj tveganja in je priporočljiva le za izkušene uporabnike.

Pogosta tehnika je ponovni zagon računalnika v varnem načinu z omrežjem . V tem okrnjenem okolju Windows naloži le bistvene storitve, zaradi česar se številni zlonamerni programi težko zaženejo ali ponovno naložijo ob zagonu. Tako je lažje najti in izbrisati sumljive procese.

Če želite to storiti v sistemih Windows 7, Vista ali XP, lahko znova zaženete računalnik in večkrat pritisnete tipke, kot je F8 (ali druge, odvisno od matične plošče), dokler ne dostopate do naprednih možnosti zagona , kjer je na voljo varni način z omrežjem. V sistemih Windows 8 in Windows 10 postopek vključuje odpiranje nastavitev, odhod v posodobitev in varnost , vstop v razdelek Obnovitev in uporabo napredne možnosti zagona za dostop do možnosti zagona, vključno z varnim načinom.

Ko ste v varnem načinu, lahko z upraviteljem opravil pregledate procese v ozadju, poiščete vse sumljive procese, odprete njihovo lokacijo na disku in po končanem opravilu izbrišete povezane datoteke . Ta postopek je treba dopolniti s popolnim pregledom sistema z orodjem za preprečevanje zlonamerne programske opreme.

Koristno je tudi, da v upravitelju opravil na zavihku »Zagon« pregledate programe, ki se zaženejo ob zagonu , in onemogočite vse sumljive vnose. Poleg tega lahko zaženete čiščenje diska sistema Windows, da izbrišete začasne datoteke, nepotrebne prenose in druge ostanke, ki jih nekatera zlonamerna programska oprema skriva.

Dobre varnostne prakse in prakse varnostnega kopiranja

Čeprav je SysWOW64 legitimna komponenta, lahko zlonamerna programska oprema, ki izkorišča njeno ime, odpre vrata veliko bolj zapletenim napadom , kot so izsiljevalska programska oprema, ki šifrira vaše datoteke, ali trojanski konji, ki kradejo občutljive podatke. Zato je ključnega pomena kombiniranje več preventivnih ukrepov.

Najprej je vedno priporočljivo, da imate posodobljen protivirusni program ali programsko opremo za zaščito pred zlonamerno programsko opremo , ki je sposobna zaznati najnovejše grožnje. Pomembno pa je tudi, da kritično pregledate prejeta e-poštna sporočila, se izogibate odpiranju prilog iz dvomljivih virov in bodite previdni pri skrajšanih povezavah, ponudbah, ki se zdijo preveč dobre, da bi bile resnične, in prenosih neuradne programske opreme.

Druga ključna plast zaščite je redno varnostno kopiranje pomembnih podatkov. Če izsiljevalski programski opremi uspe šifrirati vaše dokumente, fotografije ali projekte, lahko nedavna varnostna kopija pomeni razliko med tem, ali boste obnovili vse podatke, ali pa boste utrpeli nepopravljivo izgubo.

V okoljih, kjer je zasebnost ključni dejavnik, je smiselno razmisliti o uporabi zaupanja vrednih VPN-jev , da preprečite določene vrste sledenja in zaščitite svojo povezavo pred napadi v javnih omrežjih. Čeprav to ne ščiti neposredno pred SysWOW64 ali njegovimi posnemovalci, prispeva k izboljšanju splošne varnosti sistema.

Ko pri prenašanju datotek uporabite dobre prakse brskanja, posodobljen sistem, zanesljivo varnostno programsko opremo in odgovorne navade , močno zmanjšate verjetnost, da se zlonamerna programska oprema prikrije pod imeni, kot je SysWOW64, ne da bi se tega zavedali.

Mapa SysWOW64 in tehnologija WOW64 sta ključni komponenti, ki 64-bitnemu sistemu Windows omogočata normalno delovanje 32-bitnih aplikacij, pri čemer se zanašajo na posebne poti, kot so SysWOW64, System32 in Program Files (x86), ter ločene ključe registra. Čeprav nekateri virusi izkoriščajo ta imena za skrivanje, izvirne mape nikoli ne smete izbrisati. Resnično pomembno je združiti varnostno analizo, zdrav razum in varnostne kopije, da bo vaš sistem stabilen, hiter in varen, ne da bi pri tem žrtvovali združljivost z obstoječo programsko opremo.