- SysWOW64 是一个系统文件夹，用于在 64 位 Windows 系统中存储 32 位二进制文件，并与包含 64 位二进制文件的 System32 配合使用。
- WOW64 是一个兼容层，它允许 32 位应用程序通过文件重定向和注册表在 64 位 Windows 系统上运行。
- SysWOW64 不是病毒，尽管有些恶意软件会利用它的名字伪装自己；删除原始文件夹可能会导致 Windows 系统崩溃。
- 尊重 System32、SysWOW64、Program Files 和 Program Files (x86) 路径是保持兼容性和系统正常运行的关键。
如果你曾经因为电脑运行速度比平时慢而打开过Windows 任务管理器，你可能遇到过一些奇怪的进程，它们会引用SysWOW64或神秘的C:\Windows\SysWOW64文件夹。有时它们似乎还会占用大量内存，你无法结束这些进程，当然，这时你就会警觉起来：“这会不会是病毒？”
此外，当您尝试从任务管理器导航到该文件的位置时，您会发现该文件夹包含数百个 .dll 和 .exe 文件，大小轻松达到数 GB。更糟糕的是，Windows 不允许您像删除其他文件夹一样删除它。这确实令人担忧，但您首先应该知道的是，SysWOW64 默认情况下并非病毒，而是操作系统的重要组成部分。
WOW64、SysWOW64是什么？为什么会存在这些奇怪的文件夹？
在现代微软系统中， 64 位版本的Windows设计为既兼容 64 位应用程序，也兼容较旧的 32 位程序。为了实现这一点，Windows 集成了一种名为WOW64（Windows on Windows 64）的技术，它充当 32 位应用程序和 64 位操作系统之间的一种“翻译器”。
这个 WOW64 组件提供了一个兼容层，使 32 位程序能够误以为自己运行在普通的 32 位 Windows 系统上，即使它实际上运行在 64 位系统上。为了实现这一点，该系统结合使用了文件和注册表重定向，以及一组用于处理 32 位和 64 位系统之间转换和上下文切换的库。
SysWOW64文件夹是此机制的一部分。在 64 位 Windows 系统中，您会找到两个主要的系统目录：C:\Windows\System32和C:\Windows\SysWOW64。尽管名称如此，System32 包含的是 64 位库和可执行文件，而 SysWOW64 则存储旧程序所需的 32 位版本。
这种看似矛盾的组织结构源于与旧版软件的兼容性问题。许多开发者将C:\Windows\System32路径硬编码到代码中，认为该文件夹始终包含系统库。为了避免在升级到 64 位系统时破坏这些软件，微软决定 System32 仍然是系统的“主”目录，现在包含 64 位二进制文件，并创建了 SysWOW64 来存放 32 位二进制文件。
简而言之，WOW64 和 SysWOW64 允许较旧的 32 位应用程序在 64 位环境中保持不变地运行，对用户透明地管理架构差异。
32 位和 64 位 Windows 的区别：内存、程序和兼容性
多年来，市面上销售的大多数计算机都采用32 位架构和 32 位版本的 Windows 操作系统。在这些系统中，可用内存的实际极限通常在3 到 4 GB之间，因为部分地址空间被显卡和其他设备占用。
随着价格亲民的 64 位处理器和Windows 7 及更高版本等操作系统的出现，市场向 64 位架构实现了巨大的飞跃。64 位 Windows 系统可以处理更大的内存容量，某些版本甚至可以达到数十或数百 GB 的 RAM，这为运行要求更高的应用程序和提升整体性能（尤其是在专业环境中）打开了大门。
在 64 位系统上，您可以运行原生 64 位程序，而且借助 WOW64，还可以运行经典的 32 位应用程序。WOW64 模拟器确保 32 位程序仍然能够看到类似于 32 位 Windows 系统的环境，拥有自己的库和系统路径，即使底层运行机制有所不同。
大多数 32 位程序不需要知道它们实际运行在 32 位系统还是 64 位系统上。只有在极少数情况下，当软件需要区分架构时，才会调用特定的 Windows API来确定。对于普通用户而言，重要的是通常情况下无需进行任何特殊操作：系统会自动处理。
然而，也有一些重要的例外情况。某些底层应用程序，例如许多较旧的杀毒软件、驱动程序或直接与内核交互的安全工具，需要在 64 位 Windows 系统上正常运行，而这些程序需要特定的 64 位版本。在这种情况下，32 位版本可能不兼容，或者功能会受到严重限制。
System32、SysWOW64 和 Program Files 文件夹：它们各自包含什么？
在兼容的计算机上安装 64 位 Windows 时，会出现多个系统文件夹和程序文件夹，这起初可能会让人感到困惑。在磁盘级别，您应该了解的主要路径如下：
- C：\ WINDOWS \ System32：Windows 系统文件夹，在 64 位系统中，用于存储 64 位二进制文件 （可执行文件和 DLL 文件）。
- C：\ Windows \ SysWOW64：系统文件夹，保留给 32 位文件 在 WOW64 下使用 32 位应用程序。
- C:\Program Files (o C：\ Program Files文件）：目录用途 64 位程序 及其相关文件。
- C:\Program Files (x86) (o C：\ Program Files文件（x86））：文件夹，其中 32 位程序 在 64 位 Windows 系统上。
最令人费解的是，System32 文件夹包含的是 64 位代码，而 SysWOW64 文件夹却全是 32 位文件。这与仅从文件名来看的预期完全相反。正如前面提到的，这样做的原因是为了保持与旧软件的兼容性，因为旧软件需要从 System32 文件夹中查找系统资源。
实际上，Windows会透明地重定向许多磁盘调用。当一个 32 位应用程序尝试访问C:\Windows\System32 时，WOW64 子系统会将该请求重定向到C:\Windows\SysWOW64，这样程序就能加载相应的 32 位库，而不会察觉到这种重定向。
关于程序文件夹，情况也类似。默认情况下，64 位应用程序安装在“Program Files”文件夹中，而 32 位应用程序则安装在“Program Files (x86)”文件夹中。如果安装程序设计良好，它会检测系统架构，并将每个二进制文件放置在正确的文件夹中，以避免冲突。
虽然程序有时即使放在“错误”的文件夹中也能运行，但最好还是遵循正确的文件夹结构。如果应用程序向 Windows 系统请求“Program Files”路径，而你却把它安装在了错误的位置，它最终可能会在错误的目录中查找支持文件，从而导致难以诊断的故障。
WOW64 和 x86 分别代表什么？一段历史回顾
WOW64一词源于“Windows on Windows 64”，可以理解为“运行在 64 位 Windows 之上的 32 位 Windows”。它允许 32 位应用程序在 64 位操作系统上运行，而无需任何特殊用户干预。它通过提供一个兼容层来实现这一点，该兼容层负责转换两个操作系统之间的调用。
为了完成其工作，WOW64 依赖于几个非常具体的动态链接库（DLL） ：
- 哇64位动态链接库: 作为主要接口，将 32 位调用转换为其 64 位等效调用。
- wow64win.dll：提供应用程序与 64 位子系统交互的入口点。
- wow64cpu.dll它负责管理处理器中 32 位和 64 位执行模式之间的切换。
另一方面，x86指的是英特尔的一系列处理器（例如 8086、80186、80286、80386 等），它们共享一套兼容的指令集。随着时间的推移，尤其是在传奇的 80386 处理器问世之后，x86 的使用范围逐渐扩大，通常用来指代与该指令集兼容的 32 位架构。如今，当你看到“x86”时，它几乎总是指“32 位”。
这种命名规则在 Windows 系统中也有体现，例如Program Files (x86)文件夹，它明确表明该目录是为32 位软件保留的。相比之下，没有后缀的 Program Files 文件夹则与 64 位应用程序相关联。
System32、SysWOW64 和 Windows 注册表
32 位和 64 位应用程序的共存不仅影响文件文件夹，还会影响Windows 注册表本身。正如 32 位和 64 位二进制文件有不同的路径一样，也存在不同的键值来分别管理每种应用程序类型的配置。
在32 位 (x86)系统中，程序卸载条目通常存储在以下键中：
HKEY_LOCAL_MACHINE \ SOFTWARE \微软\的Windows \ CurrentVersion \卸载
在64 位 (x64)系统中，Windows 会在Wow6432Node下引入一个额外的节点，用于处理在 WOW64 下运行的 32 位程序。在这种情况下，卸载 32 位应用程序的典型路径如下：
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall
这样，系统就能将32 位和 64 位配置及引用分开，防止应用程序之间仅因共享键或值名称而相互干扰。这对于需要区分已安装程序版本的安装程序、更新程序和远程维护工具尤为重要。如果您需要强制卸载或清理有问题的注册表项，可以参考相关的指南，了解如何正确操作。
SysWOW64 是病毒吗？我可以把它删除吗？
最常见的担忧之一是，SysWOW64文件夹是病毒或其他危险程序，因为它占用大量空间、出现在任务管理器中且难以删除。但实际上，SysWOW64 是一个合法的系统文件夹，对于 64 位 Windows 系统的运行至关重要。
通常情况下，SysWOW64 会存储WOW64 架构下运行的程序所需的32 位 .dll 和 .exe 文件。它可能占用数 GB 的空间，一些用户甚至报告说，在安装了大量应用程序的旧系统上，其大小接近40 GB。这可能会导致计算机运行速度变慢或磁盘空间不足；要释放空间，您可以参考Windows 11 中有关删除不必要应用程序的说明，但这并不一定意味着它有害。
恶意软件开发者可能会利用 SysWOW64 这个名称来伪装他们的作品。换句话说，他们不会直接修改原始系统文件夹，而是创建名称非常相似的文件或进程来逃避检测。这样一来，毫无戒心的用户就可能将木马程序误认为是合法的系统组件。
如果您怀疑系统存在问题，建议使用一款优秀的、最新版本的杀毒软件或反间谍软件对系统进行全面扫描。像 Malwarebytes 和其他知名安全产品这样的工具可以检测到试图使用系统文件名伪装自身的恶意进程。
如果安全软件的全面扫描没有检测到与 SysWOW64 相关的任何威胁，则无需尝试删除该文件夹。事实上，手动删除 SysWOW64 可能会导致 Windows 无法使用，或者在尝试运行 32 位应用程序时引发严重错误。
如何判断您看到的 SysWOW64 是合法的还是恶意软件
即使C:\Windows\SysWOW64目录本身是合法的，也无法阻止恶意软件在其他位置使用相同或非常相似的名称，或者将其注册为后台进程以过度占用 CPU 和内存。这是一种常见的攻击手法，尤其在木马和加密货币挖矿程序中更为常见。
如果发现电脑运行速度极慢、风扇无故高速运转，或者CPU使用率持续飙升至80-90%以上，这都明显表明电脑出现了问题。如果在任务管理器中发现名称与SysWOW64相关的进程，且这些进程的资源消耗异常高，则值得深入调查。
此时，您可以右键单击该进程并选择“打开文件位置”。如果可执行文件不在通常的系统路径中，或者位于 AppData、Temp 或其他不寻常位置的可疑文件夹中，则很可能是伪装成 Windows 组件的恶意软件。
除了手动扫描外，使用安全套装进行全面扫描至关重要。许多木马程序通过带有感染附件的电子邮件、盗版下载、破解程序、密钥生成器或恶意广告传播，这些程序会将用户重定向到被入侵的网站。一旦文件执行，恶意软件就会静默下载，创建持久进程，并可能使用合法名称来欺骗用户。
如果您的安全工具检测到名为 SysWOW64 或类似名称的恶意文件，您应该让杀毒软件处理移除或隔离受感染组件的操作。如果扫描结果显示 C:\Windows\SysWOW64 文件夹是干净的，则切勿触碰该文件夹。
治疗 SysWOW64 相关感染的高级步骤
在更严重的情况下，尤其是在处理勒索软件、顽固木马或加密货币挖矿程序时，可能需要更彻底的系统清理。然而，任何手动操作系统文件的行为都存在固有风险，因此仅建议经验丰富的用户进行此类操作。
一种常用的方法是重启计算机进入带网络连接的安全模式。在这种精简的环境下，Windows 只加载必要的服务，这使得许多恶意软件难以在启动时运行或重新加载。这样一来，就更容易找到并删除可疑进程。
在Windows 7、Vista 或 XP 系统中，您可以重启计算机，然后反复按 F8 等键（或其他键，具体取决于主板），直到进入“高级启动选项”，其中会显示“带网络连接的安全模式”。在Windows 8 和 Windows 10 系统中，操作步骤为：打开“设置”，转到“更新和安全”，进入“恢复”部分，然后使用“高级启动选项”访问启动选项，包括“安全模式”。
进入安全模式后，您可以使用任务管理器查看后台进程，找到任何可疑进程，打开其磁盘位置，并在任务结束后删除相关文件。此外，还应使用反恶意软件工具对系统进行全面扫描。
此外，打开任务管理器，在“启动”选项卡中查看开机启动的程序也很有帮助，禁用任何可疑条目。另外，还可以运行 Windows 磁盘清理程序，删除临时文件、不必要的下载以及某些恶意软件用来隐藏的其他残留文件。
良好的安全和备份实践
虽然 SysWOW64 是一个合法的组件，但利用其名称的恶意软件可能会打开通往更复杂攻击的大门，例如加密文件的勒索软件或窃取敏感信息的木马程序。因此，结合多种预防措施至关重要。
首先，始终建议您保持防病毒或反恶意软件的更新，使其能够检测到最新的威胁。但同样重要的是，仔细审查您收到的电子邮件，避免打开来自可疑来源的附件，并对短链接、看似过于诱人的优惠以及非官方软件的下载保持警惕。
另一层至关重要的保护措施是定期备份重要数据。如果勒索软件加密了您的文档、照片或项目，拥有最近的备份可能意味着您能够恢复所有数据，避免遭受不可挽回的损失。
在隐私至关重要的环境中，使用可信的 VPN来防止某些类型的追踪并保护您的连接免受公共网络攻击是明智之举。虽然这并不能直接防御 SysWOW64 或其模仿者，但确实有助于提高整体系统安全性。
当您将良好的浏览习惯、最新的系统、可靠的安全软件和负责任的习惯与您下载的文件结合起来时，您可以大大降低恶意软件伪装成 SysWOW64 等名称而不被您察觉的可能性。
SysWOW64文件夹和 WOW64 技术是关键组件，它们使 64 位 Windows 系统能够正常运行 32 位应用程序，这依赖于 SysWOW64、System32 和 Program Files (x86) 等特殊路径以及单独的注册表项。虽然有些病毒会利用这些名称来隐藏自身，但切勿删除原始文件夹。真正重要的是将安全分析、常识和备份相结合，以确保系统稳定、快速且无威胁，同时又不影响与现有软件的兼容性。
