Hvad er SYS-filformatet?
Filtypenavnet .sys angiver systemfiler, der bruges i operativsystemerne Windows og MS-DOS. Sådanne filer indeholder data vedrørende indlæsbare drivere, enhedsindstillinger og andre funktioner på lavt niveau. Uden .sys-filer ville det være umuligt at betjene systemet, da de muliggør kommunikation mellem Windows-kernen, hardwareenheder og eksterne enheder.
Udvidelsen dækker over to forskellige generationer. I MS-DOS-æraen var .sys-filer tekstbaserede eller simple binære konfigurations- og driverbeskrivelser. I det moderne Windows NT (Windows 2000 og nyere) er en .sys-fil en Portable Executable kernel-mode driver binary - det samme MZ/PE-format som .exe og .dll filer, men indlæst og eksekveret direkte af Windows-kernen frem for af brugerkode.
Typiske .sys-filer
Den mest almindelige ældre .sys-fil er CONFIG.SYS, som er velkendt, fordi den indeholder alle driverdeklarationer og konfigurationsindstillinger, der er nødvendige for at køre MS-DOS. Andre .sys-filer fra den tid inkluderer:
MSDOS.SYS- Indeholder den grundlæggende kode til DOS-systemet, kaldet DOS-kernen.IO.SYS- Indeholder standard DOS-drivere og programmet, der er ansvarligt for at starte DOS; brugt i DOS og Windows 9x.KEYBOARD.SYS- Indeholder information om tastaturlayout.
Moderne Windows leveres med adskillige driver-.sys-filer, såsom ntfs.sys (NTFS-filsystemdriver) og tcpip.sys (TCP/IP-netværksstak).
Placering af .sys-filer
En stor del af .sys-filerne i systemet er skjulte. De kan normalt findes i den primære Windows-mappe; i Vista og nyere er .sys-filer oftest placeret i C:\Windows\System32\drivers\ og C:\Windows\WinSxS\. Hardwaredrivere er også placeret i C:\Windows\System32\DriverStore\FileRepository\.
Yderligere noter
- Moderne Windows kernel-mode
.sys-drivere kører i Ring 0 og har fuld, ubegrænset adgang til systemhukommelse og hardware. - På 64-bit Windows skal alle kernel-mode drivere have en gyldig digital signatur; usignerede drivere blokeres ved opstart.
.sys-filer er følsomme over for virusinfektioner og ondsindet software - en beskadiget driver er en hyppig årsag til Blue Screen of Death (BSOD) nedbrud..sys-filer er PE-binære filer, ikke almindelig tekst, og kan inspiceres med værktøjer som PE-bear eller Resource Hacker. En tilhørende.inffil håndterer typisk driverinstallationen.
Sikkerhed og tryghed
RISIKO: MEDIUMDe fleste driver-.sys-filer er legitime, signerede Windows-komponenter og er sikre - de reelle farer er to: (1) sletning/redigering af den forkerte fil. Fjernelse af en driver-.sys kan forårsage opstartsfejl eller en blå skærm; lad Windows Update og Enhedshåndtering administrere drivere i stedet for at røre filerne. (2) Ondsindede drivere: Da .sys-drivere kører i kernen, kan rootkits og „BYOVD” (bring-your-own-vulnerable-driver) angreb misbruge signerede eller falske .sys-filer for at få det dybeste niveau af systemadgang. Behandl enhver usigneret/ukendt .sys på en mærkelig placering med mistanke - tjek dens digitale signatur (Egenskaber > Digitale signaturer, eller Sigcheck) og scan den. En ægte Windows-driver bør være signeret af Microsoft eller en kendt hardwareproducent.
Formatdetaljer
kort fortaltFULDSTÆNDIGT NAVNWindows Driver File
UDVIKLERMicrosoftsiden 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries
KATEGORISystemfiler
MIME-TYPEapplication/octet-stream
TYPEPortable Executable (PE) kernel-mode driver binary
Dette filtypenavn bruges også af…
- Reserverede systemdatablobber (pagefile.sys, hiberfil.sys, swapfile.sys) - Store reserverede diskområder, som Windows administrerer til virtuel hukommelse og dvale - ikke programmer og kan ikke åbnes.
- Ældre DOS-konfigurations-/tekstfiler (CONFIG.SYS, HIMEM.SYS) - MS-DOS-startscripts i almindelig tekst og gamle real-mode-drivere, der kan åbnes i enhver teksteditor.
MAGIC BYTES · FILSIGNATUR
OFFSET
0001
HEX
4D5A
ASCII
MZ
En Windows-driver .sys er en Portable Executable binær fil: den begynder med „MZ” (4D 5A) ved offset 0, med „PE\0\0”-markøren længere inde (ligesom en EXE eller DLL). Forskellen fra et brugerprogram er PE-undersystemfeltet, der markerer den som en native/kernel-driver.
Programmer der åbner SYS-filer
Windows3 apps
Leave it to Windows (do not open a driver .sys)
Indbygget Driver-.sys-filer indlæses og administreres af Windows; du skal ikke åbne dem. Slet eller rediger dem ikke - det kan ødelægge opstarten eller forårsage en blå skærm.
File Properties > Details / Sigcheck
Gratis For at identificere en driver-.sys skal du højreklikke > Egenskaber > Detaljer (produkt/firma), eller køre Sysinternals Sigcheck for at se dens signatur og oprindelse.
PE viewer (PE-bear / Resource Hacker / Dependency Walker)
Gratis For udviklere/analytikere: åbn en driver-.sys i en PE-inspektør for at se dens headere, imports og versionsinfo (skrivebeskyttet analyse). Tekniske detaljer
dyb specifikation| Binært format | Portable Executable (PE) kernel-mode driver; identisk containerformat som .exe og .dll filer |
| Magic bytes | 4D 5A („MZ”) ved offset 0; PE-signatur 50 45 00 00 ved det offset, der er gemt i MZ-headeren |
| PE-undersystem | 1 - IMAGE_SUBSYSTEM_NATIVE; markerer den binære fil som en kerne-/native driver, ikke en brugerapplikation |
| Eksekveringsprivilegieniveau | Ring 0 (kernel mode); fuld ubegrænset adgang til hardwareregistre, fysisk hukommelse og systemdatastrukturer |
| MIME-type | application/octet-stream |
| Kodesignering i kernel-mode | Obligatorisk på 64-bit Windows Vista og nyere; drivere skal være WHQL- eller EV-signerede; Secure Boot håndhæver signeringspolitikken ved opstart |
| Typisk installationsplacering | C:\Windows\System32\drivers\; en kopi gemmes i C:\Windows\System32\DriverStore\FileRepository\ |
| Filsynlighed | Skjult systemattribut er indstillet som standard; vises ikke i Stifinder uden at aktivere både „Vis skjulte filer” og „Skjul beskyttede operativsystemfiler” |
| Indlæsningsmekanisme | Windows Service Control Manager (SCM) ved opstart eller efter behov; boot-start drivere er anført under HKLM\SYSTEM\CurrentControlSet\Services i registreringsdatabasen |
| MS-DOS-arv | Tekstbaseret eller simpel binær konfigurationsbeskrivelse (CONFIG.SYS, IO.SYS, MSDOS.SYS); går mere end et årti forud for PE-driverformatet |
| Arkitekturvarianter | Separate builds kræves til x86 (32-bit), x86-64 (AMD64) og ARM64; en enkelt .sys-fil er målrettet én arkitektur |
| Rammeværk for driverudvikling | WDM (Windows Driver Model) eller WDF/KMDF (Windows Driver Frameworks - Kernel-Mode Driver Framework); kompileret med Windows Driver Kit (WDK) |
| Sikkerhedsfølsomhed | Kritisk - en fejlbehæftet eller ondsindet kernedriver kan forårsage Blue Screen of Death (BSOD), databeskadigelse eller fuldstændig systemkompromittering |
| Udvikler | Microsoft for indbyggede Windows-drivere; hardwareproducenter leverer yderligere signerede .sys-filer via INF-baserede driverpakker |
| Relaterede formater | .exe og .dll deler PE-containeren; .drv er en ældre bruger-mode driver-DLL; .inf giver installationsmetadata; .vxd var det virtuelle enhedsdriverformat i Win9x |
| Udgivet | 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries |
| Specifikation | learn.microsoft.com |
SYS-konverteringer
Ikke muligt
.SYS .DLLHVORFOR IKKE?
Nej - en .sys Windows-driver er kode i kernel-mode, og en .dll er et bibliotek i user-mode; de kører i…
.SYS .EXEHVORFOR IKKE?
Nej - en .sys kernel-mode driver og en .exe user-mode applikation kører i separate eksekveringsmiljøer; der…
.SYS .TXTHVORFOR IKKE?
Nej - en moderne Windows .sys driver er kompileret binær kode; der er intet tekstindhold at udtrække, og…
Fællesskabets Q&A
spurgt af brugere
S
Ofte stillede spørgsmål
Hvordan åbner jeg en .sys-fil?
En driver-.sys er ikke beregnet til at blive åbnet - Windows indlæser den. For at finde ud af, hvad det er, kan du højreklikke > Egenskaber > Detaljer (firma/produkt) eller køre Sigcheck. Forsøg ikke at åbne en driver-.sys som tekst; det er en binær fil.
En blå skærm nævnte en .sys-fil - hvad betyder det?
Den navngiver den driver, som Windows mener forårsagede nedbruddet (f.eks. en grafik- eller lagerdriver). Løsningen er normalt at opdatere, rulle tilbage eller geninstallere den pågældende driver, ikke at røre selve filen. Søg på det nøjagtige .sys-navn for at finde ud af, hvilken enhed den tilhører.
Er en .sys-fil en virus?
Normalt nej - de fleste er legitime, signerede drivere. Men da drivere kører i kernen, kan malware (rootkits) udgive sig for at være .sys-filer. Tjek den digitale signatur (Egenskaber > Digitale signaturer) og scan ukendte filer; en ægte Windows-driver er signeret af Microsoft eller hardwareproducenten.
Kan jeg slette en .sys-fil for at frigøre plads?
Slet ikke driver-.sys-filer - fjernelse af en kan deaktivere hardware eller forhindre Windows i at starte. (Nogle andre .sys-filer, du måske bemærker, som pagefile.sys eller hiberfil.sys, er reserverede Windows-data, ikke drivere, og administreres bedst via Windows-indstillinger, ikke ved manuel sletning.)
Kan jeg konvertere en .sys-fil til .exe eller .dll?
Nej. En driver-.sys er en kernel-mode binær fil, ikke en kørbar applikation eller et brugerbibliotek, så der findes ingen meningsfuld konvertering.
Hvordan opdaterer jeg den driver, der er nævnt i et nedbrud?
Identificer den enhed, som .sys-filen tilhører (Egenskaber > Detaljer, eller søg på filnavnet), og opdater den derefter via Enhedshåndtering eller hardwareproducentens websted. Hvis en nylig opdatering forårsagede nedbruddet, skal du rulle driveren tilbage i stedet.
Referencer
1Microsoft - Windows Driver Kit / drivers documentationlearn.microsoft.com
2Microsoft - PE Format (Portable Executable)learn.microsoft.com
