Was ist das 386-Dateiformat?
.386-Dateien sind Virtual Device Drivers (VxDs) für den Windows 386 Enhanced Mode, der 1988 mit Windows/386 2.x eingeführt wurde. Ein VxD ist eine binäre Kernel-Modus-Komponente, die ein Hardwaregerät oder einen Betriebssystemdienst - wie einen Timer, eine Tastatur, einen Grafikkartenadapter oder einen Disk-Controller - virtualisiert, sodass mehrere gleichzeitig laufende DOS-Anwendungen jeweils glauben können, sie hätten exklusiven Zugriff auf die Hardware.
Intern ist eine .386-Datei ein MZ-DOS-Executable-Stub, gefolgt von einem Linear Executable (LE)-Header. Der LE-Header enthält einen VxD-Deskriptorblock, der die Geräte-ID, Version und Einstiegspunkte für die Initialisierung, I/O-Port-Virtualisierung und Interrupt-Behandlung identifiziert. Windows/386 2.x verwendete ein früheres proprietäres W386-Headerformat, bevor der LE-Standard übernommen wurde.
.386-VxDs laufen vollständig im Ring 0 (Kernel-Modus) ohne Speicherisolierung. Dies machte sie leistungsfähig, aber instabil: Ein fehlerhafter Treiber konnte das gesamte Betriebssystem zum Absturz bringen. Windows NT nutzte von Anfang an das WDM (Windows Driver Model) mit ordnungsgemäßer Kernel-Isolierung; Windows 98 SE begann den Übergang, und Windows Me war die letzte Consumer-Version, die VxDs unterstützte. Windows XP und neuer können .386-Dateien überhaupt nicht laden - das VxD-Subsystem wurde entfernt.
Die gleiche Rolle als virtueller Gerätetreiber wird auch von .vxd-Dateien übernommen (funktionell identisch, andere Erweiterung für dynamische VxDs unter Windows 95/98). Bekannte Beispiele sind VSHARE.386, VFAT.386 und VTDAPI.386. Diese Dateien werden vom Windows-Kernel beim Booten oder bei Bedarf automatisch geladen; sie können und sollten nicht manuell geöffnet werden.
Sicherheit
RISIKO: MEDIUMLegitime .386-Dateien sind Windows-Systemtreiber, die auf modernem Windows harmlos sind (da sie nicht geladen werden). Historisch gesehen nutzte Malware jedoch die Erweiterung .386 unter Windows 9x/Me, um Kernel-Modus-Payloads zu tarnen - auf diesen Betriebssystemen konnten sich Ring-0-VxDs vor Antivirenprogrammen verstecken. Unter Windows XP und neuer können .386-Dateien nicht als VxDs geladen werden und stellen kein Ausführungsrisiko dar. Wenn ein Antivirenprogramm eine .386-Datei auf einem modernen System markiert, handelt es sich wahrscheinlich um eine historische Erkennungssignatur oder eine Datei, die mit der Erweiterung .386 getarnt wurde.
Formatdetails
kurz gefasst- Ventura Publisher Schriftdatei - Einige Versionen von Xerox/Corel Ventura Publisher verwendeten .386 für herunterladbare, 386-optimierte Schriftdaten - selten, vor 1995.
Programme zum Öffnen von 386-Dateien
Windows3 apps
Microsoft Windows (3.x / 95 / 98 / Me - kernel loads automatically)
Kostenpflichtig Nicht vom Benutzer zu öffnen. Windows lädt .386-VxDs automatisch aus dem Abschnitt [386Enh] der SYSTEM.INI oder dem Ordner \WINDOWS\SYSTEM beim Start.
HxD Hex Editor (inspect only)
Kostenlos Als Binärdatei öffnen, um den LE-Header und den VxD-Deskriptorblock zu untersuchen. Kann den Treiber nicht ausführen oder laden.
IDA Pro / Ghidra (reverse engineering)
Open Source Ghidra unterstützt das LE-Format (Linear Executable) zum Deassemblieren alter VxDs. Technische Details
technische Spezifikation| Kodierung | Binäre ausführbare Datei (MZ-DOS-Stub + Linear Executable LE-Body) |
| Byte-Reihenfolge | Little-endian |
| Datei-Header | MZ-Header (4D 5A) bei Offset 0 (DOS-Stub); LE-Header (4C 45) bei dem Offset, auf den das Dword bei 0x3C zeigt |
| Früheste Formatvariante | Windows/386 2.x (1988): proprietärer W386-Header, der dem LE-Standard vorausging |
| Ausführungsebene | Ring 0 (Kernel-Modus) - VxDs laufen mit vollem Hardwarezugriff und ohne Speicherisolierung |
| Typische Dateigröße | 2 KB - 200 KB |
| VxD-Deskriptorblock | Identifiziert Geräte-ID, Version und Einstiegspunkte: Initialisierung, I/O-Port-Handling, Interrupt-Virtualisierung |
| Betriebssystem-Kompatibilität | Windows 2.x (Windows/386) bis Windows Me; nicht ladbar unter Windows XP oder neuer |
| Nachfolgetechnologie | WDM (Windows Driver Model), eingeführt in Windows 98 SE / Windows 2000; Treiber verwenden die Erweiterung .sys |
| Dynamisches Laden | Unterstützt ab Windows for Workgroups 3.11; frühere Versionen verwendeten nur statische VxDs |
| Bekannte Beispiele | VSHARE.386, VFAT.386, VTDAPI.386, EMM386.386, WINA20.386 |
| Veröffentlicht | 1988 (Windows/386 2.x) |
| Neueste Version | Used through Windows Me (2000); superseded by WDM in Windows 98 SE / 2000 |
| Spezifikation | devblogs.microsoft.com |
386-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu 386-Dateien.
