Was ist das SYS-Dateiformat?
Die Erweiterung .sys kennzeichnet Systemdateien, die in Windows- und MS-DOS-Betriebssystemen verwendet werden. Solche Dateien enthalten Daten zu ladbaren Treibern, Geräteeinstellungen und anderen Low-Level-Funktionen. Ohne .sys-Dateien wäre der Betrieb des Systems unmöglich, da sie die Kommunikation zwischen dem Windows-Kernel, Hardware-Geräten und externen Peripheriegeräten ermöglichen.
Die Erweiterung umfasst zwei unterschiedliche Generationen. In der MS-DOS-Ära waren .sys-Dateien textbasierte oder einfache binäre Konfigurations- und Treiberdeskriptoren. Im modernen Windows NT (Windows 2000 und höher) ist eine .sys-Datei ein Portable Executable Kernel-Modus-Treiber-Binär - dasselbe MZ/PE-Format wie .exe- und .dll-Dateien, aber direkt vom Windows-Kernel und nicht von Benutzermoduscode geladen und ausgeführt.
Typische .sys-Dateien
Die bekannteste ältere .sys-Datei ist CONFIG.SYS, bekannt, weil sie alle Treiber-Deklarationen und Konfigurationseinstellungen enthält, die zum Ausführen von MS-DOS notwendig sind. Andere .sys-Dateien aus dieser Ära umfassen:
MSDOS.SYS- Enthält den Basiscode des DOS-Systems, den sogenannten DOS-Kernel.IO.SYS- Enthält Standard-DOS-Treiber und das Programm, das für den DOS-Start verantwortlich ist; verwendet in DOS und Windows 9x.KEYBOARD.SYS- Enthält Informationen über das Tastaturlayout.
Modernes Windows enthält zahlreiche Treiber-.sys-Dateien, wie ntfs.sys (NTFS-Dateisystem-Treiber) und tcpip.sys (TCP/IP-Netzwerk-Stack).
Speicherort von .sys-Dateien
Ein großer Teil der .sys-Dateien im System ist versteckt. Sie befinden sich meist im Windows-Hauptordner; ab Vista sind .sys-Dateien am häufigsten in C:\\Windows\\System32\\drivers\\ und C:\\Windows\\WinSxS\\ zu finden. Hardware-Treiber werden auch in C:\\Windows\\System32\\DriverStore\\FileRepository\\ bereitgestellt.
Weitere Hinweise
- Moderne Windows-Kernel-Modus-
.sys-Treiber laufen in Ring 0 und haben vollen, uneingeschränkten Zugriff auf Systemspeicher und Hardware. - Unter 64-Bit-Windows müssen alle Kernel-Modus-Treiber eine gültige digitale Signatur tragen; nicht signierte Treiber werden beim Start blockiert.
.sys-Dateien sind anfällig für Vireninfektionen und bösartige Software - ein beschädigter Treiber ist eine der häufigsten Ursachen für Blue Screen of Death (BSOD)-Abstürze..sys-Dateien sind PE-Binärdateien, kein Klartext, und können mit Tools wie PE-bear oder Resource Hacker untersucht werden. Eine zugehörige.inf-Datei übernimmt typischerweise die Treiberinstallation.
Sicherheit
RISIKO: MEDIUMDie meisten Treiber-.sys-Dateien sind legitime, signierte Windows-Komponenten und sicher - die wirklichen Gefahren sind zwei: (1) Löschen/Bearbeiten des falschen Eintrags. Das Entfernen eines Treiber-.sys kann zu einem Boot-Fehler oder Bluescreen führen; lassen Sie Windows Update und den Geräte-Manager Treiber verwalten, anstatt die Dateien anzufassen. (2) Bösartige Treiber: Da .sys-Treiber im Kernel laufen, missbrauchen Rootkits und „BYOVD“-Angriffe (Bring Your Own Vulnerable Driver) signierte oder gefälschte .sys-Dateien für den tiefsten Systemzugriff. Behandeln Sie jeden nicht signierten/unbekannten .sys an einem ungewöhnlichen Ort mit Misstrauen - prüfen Sie seine digitale Signatur (Eigenschaften > Digitale Signaturen oder Sigcheck) und scannen Sie ihn. Ein echter Windows-Treiber sollte von Microsoft oder einem bekannten Hardware-Hersteller signiert sein.
Formatdetails
kurz gefasstVOLLSTÄNDIGER NAMEWindows Driver File
ENTWICKLERMicrosoftseit 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries
KATEGORIEBetriebssystemdateien
MIME TYPEapplication/octet-stream
TYPPortable Executable (PE) Kernel-Modus-Treiber-Binär
Diese Erweiterung wird auch verwendet von…
- Reservierte Systemdaten-Blobs (pagefile.sys, hiberfil.sys, swapfile.sys) - Große reservierte Festplattenregionen, die Windows für virtuellen Speicher und Ruhezustand verwaltet - keine Programme und nicht öffenbar.
- Legacy-DOS-Konfigurations-/Textdateien (CONFIG.SYS, HIMEM.SYS) - Reine Text-MS-DOS-Startskripte und alte Real-Modus-Treiber, die in jedem Texteditor geöffnet werden können.
MAGIC BYTES · DATEISIGNATUR
OFFSET
0001
HEX
4D5A
ASCII
MZ
Ein Windows-Treiber-.sys ist ein Portable Executable-Binär: Er beginnt mit „MZ“ (4D 5A) bei Offset 0, mit dem „PE\0\0“-Marker weiter innen (wie ein EXE oder DLL). Der Unterschied zu einem Benutzermodusprogramm ist das PE-Subsystem-Feld, das es als nativen/Kernel-Treiber kennzeichnet.
Programme zum Öffnen von SYS-Dateien
Windows3 apps
Leave it to Windows (do not open a driver .sys)
Integriert Treiber-.sys-Dateien werden von Windows geladen und verwaltet; Sie öffnen sie nicht. Löschen oder bearbeiten Sie sie nicht - das kann das Booten beschädigen oder einen Bluescreen verursachen.
File Properties > Details / Sigcheck
Kostenlos Um einen Treiber-.sys zu identifizieren, Rechtsklick > Eigenschaften > Details (Produkt/Unternehmen) oder führen Sie Sysinternals Sigcheck aus, um seine Signatur und Herkunft zu sehen.
PE viewer (PE-bear / Resource Hacker / Dependency Walker)
Kostenlos Für Entwickler/Analysten: Öffnen Sie einen Treiber-.sys in einem PE-Inspektor, um seine Header, Importe und Versionsinformationen zu sehen (nur zum Lesen). Technische Details
technische Spezifikation| Binärformat | Portable Executable (PE) Kernel-Modus-Treiber; identisches Containerformat wie .exe- und .dll-Dateien |
| Magic-Bytes | 4D 5A („MZ“) bei Offset 0; PE-Signatur 50 45 00 00 bei dem im MZ-Header gespeicherten Offset |
| PE-Subsystem | 1 - IMAGE_SUBSYSTEM_NATIVE; kennzeichnet das Binär als Kernel-/nativen Treiber, nicht als Benutzermodusanwendung |
| Ausführungsprivileg-Ebene | Ring 0 (Kernel-Modus); voller uneingeschränkter Zugriff auf Hardware-Register, physischen Speicher und Systemdatenstrukturen |
| MIME-Typ | application/octet-stream |
| Kernel-Modus-Code-Signierung | Pflicht unter 64-Bit Windows Vista und höher; Treiber müssen WHQL- oder EV-signiert sein; Secure Boot setzt die Signierungsrichtlinie beim Start durch |
| Typischer Installationsort | C:\\Windows\\System32\\drivers\\; Staging-Kopie in C:\\Windows\\System32\\DriverStore\\FileRepository\\ |
| Dateisichtbarkeit | Standardmäßig mit verstecktem Systemattribut versehen; im Explorer nicht angezeigt, ohne „Versteckte Dateien anzeigen“ und „Geschützte Systemdateien anzeigen“ zu aktivieren |
| Lademechanismus | Windows Service Control Manager (SCM) beim Start oder auf Anfrage; Boot-Start-Treiber unter HKLM\\SYSTEM\\CurrentControlSet\\Services in der Registrierung aufgeführt |
| MS-DOS-Legacy-Rolle | Textbasierter oder einfacher binärer Konfigurationsdeskriptor (CONFIG.SYS, IO.SYS, MSDOS.SYS); dem PE-Treiberformat um mehr als ein Jahrzehnt voraus |
| Architektur-Varianten | Separate Builds erforderlich für x86 (32-Bit), x86-64 (AMD64) und ARM64; eine einzelne .sys-Datei zielt auf eine Architektur ab |
| Treiber-Entwicklungsframework | WDM (Windows Driver Model) oder WDF/KMDF (Windows Driver Frameworks - Kernel-Mode Driver Framework); kompiliert mit dem Windows Driver Kit (WDK) |
| Sicherheitsempfindlichkeit | Kritisch - ein fehlerhafter oder bösartiger Kernel-Treiber kann zu Blue Screen of Death (BSOD), Datenverlust oder vollständiger Systemkompromittierung führen |
| Entwickler | Microsoft für eingebaute Windows-Treiber; Hardware-Hersteller liefern zusätzliche signierte .sys-Dateien über INF-basierte Treiberpakete |
| Verwandte Formate | .exe und .dll teilen den PE-Container; .drv ist eine ältere Benutzermodestreiber-DLL; .inf stellt Installationsmetadaten bereit; .vxd war das virtuelle Gerätetreiber-Format für Win9x |
| Veröffentlicht | 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries |
| Spezifikation | learn.microsoft.com |
SYS-Konvertierungen
Nicht möglich
.SYS .DLLWARUM NICHT?
Nein - ein .sys Windows-Treiber ist Code im Kernel-Modus und eine .dll ist eine Bibliothek im Benutzermodus;…
.SYS .EXEWARUM NICHT?
Nein - ein .sys Kernel-Modus-Treiber und eine .exe Benutzer-Modus-Anwendung laufen in getrennten…
.SYS .TXTWARUM NICHT?
Nein - ein moderner Windows .sys-Treiber ist kompilierter Binärcode; es gibt keinen Textinhalt zu…
Community Q&A
von Nutzern gefragt
S
Häufig gestellte Fragen
Wie öffne ich eine .sys-Datei?
Ein Treiber-.sys ist nicht zum Öffnen gedacht - Windows lädt ihn. Um herauszufinden, was es ist, Rechtsklick > Eigenschaften > Details (Unternehmen/Produkt) oder führen Sie Sigcheck aus. Versuchen Sie nicht, einen Treiber-.sys als Text zu öffnen; es ist eine Binärdatei.
Ein Bluescreen erwähnte eine .sys-Datei - was bedeutet das?
Er nennt den Treiber, den Windows für den Absturz verantwortlich hält (z. B. ein Grafik- oder Speichertreiber). Die Lösung besteht in der Regel darin, diesen Treiber zu aktualisieren, zurückzusetzen oder neu zu installieren, nicht daran, die Datei anzufassen. Suchen Sie den genauen .sys-Namen, um herauszufinden, zu welchem Gerät er gehört.
Ist eine .sys-Datei ein Virus?
Normalerweise nein - die meisten sind legitime, signierte Treiber. Da Treiber aber im Kernel laufen, können Malware (Rootkits) als .sys-Dateien getarnt werden. Prüfen Sie die digitale Signatur (Eigenschaften > Digitale Signaturen) und scannen Sie unbekannte; ein echter Windows-Treiber ist von Microsoft oder dem Hardware-Hersteller signiert.
Kann ich eine .sys-Datei löschen, um Speicherplatz freizugeben?
Löschen Sie keine Treiber-.sys-Dateien - das Entfernen einer kann Hardware deaktivieren oder den Windows-Start verhindern. (Einige andere .sys-Dateien, die Sie bemerken können, wie pagefile.sys oder hiberfil.sys, sind reservierte Windows-Daten, keine Treiber, und werden am besten auch über Windows-Einstellungen verwaltet, nicht per Hand gelöscht.)
Kann ich eine .sys-Datei in .exe oder .dll konvertieren?
Nein. Ein Treiber-.sys ist ein Kernel-Modus-Binär, keine ausführbare Anwendung oder Bibliothek im Benutzermodus, daher gibt es keine sinnvolle Konvertierung.
Wie aktualisiere ich den bei einem Absturz genannten Treiber?
Identifizieren Sie das Gerät, zu dem der .sys gehört (Eigenschaften > Details oder suchen Sie den Dateinamen), dann aktualisieren Sie ihn über den Geräte-Manager oder die Website des Hardware-Herstellers. Wenn ein aktuelles Update den Absturz verursacht hat, setzen Sie den Treiber stattdessen zurück.
Quellen
1Microsoft - Windows Driver Kit / drivers documentationlearn.microsoft.com
2Microsoft - PE Format (Portable Executable)learn.microsoft.com
