Qu'est-ce que le format de fichier SYS ?
L'extension .sys indique des fichiers système utilisés dans les systèmes d'exploitation Windows et MS-DOS. Ces fichiers contiennent des données concernant les pilotes chargeables, les paramètres des périphériques et d'autres fonctions de bas niveau. Sans fichiers .sys, l'exploitation du système serait impossible, car ils permettent la communication entre le noyau Windows, les périphériques matériels et les périphériques externes.
L'extension couvre deux générations distinctes. À l'époque de MS-DOS, les fichiers .sys étaient basés sur du texte ou de simples descripteurs binaires de configuration et de pilotes. Dans le Windows NT moderne (Windows 2000 et versions ultérieures), un fichier .sys est un binaire de pilote en mode noyau Portable Executable - le même format MZ/PE que les fichiers .exe et .dll, mais chargé et exécuté directement par le noyau Windows plutôt que par un code en mode utilisateur.
Fichiers .sys typiques
Le fichier .sys hérité le plus courant est CONFIG.SYS, bien connu car il contient toutes les déclarations de pilotes et les paramètres de configuration nécessaires au fonctionnement de MS-DOS. D'autres fichiers .sys de cette époque incluent :
MSDOS.SYS- Contient le code de base du système DOS, appelé noyau DOS.IO.SYS- Contient les pilotes DOS standard et le programme responsable du démarrage de DOS ; utilisé dans DOS et Windows 9x.KEYBOARD.SYS- Contient des informations sur la disposition du clavier.
Le Windows moderne contient de nombreux fichiers .sys de pilotes, tels que ntfs.sys (pilote du système de fichiers NTFS) et tcpip.sys (pile réseau TCP/IP).
Emplacement des fichiers .sys
Une grande partie des fichiers .sys au sein du système est cachée. Ils se trouvent généralement dans le dossier principal Windows ; sous Vista et versions plus récentes, les fichiers .sys sont le plus souvent situés dans C:\Windows\System32\drivers\ et C:\Windows\WinSxS\. Les pilotes matériels sont également stockés dans C:\Windows\System32\DriverStore\FileRepository\.
Notes additionnelles
- Les pilotes
.sysen mode noyau du Windows moderne s'exécutent au Ring 0 et disposent d'un accès complet et illimité à la mémoire système et au matériel. - Sur Windows 64 bits, tous les pilotes en mode noyau doivent porter une signature numérique valide ; les pilotes non signés sont bloqués au démarrage.
- Les fichiers
.syssont sensibles aux infections virales et aux logiciels malveillants - un pilote corrompu est une cause majeure de plantages par écran bleu (BSOD). - Les fichiers
.syssont des binaires PE, pas du texte brut, et peuvent être inspectés avec des outils tels que PE-bear ou Resource Hacker. Un fichier.infassocié gère généralement l'installation du pilote.
Sécurité et sûreté
RISQUE : MEDIUMLa plupart des fichiers .sys de pilotes sont des composants Windows légitimes et signés et sont sûrs - les dangers réels sont de deux ordres : (1) supprimer/modifier le mauvais fichier. La suppression d'un pilote .sys peut entraîner un échec de démarrage ou un écran bleu ; laissez Windows Update et le Gestionnaire de périphériques gérer les pilotes plutôt que de toucher aux fichiers. (2) Pilotes malveillants : comme les pilotes .sys s'exécutent dans le noyau, les rootkits et les attaques « BYOVD » (bring-your-own-vulnerable-driver) abusent de fichiers .sys signés ou faux pour obtenir le niveau d'accès système le plus profond. Traitez tout .sys non signé/inconnu dans un emplacement inhabituel avec suspicion - vérifiez sa signature numérique (Propriétés > Signatures numériques, ou Sigcheck) et analysez-le. Un véritable pilote Windows doit être signé par Microsoft ou un fabricant de matériel connu.
Détails du format
en brefNOM COMPLETWindows Driver File
DÉVELOPPEURMicrosoftdepuis 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries
CATÉGORIEFichiers système
TYPE MIMEapplication/octet-stream
TYPEBinaire de pilote en mode noyau Portable Executable (PE)
Cette extension est également utilisée par…
- Blobs de données système réservés (pagefile.sys, hiberfil.sys, swapfile.sys) - Grandes régions de disque réservées que Windows gère pour la mémoire virtuelle et l'hibernation - ce ne sont pas des programmes et ils ne sont pas ouvrables.
- Fichiers texte/configuration DOS hérités (CONFIG.SYS, HIMEM.SYS) - Scripts de démarrage MS-DOS en texte brut et anciens pilotes en mode réel qui s'ouvrent dans n'importe quel éditeur de texte.
OCTETS MAGIQUES · SIGNATURE DE FICHIER
OFFSET
0001
HEX
4D5A
ASCII
MZ
Un pilote Windows .sys est un binaire Portable Executable : il commence par « MZ » (4D 5A) à l'offset 0, avec le marqueur « PE\0\0 » plus loin (comme un EXE ou une DLL). La différence avec un programme en mode utilisateur est le champ du sous-système PE qui le marque comme un pilote natif/noyau.
Programmes qui ouvrent les fichiers SYS
Windows3 apps
Leave it to Windows (do not open a driver .sys)
Intégré Les fichiers .sys des pilotes sont chargés et gérés par Windows ; vous ne les ouvrez pas. Ne les supprimez pas et ne les modifiez pas - cela peut empêcher le démarrage ou provoquer un écran bleu.
File Properties > Details / Sigcheck
Gratuit Pour identifier un pilote .sys, faites un clic droit > Propriétés > Détails (produit/société), ou lancez Sysinternals Sigcheck pour voir sa signature et son origine.
PE viewer (PE-bear / Resource Hacker / Dependency Walker)
Gratuit Pour les développeurs/analystes : ouvrez un pilote .sys dans un inspecteur PE pour visualiser ses en-têtes, ses imports et ses informations de version (analyse en lecture seule). Détails techniques
spécifications approfondies| Format binaire | Pilote en mode noyau Portable Executable (PE) ; format de conteneur identique aux fichiers .exe et .dll |
| Octets magiques | 4D 5A (« MZ ») à l'offset 0 ; signature PE 50 45 00 00 à l'offset stocké dans l'en-tête MZ |
| Sous-système PE | 1 - IMAGE_SUBSYSTEM_NATIVE ; marque le binaire comme un pilote noyau/natif, pas une application en mode utilisateur |
| Niveau de privilège d'exécution | Ring 0 (mode noyau) ; accès complet et illimité aux registres matériels, à la mémoire physique et aux structures de données système |
| Type MIME | application/octet-stream |
| Signature de code en mode noyau | Obligatoire sur Windows Vista 64 bits et versions ultérieures ; les pilotes doivent être signés WHQL ou EV ; Secure Boot applique la politique de signature au démarrage |
| Emplacement d'installation typique | C:\Windows\System32\drivers\ ; copie de stockage conservée dans C:\Windows\System32\DriverStore\FileRepository\ |
| Visibilité du fichier | Attribut système caché défini par défaut ; non affiché dans l'Explorateur sans activer à la fois « Afficher les fichiers cachés » et « Masquer les fichiers protégés du système d'exploitation » |
| Mécanisme de chargement | Gestionnaire de contrôle des services Windows (SCM) au démarrage ou à la demande ; pilotes de démarrage répertoriés sous HKLM\SYSTEM\CurrentControlSet\Services dans le registre |
| Rôle hérité MS-DOS | Descripteur de configuration textuel ou binaire simple (CONFIG.SYS, IO.SYS, MSDOS.SYS) ; antérieur au format de pilote PE de plus d'une décennie |
| Variantes d'architecture | Versions distinctes requises pour x86 (32 bits), x86-64 (AMD64) et ARM64 ; un seul fichier .sys cible une seule architecture |
| Framework de développement de pilotes | WDM (Windows Driver Model) ou WDF/KMDF (Windows Driver Frameworks - Kernel-Mode Driver Framework) ; compilé avec le Windows Driver Kit (WDK) |
| Sensibilité sécuritaire | Critique - un pilote noyau défectueux ou malveillant peut provoquer un écran bleu (BSOD), une corruption de données ou une compromission totale du système |
| Développeur | Microsoft pour les pilotes intégrés à Windows ; les fabricants de matériel fournissent des fichiers .sys signés supplémentaires via des packages de pilotes basés sur INF |
| Formats liés | .exe et .dll partagent le conteneur PE ; .drv est une DLL de pilote en mode utilisateur héritée ; .inf fournit les métadonnées d'installation ; .vxd était le format de pilote de périphérique virtuel de Win9x |
| Publié | 1981 (MS-DOS used .SYS for drivers); modern Windows NT drivers are PE binaries |
| Spécification | learn.microsoft.com |
Conversions SYS
Impossible
.SYS .DLLPOURQUOI PAS ?
Non - un pilote Windows .sys est un code en mode noyau et un .dll est une bibliothèque en mode utilisateur ;…
.SYS .EXEPOURQUOI PAS ?
Non - un pilote en mode noyau .sys et une application en mode utilisateur .exe s'exécutent dans des…
.SYS .TXTPOURQUOI PAS ?
Non - un pilote Windows .sys moderne est un code binaire compilé ; il n'y a pas de contenu textuel à extraire…
Q&R de la communauté
posées par les utilisateurs
S
Foire aux questions
Comment ouvrir un fichier .sys ?
Un pilote .sys n'est pas destiné à être ouvert - Windows le charge. Pour savoir de quoi il s'agit, faites un clic droit > Propriétés > Détails (société/produit) ou lancez Sigcheck. N'essayez pas d'ouvrir un pilote .sys comme du texte ; c'est un binaire.
Un écran bleu a mentionné un fichier .sys - qu'est-ce que cela signifie ?
Il nomme le pilote que Windows estime être à l'origine du plantage (par exemple, un pilote graphique ou de stockage). La solution consiste généralement à mettre à jour, restaurer ou réinstaller ce pilote, et non à toucher au fichier. Recherchez le nom exact du .sys pour trouver à quel périphérique il appartient.
Un fichier .sys est-il un virus ?
Généralement non - la plupart sont des pilotes signés légitimes. Mais comme les pilotes s'exécutent dans le noyau, des logiciels malveillants (rootkits) peuvent se masquer en fichiers .sys. Vérifiez la signature numérique (Propriétés > Signatures numériques) et analysez ceux qui sont inconnus ; un vrai pilote Windows est signé par Microsoft ou le fabricant du matériel.
Puis-je supprimer un fichier .sys pour libérer de l'espace ?
Ne supprimez pas les fichiers .sys des pilotes - en supprimer un peut désactiver le matériel ou empêcher Windows de démarrer. (D'autres fichiers .sys que vous pourriez remarquer, comme pagefile.sys ou hiberfil.sys, sont des données Windows réservées, pas des pilotes, et il est préférable de les gérer via les paramètres de Windows plutôt que de les supprimer à la main.)
Puis-je convertir un fichier .sys en .exe ou .dll ?
Non. Un pilote .sys est un binaire en mode noyau, pas une application exécutable ou une bibliothèque en mode utilisateur, il n'y a donc pas de conversion significative.
Comment mettre à jour le pilote nommé dans un plantage ?
Identifiez le périphérique auquel appartient le .sys (Propriétés > Détails, ou recherchez le nom du fichier), puis mettez-le à jour via le Gestionnaire de périphériques ou le site du fabricant du matériel. Si une mise à jour récente a causé le plantage, restaurez plutôt la version précédente du pilote.
Références
1Microsoft - Windows Driver Kit / drivers documentationlearn.microsoft.com
2Microsoft - PE Format (Portable Executable)learn.microsoft.com
