文件（外文名：Document）是现代词，是一个专有名词，指的是形成的正式文书，分为公文、文书、函件和其他文件。文件的范畴很广泛，电脑上运行的程序、杀毒等等都叫文件。狭义的“文件”就是档案的意思，广义的“文件”指公文书信或指有关政策、理论等方面的文章。
梦中有你醒来荒凉梦中无你皆是失望
打开文档或运行程序都是依赖文件关联命令实现的但它却十分脆弱尤其易受木马的攻击例如查杀一种关联EXE文件的木马后会破坏系统中所有EXE可执行程序的关联导致无法启动任何程序既然后果如此严重如何帮助用户检测隐藏的危险并在被破坏时有效修复呢?本文以实例为依据讲解了3种解决方法
一直接修复法
以著名的冰河木马为例该木马除了通过自启动键值来运行外还更改了TXT文档的打开方式（将[HKEY_CLASSES_ROOT\txtfile\shell\open\command]键值修改为C:\WINDOWS\System32\Sysexplr.exe %1）以此达到再次启动的目的
1.检测冰河更改TXT文档打开方式后用户仍然可以打开文档察觉不到关联已经被修改所以具有极大迷惑性但再狡猾的狐狸也难隐藏它的尾巴对于这类更改文件关联木马在打开关联文档的时候它的进程都会出现在进程列表中用户通过新增的进程可以判断出文件关联是否被更改在终止木马进程的前提下打开任务管理器双击TXT文档后可以发现系统新增2个进程notepad.exe和kernel32.exe其中kernel32.exe就是冰河进程
小技巧借助System Information Collect Tool （http://nj.onlinedown.net/soft/39719.htm）这款免费软件可以快速检测到重要的文件关联是否被更改运行该程序后勾选文件关联然后单击开始就可以看到结果（如图1）
2.修复彻底查杀冰河后双击任意一个TXT文档系统就会弹出没有程序关联的提示此时用户可以直接在资源管理器中修复右击任意TXT文档并选择打开方式→选择程序然后单击浏览并选择c:\windows\notepad.exe同时勾选始终用选择的程序打开这种文件确认后即可修复
二注册表键值修复法
电脑中文件类型众多有些木马则可更改多种文件关联类型例如中了名为聪明基因的木马会更改HLP文件和TXT文件关联如果该木马还关联更多类型的文件通过打开每种类型文件来发现木马显然费时费力其实每种文件关联都是由[HKEY_CLASSES_ROOT\文件类型\shell\open]下的command键值来决定的
1.检测文件类型很多时检查很费时而且初学者也不知道各文件的打开命令值是什么此时可预先导出正常系统的[HKEY_CLASSES_ROOT]键值为REG文件（如1.reg）当发现异常时再导出一份（如2.reg）然后通过系统FC命令（fc 1.txt 2.txt）比较后即可快速检测到被更改的关联
小技巧免费文本比较软件WinMerge较FC命令得出结果更直观（http://nj.onlinedown.net/soft/3910.htm）运行程序后单击File→Open按提示导入1.reg和2.reg然后单击OK就可以看到用黄色标注的被更改的文件关联了（如图2）
2.修复用导出的备份文件（1.reg）恢复注册表即可修复被更改的文件关联
小提示因为导出的是[HKEY_CLASSES_ROOT] 键值下所有数值如果某些数据正被系统使用会出现无法导入REG文件的提示但并不影响文件关联的修复
三系统命令修复法
除前面2种方法外还可以利用系统FTYPE命令快速查看和修改文件关联例如对于聪明基因木马如果已经知道HLP和TXT文件关联被更改在命令提示符依次键入
ftype txtfile
ftype hlpfile
可以查看到当前TXT和HLP文件的关联程序接着再依次键入
ftype txtfile=e:\windows\notepad.exe
ftype hlpfile= e:\windows\winhlp32.exe
这样就可以快速修复文件的关联了（如图3）同理可以用上述方法查看怀疑被修改的任意文件类型
小提示木马如果更改EXECOMBAT文件的关联会无法直接运行注册表编辑器修改这时可以新建一个TXT文档输入如下内容并保存为BAT文件
c:\windows\system32\cmd.exe
然后将BAT文件添加到开机脚本中重启系统后就可以在命令提示符下使用ftype命令（ftype exefile="%1"%*）来修复文件关联了