微软工程师揭秘：Win95 靠“名字”识别安装程序

先说个冷知识：Windows 95 当年是怎么判断一个程序是不是安装包的？方法简单到让你有点不敢相信——全靠“猜名字”。

事情是这样的。7月7日，微软资深工程师雷蒙德·陈在官方博客里回忆了这段历史。Windows 95 本身虽然已经有能力拦截那些有缺陷的第三方安装程序，防止它们擅自降级系统组件，但一个更棘手的问题摆在了面前：系统到底怎么知道当前正在运行的程序到底是不是安装程序？

为了解决这个问题，微软用了一套在今天看来相当“原始”的启发式判定机制。核心逻辑很直白：系统会盯着运行中的程序文件名——如果文件名里包含

、、 这类关键词，就默认它八成是安装程序。而且这套机制还贴心地收录了其他语种的变体，比如意大利语的 、土耳其语的 、希伯来语的 。

可要是文件名里没有这些关键词怎么办？别急，还有备用方案。系统会去检查这个可执行文件的完整存储路径里是否带有

一词。背后的逻辑其实一样：正经的安装程序，文件路径通常都会带点标识，方便系统“认出来”。

有意思的是，这两种判定场景下，系统并不会立即对文件做校验，而是延迟到下次开机再动手。为什么？陈解释说，有些安装程序在检测到系统文件被占用、无法直接替换时，会调用

函数退出 Windows，切回 MS-DOS 环境跑批处理脚本，之后再重启 Windows。所以必须等到系统重启，才能抓到那些脚本非法篡改的系统文件。

当然，凡事都有例外。通过 INF 文件安装多媒体驱动时，Windows 95 会进行实时校验——当时负责多媒体驱动开发的团队拿到了特殊豁免权限，可以直接绕开这套延迟机制。

回过头来看，Windows 95 当年靠着这么一套简陋的“猜名字”逻辑来识别安装程序，确实有点草台班子的味道。不过考虑到那是上世纪90年代的技术，倒也能理解。再看看今天，恶意程序攻击手段已经复杂、成熟到什么程度了？可想而知，Windows 11 这类现代操作系统早就不玩这套了，取而代之的是更精密、更先进的识别方案。