电脑映像劫持是一种通过修改Windows注册表实现程序替换的技术，主要用于恶意软件（如病毒、木马）的隐蔽运行或系统工具的伪装。以下是具体解析：

一、核心概念

定义

映像劫持（Image File Execution Options，简称IFEO）是Windows NT架构系统中，通过注册表项`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options`对可执行程序执行环境进行强制配置的技术。

默认权限

该注册表项默认仅允许管理员和本地系统账户读写修改，普通用户无法直接访问。

二、工作原理

程序重定向

通过修改IFEO，系统在加载程序时会优先使用注册表中指定的可执行文件，而非实际文件路径。例如，将QQ.exe重命名为其他名称（如`FlashGet.exe`）后，系统仍会按配置运行`FlashGet.exe`。

恶意软件利用

病毒或木马程序会利用此机制，将自身伪装成系统或常用程序（如杀毒软件），从而逃避检测。例如，病毒可能将自身注册为`svchost.exe`（系统进程名），导致系统提示“找不到文件”或程序无响应。

三、典型应用场景

病毒伪装

病毒通过修改IFEO，将自身伪装成系统关键进程（如`csrss.exe`），利用系统信任机制隐藏自身存在。

软件冲突规避

某些软件可能因依赖特定系统库引发冲突，通过映像劫持可强制使用兼容版本，避免运行错误。

四、防护与修复

系统监控

安装安全软件时，开启程序白名单功能，屏蔽常见恶意程序名。

注册表修复

若怀疑程序被劫持，可通过系统还原点恢复、杀毒或手动修改注册表（风险较高）。

五、注意事项

权限管理：

普通用户应避免修改IFEO，建议仅允许管理员操作。

工具辅助：使用专业反病毒软件（如360安全卫士、火绒）实时监控异常程序行为。

通过以上措施，可有效防范映像劫持带来的安全风险。