首页 » 全部文章 » 办公软件 • 知识与技巧 » 阅读文章
通过映像劫持实现Notepad2替换记事本

通过映像劫持实现Notepad2替换记事本

文章分类: 办公软件 • 知识与技巧 - 更新时间: 2011/5/14

Notepad2是一个相当优秀的轻量级文本编辑器，开源软件，具有很多特色功能，如代码高亮、编码转换、行号显示、多步Ctrl+Z等，是不可多得的记事本替代方案。

开始使用Notepad2后，我是在Total Commander里设置F3和F4来调用，但在TC之外，就不是太好操作了。直接替换notepad.exe的方式不太喜欢，而且配置文件保存在C盘，不利于便携，于是我就手动更改txt、bat、nsi、ini、reg等格式的文件关联，但总归不方便。

后来无意间发现官方的替代默认记事本的方法，才是豁然开朗、相见恨晚，它是用Image File Execution Options的方式来实现替换，Image File Execution Options就是映像劫持技术，通过此种方式替换记事本，非常地绿色环保。

Image File Execution Options是CreateProcess函数中的一个功能，即在可执行程序运行时，Windows会先检测对应IFEO中的Debugger值，如果存在这个参数的话，就运行这个参数中指定的程序，好像是程序调试之用，具体可以见这里。

Notepad2

大体原理是这样的，修改Image File Execution Options键值后，在有notepad.exe运行请求的时候，就欺骗系统转而运行notepad2.exe：

  1. 创建如下注册表项：HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsnotepad.exe，如果无法修改，需要先右键取得权限；
  2. 在notepad.exe注册表项中，创建名为Debugger的字符串值(REG_SZ)；
  3. 修改字符串值Debugger的数据为Notepad2.exe的完整路径，最后以 /z参数结尾。
    如："D:Program FilesNotepad2Notepad2.exe" /z

Notepad2

或直接创建如下注册表文件，然后导入：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsnotepad.exe]
"Debugger"=""D:Program FilesNotepad2Notepad2.exe" /z"

相关的软件或文章

Notepad2-mod 4.2.25.998 - 轻量级文本编辑器、代替记事本的最佳选择Notepad2-mod 4.2.25.998 - 轻量级文本编辑器、代替记事本的最佳选择 (2017/10/3)23671 次下载|立即下载|所有版本

功能强大的文本编辑器：EditPlus汉化绿色便携版功能强大的文本编辑器：EditPlus汉化绿色便携版 (2011/9/24)7147 次下载|立即下载

AptEdit绿色版：功能丰富的文本/HEX/HTML/程序编辑器AptEdit绿色版：功能丰富的文本/HEX/HTML/程序编辑器 (2008/12/19)2090 次下载|立即下载

排版助手(Gidot Typesetter)绿色便携版排版助手(Gidot Typesetter)绿色便携版 (2008/11/5)4212 次下载|立即下载

本文标签

/ / / / / / / /

分享你的心情或观点

已有 114 条评论
  1. 前来请教

    真遗憾现在才看到你的回复，如果你还能看到我给你发的这条回复的话，方便说说具体怎么用wscript修正吗？

    回复
  2. 17码

    不行啊改了之后运行用文本文件都是显示“请求的操作需要提升” 无法打开 有人也是这种情况吗怎么破

    回复
  3. Laycher

    能新建，也能插入值，但是不能重名键名，提示：注册表编辑器无法重命名 重命名值时出现错误，没有运行360等安全软件。进程里面也没有。奇怪了。权限都赋予了。求指教。

    回复
  4. K

    现在的安全软件，检测到映像劫持就会直接处理的，根本不管是否恶意

    回复
  5. hl

    win7下试了好几次没成功 , 猛然醒悟, 改下txt关联不久行啦 ,哈哈

    回复
    • 黯然过客

      修改txt关联也是可以的，但仅仅是针对txt文件。。不成功一般是因为杀毒软件等的拦截，毕竟映像劫持一般被认为是危险操作。。

      回复
  6. enver

    写了段劫持记事本的批处理脚本，放到Notepad2目录下运行即可。＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝@echo offset regkey=HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsnotepad.exereg add “%regkey%” /v “test” /f 1>nul 2>nul && (reg delete “%regkey%” /v “test” /f) || (echo.&echo.&echo 缺少权限，请右键点击此脚本，选择“以管理员身份运行”。&pause>nul&exit):beginclsfor /L %%i in (1,1,5) do echo.set num=0reg query “%regkey%” /v “Debugger” 1>nul 2>nul && goto undo || goto done:doneset /P num=记事本[未劫持]，是否开启劫持？（ 1–是，其他–否 ） :echo %num%if %num% equ 1 reg add “%regkey%” /v “Debugger” /d “”%~dp0Notepad2.exe” /z” /fgoto begin:undoset /P num=记事本[已劫持]，是否取消劫持？（ 1–是，其他–否 ） :echo %num%if %num% equ 1 reg delete “%regkey%” /fgoto begin＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

    回复
    • ZZQ

      这个更方便，谢谢

      回复
  7. 豆杀包

    已经爱上sublimetext

    回复
  8. eddie

    只能打开一个啊？

    回复
  9. eddie

    没有用啊站长

    回复
    • eddie

      新建notepad.exe提示错误

      回复
  10. lw

    请问如何恢复为原配的呢？

    回复
  11. cooh

    我用的是note++pe替换系统文件，自动打开的

    回复
  12. special-feng

    reg add “HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsnotepad.exe” /v “Debugger” /t REG_SZ /d “程序路径Notepad2.exe /z” 可用

    回复
  13. iShare

    直接用右键菜单编辑器添加右键菜单，所有文件都在右键添加一个使用notepad2打开选项

    回复
    • 黯然过客

      这样只能是手动调用notepad2了，无法自动执行。。

      回复
  14. bxrjmajin

    我的系统是XP SP3 查了下，那个注册表编辑器是5.1版本的，不知道创建那个替换系统记事本的.reg文件会出问题吗？有必要将Windows Registry Editor Version 5.00改成Windows Registry Editor Version 5.1吗？菜鸟不敢乱动。。。等回复

    回复
  15. liberty

    映像劫持后可以使用，但只要电脑一用网银盾就会反弹成自带的记事本，不知道是网银程序的问题，还是360在保护的问题，请求高手解答

    回复
  16. 棉花糖_Shimeon

    靠，忘了注册表文件后缀是什么了

    回复
  17. William Lai

    我这边劫持失败，估计是有windows优化大师在作祟……

    回复
    • 黯然过客

      这个注册表位置比较特殊，很多安全类工具都在监控着。。。

      回复
  18. frank

    高，高，实在是高

    回复
  19. ForzaRicky

    我导入注册表项后打开任意文档都会提示Windows找不到指定位置，请问，怎么解决啊…..

    回复
    • 黯然过客

      到注册表位置，看看是不是格式或语法错误。不行就删除了。。

      回复
  20. Anthony

    直接导入就可以吗？不用创建注册表项什么的吗？

    回复
  21. anyone

    最新版的editplus, 只需要后面加 /d 即可

    回复
  22. Remember

    可以用这种办法让任何编辑器劫持notepad，但是那个传递参数会导致打开一个notepad在新的编辑器里，用wscript可以完美修正。

    回复
  23. JavasBoy

    我也遇到这个问题了。

    回复
    • 黯然过客

      要么是不支持这种方式。要么试试楼下的加上 /d 参数。

      回复
      • JavasBoy

        试过来，还是会多打开几个，正在找其它的方法，我的系统是XP。

        回复
  24. 为蛇画足

    杯具，怎么取得权限？系统win7，管理员登陆，权限无法修改

    回复
    • 黯然过客

      右键单击对应的注册表项，有权限设置的。

      回复
  25. meetxu

    提示传递给系统调用的数据区域太小

    回复
  26. e

    不错~我也替换了，博主你说你用的影子系统 用的SD 吗？

    回复
  27. tor

    win7 64 中文版notepad测试成功，将键值导出来保存。
    问下输入键值时，参数/z有什么用啊？谢谢

    回复
  28. livepool

    要是支持多标签就好了

    回复
  29. f

    reg add “HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe” /v “Debugger” /t REG_SZ /d “\”%~dp0Notepad2.exe\” /z /d” /f
    Notepad2 v3.0.20.21 XFLY版这样做不行,notepad2能启动,可没执行打开文件操作

    回复
  30. hhsc

    360禁止REG，增加白名单也不行

    回复
    • 黯然过客

      @hhsc, 呃 那你看看能不能忽略啥的。。这个映像劫持很多恶意软件使用，所以安全软件检查的比较严格。。。

      回复
  31. 夜痕

    为什么不直接右键打开方式选择浏览程序然后设为默认，酱紫不是很简单么

    回复
    • 黯然过客

      @夜痕, 设置默认打开方式的话，得一种一种格式来设置，通用性不太好；映像劫持安装卸载都方便，而且不管以何种方式调用notepad，都可以启动notepad2，一劳永逸。。

      回复
  32. 大海水

    强大

    回复
  33. g

    汗，安全模式下成功。 360关了都还在“作恶”。

    回复
    • 黯然过客

      @g, 映像劫持是比较敏感的操作，360检测也是应该的，看看能否忽略或添加到白名单。

      回复
  34. zjg

    确实非常好用，解决了长期以来头疼的问题

    回复
  35. 彩讯网

    在WIN 7 64位下好像没有用~~~

    回复
  36. 白ぃ目

    自己找到原因了,原来是360在搞鬼!
    不过并不打算因此就不用360了!
    没有两全其美的方法!!!

    回复
    • 黯然过客

      @白ぃ目, 安全软件对这注册表位置是比较敏感的，最好是暂停防护后修改，然后添加到信任列表。

      回复
  37. 白ぃ目

    我的系统不知道怎么回事,不能在那里对注册表键值进行重命名,修改了注册表项的权限后,可以重命名了,但是不能命名为”Debugger”,好奇怪的毛病啊!!!
    系统是XP SP3

    回复
  38. hylau

    64位系统怎么就不行呢

    回复
  39. Peter Pan

    哇～太棒了～这个很方便啊！！！不用再弄一堆了，谢谢黯然过客！！

    回复
  40. 三环路

    知之恨晚～～

    回复
  41. Logia

    So cool, 文件关联一直就想怎么办好，portablesoft真不错~

    回复
  42. Event

    不錯的軟件，但我還是比較喜歡 Notepad++

    回复
  43. Chris

    替换.bat

    @if not exist .\\Backup md .\\Backup
    @if not exist .\\Backup\\notepad.EXE copy %SystemRoot%\\system32\\notepad.exe .\\Backup
    @copy /y notepad2.exe %SystemRoot%\\notepad.exe
    @copy /y Notepad2.ini %SystemRoot%\\Notepad2.ini
    @copy /y notepad2.exe %SystemRoot%\\system32\\notepad.exe
    @copy /y Notepad2.ini %SystemRoot%\\system32\\Notepad2.ini
    @copy /y notepad2.exe %SystemRoot%\\system32\\dllcache\\notepad.exe
    @copy /y Notepad2.ini %SystemRoot%\\system32\\dllcache\\Notepad2.ini

    还原.bat
    @if not exist .\\notepad原版.ini copy /y .\\notepad.ini .\\notepad原版.ini
    @copy /y %SystemRoot%\\system32\\notepad.ini .\\
    @del /q %SystemRoot%\\system32\\notepad.ini
    @copy /y .\\Backup\\notepad.exe %SystemRoot%\\
    @copy /y .\\Backup\\notepad.exe %SystemRoot%\\system32\\
    @copy /y .\\Backup\\notepad.exe %SystemRoot%\\system32\\dllcache

    以上保存为批处理bat文件后放在notepad2目录下就好了，双击替换.bat自动替换系统记事本并将系统记事本保存到notepad2同目录下的backup文件夹里

    回复
  44. Remember

    像zhfi1022汉化版一样，向所有文件格式添加右键open with notepad2 应该怎么改注册表？

    回复
  45. 不着调软件

    暂时使用自带的吧！

    回复
  46. liamxis

    这个方法不错，能不能提供一个反注册的reg文件？
    就是不想用了，直接双击reg还原？

    回复
    • 黯然过客

      将下面另存为.reg文件导入即可(注意空行不要丢了)
      Windows Registry Editor Version 5.00

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe]
      Debugger=-

      回复
  47. deagle999

    这个比错。如果能结合到securecrt上。
    执行telnet时自动调用securecrt，不过默认CRT是要加参数启动，命令行的没了解。最近要考试。下周试试。
    希望能得到站长指导

    回复
    • 黯然过客

      @deagle999, 要是加载参数启动的话，这个便携版就不能处理了，只能针对特别应用修改Loader了。

      回复
  48. loveguo

    有了EmEditor还需要其他编辑器吗？我觉得就够用了

    回复
  49. 大老虎

    一直用notepad2,很喜欢~~

    回复
  50. 孤雪鸯

    还是习惯notepad++和emeditor。需要的格式设置一下，不需要的保留记事本

    回复
  51. 安卓汇

    这个办法很好啊，换这个编辑器了。。

    回复
  52. jiayiming

    原版的正则实在用不顺手 还没代码折叠。。 只有xfly_t的版本比较完美 还支持分组捕获 就是版本还没到4.2。。

    回复
  53. 78461

    np2我一直用的是zhfi1022汉化的《NotePad2 v4.1.24 Final 简体版 (非官方)》。
    下载地址：http://hi.baidu.com/zhfi1022/blog/item/814e5a8b549bf318c8fc7a90.html

    有时会换用eme和np++。

    回复
  54. kli

    @anyone,

    我用的AkelPad 加了/d 依旧

    回复
    • 黯然过客

      @kli, 很可能AkelPad不支持此种方式，这个Image File Execution Debugging也是有兼容性问题的。

      回复
  55. Comzyh

    这个方法够狠，貌似没太大必要，是一种新思路

    回复
  56. gbcwbz

    我安装那个mod版后，打开txt文件直接就是用的notepad2不用修改啊

    回复
  57. yee

    原来还有必要这样？
    其实基本通过右击设置默认打开方式足够用了。

    回复
    • 黯然过客

      @yee, 右键设置默认打开方式也是可以的，但是挺麻烦的，每种文件类型都要设置下，而且有的格式如.reg就不方便直接设置打开方式了。这里的替代，是在所有调用默认记事本的情况下，转而运行notepad2，统一设置就很便利了。

      回复
  58. onlyisu

    哈哈，又学到好东西啦，十分感谢

    回复
  59. kli

    劫持失败了,打开文本的时候,提示c:\windows\notepad.exe是一个二进制文件,是否打开:
    点是,就是劫持的文本软件将notepad以二进制形式打开,然后再打开需要打开的文本文件:点否,就只显示空白的文件,需要打开的也没打开

    郁闷啊

    回复
    • anyone

      我也遇到同样的问题，但是我是使用editplus替换notepad。打开文件的时候，除了双击的那个文本被打开，还会自动打开一个notepad.exe的文件，实际就是将notepad.exe在editplus中打开了。每次都如此，其他的朋友没有遇到这个问题吗？

      回复
    • anyone

      @kli,

      我在下面这个链接找了个方法。
      http://stackoverflow.com/questions/2984846/set-image-file-execution-options-will-always-open-the-named-exe-file-as-default

      在后面加一个参数 /d

      也就是最终：
      “d:/notepad2.exe” /z /d

      你试试。反正我这里好了。

      回复
    • 黯然过客

      @kli, 这个比较奇怪，是最新的notepad2吧？注册表里的数据和参数没错吧？方便的话最好把注册表数据截图发出来看看。

      回复
      • liamxis

        @黯然过客,
        同问，我是替换为Emediter，也是同时会打开一个notepad.exe。
        Windows Registry Editor Version 5.00

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe]
        “Debugger”=”\”F:\\EmEditor\\EmEditor.exe\” /z”

        回复
  60. 兔拉鱼

    我是个电脑菜鸟，希望能直接有个集成汉化与替代一体的notepad2，那样就方便了。

    回复
    • 黯然过客

      @兔拉鱼, 汉化的话这里有：http://hi.baidu.com/zhfi1022/blog/item/814e5a8b549bf318c8fc7a90.html，替换暂时没有，不过很容易操作的。

      回复
  61. appleman

    不错 已经测试成功了，其他软件支持镜像劫持吗？

    回复
    • 黯然过客

      @appleman, 大部分是支持的，不过要是软件开发的时候做过特殊处理的话，会无视此参数的，具体的原理我就不懂了。

      回复
  62. keeds

    早用了，确实很方便，映像劫持后所有出现记事本的地方都被替换，一劳永逸，即使重装系统也只要导入注册表，就为这一点，我就不想再用其他编辑器了

    回复
  63. elaphent

    这个方法很赞啊

    回复
  64. adwords

    这样的话是不是内存就占用的少了？

    回复
  65. 落水的猫

    杀软不会误报吗?

    回复

发表评论

电子邮件地址不会被公开，必填项已用 * 标注。

(重置?)