在IE里输入以下“网址”，看看出来什么了？

res://shell32.dll/2/131

res://C:\WINDOWS\system32\drivers\estbus.sys/16/1

res://notepad.exe/16/1

res://shell32.dll/16/1

是不是可以用来分析 exe dll sys 的版本呢？只要符合 Win32 PE 格式的文件都可以用 res:// 协议来分析。其中第二个数字是资源类型，在 VC++ 的 winuser.h 里有定义

#define RT_CURSOR MAKEINTRESOURCE(1)
#define RT_BITMAP MAKEINTRESOURCE(2)
#define RT_ICON MAKEINTRESOURCE(3)
#define RT_MENU MAKEINTRESOURCE(4)
#define RT_DIALOG MAKEINTRESOURCE(5)
#define RT_STRING MAKEINTRESOURCE(6)
#define RT_FONTDIR MAKEINTRESOURCE(7)
#define RT_FONT MAKEINTRESOURCE(8)
#define RT_ACCELERATOR MAKEINTRESOURCE(9)
#define RT_RCDATA MAKEINTRESOURCE(10)
#define RT_MESSAGETABLE MAKEINTRESOURCE(11)
#define RT_VERSION MAKEINTRESOURCE(16)
#define RT_DLGINCLUDE MAKEINTRESOURCE(17)
#define RT_PLUGPLAY MAKEINTRESOURCE(19)
#define RT_VXD MAKEINTRESOURCE(20)
#define RT_ANICURSOR MAKEINTRESOURCE(21)
#define RT_ANIICON MAKEINTRESOURCE(22)
#define RT_HTML MAKEINTRESOURCE(23)

res:// 用处大了，可以用来提取图片、AVI、光标、图标等。

还有一个很NB的专门用来分析文件图标的协议 sysimage，只是只从上次出了个 文件探测 的漏洞以后，貌似微软就把这个协议封了，IE7里直接禁用了，郁闷。