冰點(diǎn)還原精靈和影子系統(tǒng)哪個(gè)好,還原精靈和影子系統(tǒng)

　　隨著互聯(lián)網(wǎng)的發(fā)展，電腦已經(jīng)成為我們?nèi)粘Ｉ钪胁豢苫蛉钡霓k公娛樂(lè)產(chǎn)品。當(dāng)我們使用電腦時(shí)，保護(hù)電腦系統(tǒng)是不可避免的?，F(xiàn)在最流行的系統(tǒng)保護(hù)軟件是冰點(diǎn)恢復(fù)器。除了冰點(diǎn)恢復(fù)器，還有影子系統(tǒng)等很多類似的軟件。很多人都在問(wèn)邊肖哪一個(gè)適合自己用。為了幫助你解決問(wèn)題，邊肖將分析冰點(diǎn)恢復(fù)器和陰影系統(tǒng)的區(qū)別。

　　影子系統(tǒng)工作原理：

　　所謂影子系統(tǒng)，即重啟系統(tǒng)的所有測(cè)試(操作)都將不復(fù)存在。也就是硬盤(pán)還原卡，還原向?qū)У葘傩远际且粯拥摹脑到y(tǒng)進(jìn)入影子系統(tǒng)，然后退出影子系統(tǒng)，再回到原系統(tǒng)的整個(gè)過(guò)程都不會(huì)被記錄，比如文件存儲(chǔ)、在線記錄、軟件安裝等。

　　它的原理應(yīng)該類似于恢復(fù)精靈的原理。說(shuō)到它真正的原理，我就不廢話了。我只是通過(guò)測(cè)試猜出來(lái)的。你應(yīng)該用過(guò)InstallWatch之類的監(jiān)控軟件，監(jiān)控每一條操作記錄。這個(gè)類在重啟時(shí)執(zhí)行相反的操作。

　　PowerShadow Master(影子系統(tǒng))是一個(gè)很奇怪的小軟件。當(dāng)您安裝它并重新啟動(dòng)計(jì)算機(jī)時(shí)，計(jì)算機(jī)會(huì)有一個(gè)額外的啟動(dòng)項(xiàng)，就像安裝了雙系統(tǒng)一樣。在選擇了PowerShadow Master的啟動(dòng)項(xiàng)后，原系統(tǒng)會(huì)完全一樣的使用，但是你的所有操作，包括安裝程序(甚至是運(yùn)行病毒)，在下次用原系統(tǒng)開(kāi)機(jī)時(shí)都會(huì)失效。對(duì)于程序安裝測(cè)試非常有用，不會(huì)。所謂影子系統(tǒng)！-重啟系統(tǒng)，所有測(cè)試將不復(fù)存在！

　　但是系統(tǒng)是什么樣的呢？真的有傳說(shuō)中那么厲害嗎？現(xiàn)在來(lái)看一個(gè)測(cè)試~ ~

　　1 PowerShadow(turn)工作原理測(cè)試報(bào)告

　　1.先確定系統(tǒng)無(wú)毒，做好c盤(pán)的ghost備份。

　　2.在單一保護(hù)模式下，打開(kāi)陰影保護(hù)。

　　3.使用IceSword等內(nèi)核工具強(qiáng)制停止暗影的所有進(jìn)程。

　　4.利用冰刀等內(nèi)核工具強(qiáng)行刪除幾個(gè)被操作系統(tǒng)鎖定的重要文件。如果系統(tǒng)安裝在C:/WINDOWS/目錄中，您可以刪除c:/NTDETECT。C:/WINDOWS/system32/drivers/目錄中的所有文件，以及C:/WINDOWS/repair/目錄中的所有文件(

　　另外，刪除c盤(pán)的幾個(gè)大文件。

　　5.檢查c盤(pán)的容量，c盤(pán)所有文件占用的容量是否等于c盤(pán)硬件分區(qū)的總?cè)萘?，如果小于c盤(pán)硬件分區(qū)的總?cè)萘?，說(shuō)明影子系統(tǒng)把刪除的文件藏在了c盤(pán)的其他地方，銷毀失敗，不用再做了。

　　如果c盤(pán)所有文件占用的容量等于c盤(pán)硬件分區(qū)的總?cè)萘?，繼續(xù)這樣做。

　　6.這一步至關(guān)重要，關(guān)系到毀滅的最終成功。

　　使用bcwipe等硬盤(pán)擦除軟件擦除c盤(pán)的空閑空間，最好擦除3次以上，看看擦除軟件能否成功擦除c盤(pán)的空閑空間。

　　7.如果成功擦除c盤(pán)空閑空間，關(guān)機(jī)重啟看看是否還能正常啟動(dòng)？那些被強(qiáng)行刪除的文件還在嗎？

　　如果還能正常開(kāi)機(jī)，刪除的文件會(huì)自動(dòng)恢復(fù)，影子系統(tǒng)真的很強(qiáng)大！給它一點(diǎn)掌聲！

　　如果無(wú)法正常引導(dǎo)或者部分文件無(wú)法恢復(fù)，請(qǐng)使用步驟1中的ghost備份恢復(fù)c盤(pán)。

　　為了方便測(cè)試，將測(cè)試方法修改為對(duì)系統(tǒng)無(wú)損，否則系統(tǒng)文件會(huì)被破壞，后面的測(cè)試可能無(wú)法進(jìn)行。步驟如下：

　　1.復(fù)制幾個(gè)大的鏡像文件到c盤(pán)，壓縮c盤(pán)的可用空間到500M。

　　2.安裝影子，重啟時(shí)選擇進(jìn)入單保護(hù)模式。

　　3.暫停ShadowService.exe和ShadowTip.exe進(jìn)程

　　4.刪除c盤(pán)的一個(gè)原始鏡像文件(700M)，c盤(pán)上顯示的可用空間約為1200M m。

　　5.用bcwipe擦除c盤(pán)可用空間，失??！Bcwipe顯示寫(xiě)入硬盤(pán)時(shí)出錯(cuò)，這種情況以前從未發(fā)生過(guò)。

　　6.另外，復(fù)制一個(gè)光盤(pán)鏡像文件(400M)到光盤(pán)上，可以導(dǎo)入到虛擬光盤(pán)上正常運(yùn)行。CD-ROM C顯示大約800M的自由空間。

　　7.繼續(xù)復(fù)制一個(gè)新的鏡像文件(300M)到c盤(pán)。

　　有問(wèn)題，頻繁彈出如附圖所示的對(duì)話框，提示windows延遲寫(xiě)入失敗。這種情況通常只有在硬盤(pán)空間不足的情況下才會(huì)出現(xiàn)，但即使包含新鏡像文件(300M)，c盤(pán)也應(yīng)該有500M左右的可用空間。

　　8.忽略頻繁彈出的“延遲寫(xiě)入失敗”對(duì)話框。后來(lái)，甚至發(fā)生了c盤(pán)主文件表$MFT的延遲寫(xiě)故障，不管。經(jīng)過(guò)近10分鐘的連續(xù)拷貝，新的視頻文件(300M)居然拷貝到了c盤(pán)。“延遲寫(xiě)入失敗”對(duì)話框消失后，播放器就可以正常播放視頻文件了。

　　分析1:

　　如果影子系統(tǒng)將刪除的原始鏡像文件(700M)保存在c盤(pán)空閑空間的隱藏部分，那么c盤(pán)實(shí)際可用空閑空間只有500M。剛才將新的鏡像文件(300M)復(fù)制到c盤(pán)時(shí)，頻繁彈出的對(duì)話框似乎證明了這一點(diǎn)，但是后來(lái)復(fù)制到c盤(pán)的兩個(gè)文件加起來(lái)超過(guò)500 m，為什么還能正常使用？

　　9.調(diào)出工具檢查內(nèi)存，發(fā)現(xiàn)512M物理內(nèi)存只有20M可用，幾個(gè)工具都無(wú)法顯示哪個(gè)進(jìn)程使用了缺失的幾百M(fèi)內(nèi)存。

　　10.刪除復(fù)制到c盤(pán)的新鏡像文件(300M)，缺失的內(nèi)存又回來(lái)了，可用物理內(nèi)存上升到300m以上。

　　2.分析：

　　先復(fù)制到光盤(pán)的光盤(pán)鏡像文件保存在硬盤(pán)上，因?yàn)樗鼪](méi)有超過(guò)光盤(pán)的實(shí)際可用空間。此時(shí)雖然顯示光驅(qū)的可用空間為800M，但實(shí)際可用空間只有100M m，后來(lái)復(fù)制到光驅(qū)的新鏡像文件(300M)超過(guò)了光驅(qū)的實(shí)際可用空間，保存在內(nèi)存中。刪除新的鏡像文件(300M)后，“丟失”的內(nèi)存會(huì)回來(lái)。

　　1.用工具檢查系統(tǒng)進(jìn)程，發(fā)現(xiàn)系統(tǒng)進(jìn)程加載了一個(gè)c:/windows/system32/driver/SNP shot . sys，是影子系統(tǒng)的組件文件，只有28K。系統(tǒng)進(jìn)程將該文件加載到內(nèi)存中。

　　12.將一個(gè)物理內(nèi)存超過(guò)512M的新鏡像文件2(700M)復(fù)制到c盤(pán)，此時(shí)c盤(pán)顯示有800M左右的可用空間。理論上應(yīng)該可以復(fù)制，但實(shí)際上復(fù)制失敗了。這次還是頻繁彈出“延遲寫(xiě)入失敗”對(duì)話框，但是將近2個(gè)小時(shí)都無(wú)法復(fù)制。(奇怪的是可以復(fù)制。內(nèi)存只有512M，700M要放哪里？)，而系統(tǒng)裝死，因?yàn)榭捎脙?nèi)存耗盡，只能復(fù)位重啟。

　　13.重新啟動(dòng)時(shí)，您仍然會(huì)進(jìn)入單一保護(hù)模式。c盤(pán)原來(lái)的文件都在，但是復(fù)制過(guò)去的文件都沒(méi)有了。為影鼓鼓掌！

　　分析三：

　　啟動(dòng)影單保護(hù)模式后，c盤(pán)的原始文件在硬盤(pán)上無(wú)法移動(dòng)，即使刪除也只會(huì)顯示為已刪除。其實(shí)這部分刪除后多出來(lái)的空格是用不上的。對(duì)于后面寫(xiě)入的文件，如果可用硬盤(pán)空間足夠，則寫(xiě)入硬盤(pán)，否則寫(xiě)入內(nèi)存。如果內(nèi)存不夠，系統(tǒng)會(huì)裝死，重啟后恢復(fù)原狀。

　　結(jié)論：

　　1.影子的核心過(guò)程不是ShadowService.exe和ShadowTip.exe，這兩個(gè)是噱頭。影子真正的進(jìn)程是系統(tǒng)，是系統(tǒng)的核心進(jìn)程，無(wú)法停止。即使不開(kāi)啟陰影保護(hù)模式，系統(tǒng)進(jìn)程還是會(huì)加載SnpShot.sys，一旦加載就會(huì)駐留在內(nèi)存中，即使刪除SnpShot.sys也沒(méi)有用。

　　2.Shadow需要Windows系統(tǒng)支持。影子可以在DOS下被殺死。比如用軟盤(pán)、光驅(qū)、u盤(pán)啟動(dòng)DOS，但是遠(yuǎn)程操作幾乎不可能。不知道有沒(méi)有DOS上網(wǎng)軟件？

　　3.影子啟動(dòng)保護(hù)后，如果系統(tǒng)進(jìn)程能從內(nèi)存中卸載SnpShot.sys，影子就會(huì)被殺死，這可能是病毒未來(lái)的主要攻擊方向。

　　4.影子沒(méi)有重寫(xiě)硬盤(pán)MBR，可以放心。

　　影子系統(tǒng)缺點(diǎn)：

　　1.使用單一陰影模式時(shí)，不能選擇排除文件夾。比如我選擇保護(hù)系統(tǒng)盤(pán)c盤(pán)，但是我也想保留使用影子系統(tǒng)重啟后查殺軟件的升級(jí)結(jié)果。影子系統(tǒng)沒(méi)有這樣的功能，(軟件影子用戶有)

　　2。進(jìn)入影子系統(tǒng)后，任何時(shí)候都不能退出和進(jìn)入。你要重啟系統(tǒng)，這是最大的遺憾，降低了便利性。

　　下面某論壇也有一篇關(guān)于影子系統(tǒng)漏洞的文章。

　　“我經(jīng)常在論壇上遇到用PowerShadow的人，也有很多受害者。今天，我花時(shí)間對(duì)PowerShadow軟件做了一個(gè)簡(jiǎn)單的解釋，以便糾正它。

　　PowerShadow作為一種恢復(fù)軟件，在中國(guó)的互聯(lián)網(wǎng)上非常流行。很多人覺(jué)得我系統(tǒng)裝了PowerShadow就萬(wàn)事大吉了，網(wǎng)上也是這么宣傳的。其實(shí)這種說(shuō)法是完全錯(cuò)誤的。

　　安裝PowerShadow真的安全嗎？答案顯然是否定的。

　　PowerShadow在盜號(hào)木馬面前束手無(wú)策。

　　我們知道互聯(lián)網(wǎng)上有一種被廣泛使用的木馬，叫做盜號(hào)木馬(這個(gè)大家應(yīng)該都知道)。盜號(hào)木馬嚴(yán)格來(lái)說(shuō)是一次性的特洛伊木馬。為什么？盜號(hào)木馬的目的是竊取你的特定賬戶密碼。一旦系統(tǒng)被植入竊取你的賬號(hào)和密碼，木馬就完成了它的使命。你清理完之后，木馬造成的傷害已經(jīng)無(wú)法挽回了。而你卻在PowerShadow的保護(hù)下鉆進(jìn)了這種木馬，因?yàn)镾hadow是一個(gè)虛擬系統(tǒng)而不是有保護(hù)功能的防火墻。重啟系統(tǒng)，木馬消失，賬號(hào)和密碼已經(jīng)在黑客手中。PowerShadow不僅沒(méi)有保護(hù)功能，還會(huì)為黑客銷毀證據(jù)。

　　保護(hù)再?gòu)?qiáng)，還是要開(kāi)放。

　　人們經(jīng)常會(huì)安裝各種軟件，在PowerShadow的保護(hù)下是無(wú)法安裝的。我們必須在正常模式下安裝軟件。如果此時(shí)安裝包中捆綁了木馬，你還是會(huì)被木馬所害，然后啟動(dòng)PowerShadow的防護(hù)。除非你找到了，否則這個(gè)木馬會(huì)一直陪著你。

　　第一印象是最持久的

　　很多人喜歡把系統(tǒng)做完后應(yīng)該安裝的軟件都裝上，然后為了安全再裝PowerShadow。如果你的應(yīng)用軟件不干凈，結(jié)果和第二點(diǎn)一樣。

　　四個(gè)系統(tǒng)崩潰

　　PowerShadow和其他還原軟件一樣，仍然存在系統(tǒng)崩潰的問(wèn)題。經(jīng)歷過(guò)死機(jī)的PowerShadow用戶應(yīng)該都有這樣的體驗(yàn)，開(kāi)機(jī)后發(fā)現(xiàn)找不到* *文件，只好全部重裝。其實(shí)道理很簡(jiǎn)單。如果PowerShadow恢復(fù)失敗，系統(tǒng)無(wú)法啟動(dòng)，文件目錄也會(huì)丟失。而且PowerShadow重寫(xiě)了分區(qū)信息和引導(dǎo)程序數(shù)據(jù)，容易導(dǎo)致系統(tǒng)崩潰。

　　五不能完全卸載

　　如果通過(guò)簡(jiǎn)單的卸載程序卸載PowerShadow，是無(wú)法卸載PowerShadow的。卸載PowerShadow后，你會(huì)發(fā)現(xiàn)snpshot.sys還在運(yùn)行。用sreng在安全模式下刪除或更改這個(gè)文件后，系統(tǒng)崩潰，你無(wú)法啟動(dòng)或進(jìn)入安全模式。為什么？很簡(jiǎn)單，這個(gè)文件是由boot start啟動(dòng)的。如果在安全模式下刪除，肯定會(huì)出問(wèn)題。但是，PowerShadow卸載不會(huì)恢復(fù)修改后的主引導(dǎo)。系統(tǒng)崩潰并不奇怪。

　　有人問(wèn)怎么卸載？有幾種方法。

　　其中能徹底卸下陰影的，就是低架和換硬盤(pán)…

　　低級(jí)是調(diào)試。一般硬盤(pán)廠商下載調(diào)試工具后按照提示操作。但是，低水平對(duì)硬盤(pán)是非常有害的。

　　除了以上兩種方法，你可以嘗試使用系統(tǒng)安裝盤(pán)和光驅(qū)引導(dǎo)進(jìn)入安裝界面，刪除所有分區(qū)，新建一個(gè)分區(qū)，開(kāi)始漫長(zhǎng)的重裝系統(tǒng).

　　其次，有全方位鬼影的用戶可以嘗試還原鬼影，但是根據(jù)反饋效果還是有一些殘留的。

　　對(duì)于只格式化系統(tǒng)盤(pán)的用戶，根據(jù)反饋信息是無(wú)法完全卸載的。"

　　看到這里，大家都知道，沒(méi)有什么是完美的。根據(jù)自己的愛(ài)好選擇自己喜歡的還原軟件！

　　還原精靈的工作原理

　　還原向?qū)薷牧擞脖P(pán)的啟動(dòng)扇區(qū)。硬盤(pán)的引導(dǎo)扇區(qū)也叫MBR(主引導(dǎo)記錄)，位于硬盤(pán)的0扇區(qū)，0磁頭，1柱面。

　　恢復(fù)向?qū)У墓ぷ髟砩婕暗街袛嗟母拍睿褐袛嗍侵窩PU掛起當(dāng)前運(yùn)行的程序，轉(zhuǎn)而執(zhí)行中斷提交的程序。

　　Int 13是中斷指令，其中Int是指令助記符，13(十六進(jìn)制數(shù))是中斷號(hào)。當(dāng)用戶操作硬盤(pán)時(shí)，基本輸入輸出系統(tǒng)(BIOS)向CPU發(fā)出中斷請(qǐng)求，CPU改為執(zhí)行int 13提交的程序。

　　此外，當(dāng)使用“FDISK /MBR”命令重寫(xiě)主引導(dǎo)扇區(qū)時(shí)，這種方法可能會(huì)丟失硬盤(pán)中的數(shù)據(jù)，應(yīng)僅作為最后手段使用。注意不要在超過(guò)四個(gè)分區(qū)的硬盤(pán)上使用它。

　　事實(shí)上，有時(shí)“fdidsk/mbr”命令不起作用。

　　原因：還原向?qū)遁d了還原向?qū)?。真的很好用，恢?fù)系統(tǒng)也很方便。但是它也會(huì)將系統(tǒng)引導(dǎo)區(qū)添加到自己的引導(dǎo)信息中，所以重裝系統(tǒng)時(shí)不允許隨便更改引導(dǎo)區(qū)，導(dǎo)致分區(qū)表出錯(cuò)。有些程序編輯的還原向?qū)Ъ词剐遁d也無(wú)法卸載干凈！

　　冰點(diǎn)還原工作原理：

　　冰點(diǎn)降低是通過(guò)爭(zhēng)奪南橋芯片的I0控制權(quán)實(shí)現(xiàn)的。當(dāng)加載了正確的驅(qū)動(dòng)后，冰點(diǎn)就可以獲得I0控制器的控制權(quán)，這樣任何關(guān)于硬盤(pán)的寫(xiě)入都要經(jīng)過(guò)他的控制，這樣就可以輕松達(dá)到還原的目的。同樣，如果恢復(fù)雙系統(tǒng)或者GHOST，冰點(diǎn)正確安裝的系統(tǒng)會(huì)有還原功能，如果沒(méi)有安裝當(dāng)然不會(huì)。因此，可以在GHOST下無(wú)限期地添加文件，而windows

　　補(bǔ)充：冰點(diǎn)是隨著windows的啟動(dòng)而啟動(dòng)的。冰點(diǎn)是在windows開(kāi)始加載驅(qū)動(dòng)程序時(shí)以某種方式觸發(fā)的。因?yàn)楸c(diǎn)有I0控制器的控制，可以把任何寫(xiě)入硬盤(pán)的東西放在任何地方。不知道大家有沒(méi)有見(jiàn)過(guò)一輛DF5。temp(windows臨時(shí)文件夾)下的TMP吧？具體文件名記不清了。況且我現(xiàn)在不在我的網(wǎng)吧，而且這個(gè)網(wǎng)吧已經(jīng)屏蔽了c盤(pán)！@ # $% $%所以你不能提供具體的名字，你可以自己看看。

　　補(bǔ)充，冰點(diǎn)轉(zhuǎn)儲(chǔ)通常跟隨windows的臨時(shí)文件夾。所以系統(tǒng)完成后，windows的臨時(shí)文件夾必須轉(zhuǎn)移到一個(gè)相對(duì)空閑的磁盤(pán)上。否則會(huì)丟失文件(下載大文件后文件就是這樣丟失的)，因?yàn)镈F把寫(xiě)好的文件都放在里面了。雖然你把它們丟在了表面的其他地方，實(shí)際上存儲(chǔ)位置是在臨時(shí)文件夾里，但是windows給你看的路徑是給你的。

　　DOS無(wú)法操作冰點(diǎn)以下。即使用NTFSDOS修改，也不一定能很好的啟動(dòng)。

　　另外，DF在為NTFS設(shè)計(jì)的時(shí)候，認(rèn)為NTFS不支持DOS，所以不提供DOS支持，即使在FAT32的win98的DOS下也是如此。DF是為windows設(shè)計(jì)的。

　　你只有一個(gè)辦法重新雕刻系統(tǒng)。

　　最好把系統(tǒng)的文件格式改成NTFS，但是NTFS確實(shí)有文件丟失的情況，我以前也遇到過(guò)。但是，NTFS丟失的大多數(shù)文件都與硬件有關(guān)。我遇到問(wèn)題的時(shí)間是鍵盤(pán)的接口接觸不好。我換了鍵盤(pán)，文件丟失現(xiàn)象就解決了。

　　windows 2000/XP/2003下有一個(gè)NTDETECT.COM文件。這個(gè)文件是一個(gè)在windows啟動(dòng)時(shí)讀取硬件信息的程序。ntldr每次啟動(dòng)都會(huì)先加載，然后會(huì)分別讀取各個(gè)硬件的信息來(lái)確定ntldr需要加載的驅(qū)動(dòng)，因?yàn)檫@個(gè)程序不是windows下的程序。設(shè)計(jì)也很簡(jiǎn)單。所以如果硬件出現(xiàn)了一些小問(wèn)題，有些驅(qū)動(dòng)因?yàn)橐恍┍匾挠布](méi)有找到而無(wú)法加載，然后會(huì)提示文件丟失(有時(shí)候BIOS可以通過(guò)，哪個(gè)硬件損壞了，但是windows啟動(dòng)的時(shí)候沒(méi)有告訴你什么硬件壞了吧？要么是啟動(dòng)失敗，要么是啟動(dòng)成功后會(huì)告訴你壞了什么)。有時(shí)候，我們會(huì)遇到機(jī)器無(wú)法啟動(dòng)這樣的事情。但是，如果過(guò)了幾天就好了，或者過(guò)了幾天就壞了，有些部件會(huì)受潮？熱度？一大堆小的不能再小的小問(wèn)題，集中在一起就會(huì)出大問(wèn)題。我的說(shuō)法很極端，而且是一個(gè)相當(dāng)愚蠢的說(shuō)法。如果你的每一臺(tái)機(jī)器都是那樣，那就不會(huì)有硬件問(wèn)題，但是在我看來(lái)，文件丟失的概率真的很低(NTFS)。所以NTFS下的文件丟失基本都是硬件造成的。不知道哪位兄弟能給點(diǎn)建議?；蛘呶铱梢苑治鲆幌隆?/p>

　　當(dāng)NTDETECT.COM的這個(gè)文件啟動(dòng)時(shí)，它會(huì)將硬件環(huán)境信息添加到注冊(cè)表的一個(gè)項(xiàng)中。具體不知道，以此來(lái)決定裝什么驅(qū)動(dòng)。如果沒(méi)有檢測(cè)到硬件，則不會(huì)加載相應(yīng)的驅(qū)動(dòng)程序。ntldr在加載系統(tǒng)文件時(shí)可能會(huì)出錯(cuò)，說(shuō)有東西丟失了。事實(shí)上，該文件仍然存在，但它不是根據(jù)NTDETECT.COM給出的清單載入的。

　　嗯，目前唯一發(fā)現(xiàn)的就是操作起來(lái)很麻煩。如果你想保存一次數(shù)據(jù)，你至少要重啟兩次。就像恢復(fù)向?qū)б粯狱c(diǎn)擊“轉(zhuǎn)儲(chǔ)”。