操作系統(tǒng)變得緩慢不堪了？出現(xiàn)各種莫名其妙的故障了？中毒了？為了解決這些故障，許多人都會祭起重裝系統(tǒng)大法來重新安裝一個全新的系統(tǒng)，對付系統(tǒng)軟件故障，這種作法通常都很有效。
圖1 GHOST備份恢復(fù)你會么
現(xiàn)在安裝操作系統(tǒng)比起以前可謂簡單了不少，借助一個系統(tǒng)安裝盤或者是PE系統(tǒng)，菜鳥也能輕輕松松的完成系統(tǒng)的安裝操作，再簡單一些的話，直接使用GHOST系統(tǒng)，直接還原定制版系統(tǒng)，真是輕松愉快。現(xiàn)在還出現(xiàn)了許多傻瓜式的GHOST備份恢復(fù)工具，讓這個操作變得更加的簡單，可是不少這類工具都帶有貓膩，你又知道么？
圖2 傻瓜式GHOST工具
以前是怎樣安裝系統(tǒng)的呢？首先，你得要有個啟動盤(軟盤或光驅(qū))，引導(dǎo)系統(tǒng)進入DOS環(huán)境，然后使用DOS命令格式化C盤，然后再進入Windows安裝目錄，然后再根據(jù)系統(tǒng)版本來執(zhí)行安裝程序才能進行系統(tǒng)的安裝操作，重裝系統(tǒng)是個技術(shù)活。
圖3 DOS環(huán)境你會用么
現(xiàn)在安裝系統(tǒng)可容易許多，用戶可以直接借助系統(tǒng)安裝盤(光盤或者用安裝鏡像文件打造的U盤安裝盤)就可以引導(dǎo)電腦啟動，然后根據(jù)提示就可一步一步的進行系統(tǒng)的安裝。而DOS下的安裝方式早已經(jīng)被淘汰，取而代之的是Windows PE系統(tǒng)，這種圖形化的操作界面，讓一切簡單了不少。
Windows PE(Windows Preinstallation Environment)，Windows預(yù)安裝環(huán)境，是帶有有限服務(wù)的最小Win32子系統(tǒng)，基于以保護模式運行的Windows XP Professional及以上內(nèi)核。它包括運行Windows安裝程序及腳本、連接網(wǎng)絡(luò)共享、自動化基本過程以及執(zhí)行硬件驗證所需的最小功能。簡單的來說它就是一個簡化版的Windows。
圖4 PE系統(tǒng)你用過沒
Windows PE最大的特點就是可以引導(dǎo)電腦啟動，并進入圖形化的操作界面，而且可以被安裝到光盤或移動存儲器中(如U盤)。鑒于它的便攜性，現(xiàn)在許多技術(shù)人員都在U盤中安裝有PE系統(tǒng)，并在PE系統(tǒng)中安裝有多種應(yīng)急工具，比如GHOST，比如DiskGenius，比如數(shù)據(jù)恢復(fù)軟件，比如密碼破解軟件，比如殺毒軟件等等，用它還維護或安裝系統(tǒng)，當(dāng)成臨時的Windows系統(tǒng)使用。
而市面上也有著許多知名的網(wǎng)友DIY版PE系統(tǒng)，如深山紅葉、大白菜、通用PE、老毛桃等等。普通網(wǎng)友把它們下載回來，然后安裝入U盤，就可輕松獲得一個U盤 PE系統(tǒng)，進而用來重裝、備份、修復(fù)操作系統(tǒng)。而大多數(shù)網(wǎng)友用PE系統(tǒng)拿來干嘛？拿來備份恢復(fù)系統(tǒng)唄。
圖5 深山紅葉你還記得么
可是不知道什么時候開始，論壇里就有不少網(wǎng)友求助，大體內(nèi)容是使用這些網(wǎng)友DIY版的PE系統(tǒng)來進行系統(tǒng)恢復(fù)操作后，IE瀏覽器主頁竟然莫名其妙的被修改為其它網(wǎng)址了，而且還被自動安裝上了其它軟件，究竟是怎么一回事呢？到底有沒有這么一回事呢？咱現(xiàn)在就來實際的測試一番。
我們選取了目前市面上較為流行的幾款PE系統(tǒng)，讓我們來實際測試一下，看看使用它們的傻瓜式GHOST備份恢復(fù)工具來恢復(fù)GHOST系統(tǒng)后，會不會流氓的修改用戶瀏覽器主頁及安裝附加軟件。
測試環(huán)境及操作
筆者先用DOS安裝方式安裝一個純凈版的Windows XP系統(tǒng)，安裝文件為官方ios解壓后文件，沒有經(jīng)過任何的修改，沒有安裝其它軟件(驅(qū)動為原版驅(qū)動)，主頁為默認(rèn)設(shè)置。然后再在DOS環(huán)境下啟動Norton GHOST來進行GHOST備份，獲得純凈的Gho備份文件，接著再進行測試。
測試時使用各個PE系統(tǒng)來恢復(fù)事先備份的GHOST系統(tǒng)，然后再查看瀏覽器主頁有無被更改。測試完畢返回DOS下，再用Norton GHOST來恢復(fù)純凈的GHOST系統(tǒng)，然后再進行下一個PE的測試。
圖6 Norton GHOST
這里再說一下，NORTON GHOST雖好，可是操作卻稍顯復(fù)雜，而且是因為界面，一不小心就會誤操作，導(dǎo)致整個硬盤的數(shù)據(jù)資料灰飛煙滅。于是乎，有網(wǎng)友制作了傻瓜式的GHOST工具，用戶只需要選好GHOST 文件所在路徑(有些工具甚至自動掃描硬盤里的Gho文件)，還有恢復(fù)到哪個分區(qū)(默認(rèn)C盤)，點擊恢復(fù)按鈕，就可自動啟動GHOST執(zhí)行相關(guān)操作，方便快捷。
參評PE系統(tǒng)列隊
好吧，測試正式開始，我們選取了大白菜U盤啟動制作工具V5.1 uefi啟動版；老毛桃裝機版20140501;電腦店超級U盤啟動盤制作工具V6.2裝機版；通用pe工具箱V6.1版；天意U盤系統(tǒng)2015元宵版；微PE工具箱1.0。這幾個比較流行的網(wǎng)友DIY版PE系統(tǒng)進行測試，下載皆用官網(wǎng)下載的安裝文件。
其實，這其中有幾款經(jīng)典的網(wǎng)友DIY版PE系統(tǒng)，或許早已不是之前的原作者在開發(fā)，想要經(jīng)典的，都不知道去哪尋找了。
制作U盤啟動PE有奧妙
使用老毛桃制作U盤PE系統(tǒng)比較的簡單，基本上一鍵即可輕松制作，支持多種啟動模式選擇，支持個性化設(shè)置，別小看這個個性化設(shè)置，里邊還隱藏著一些奧妙，為了測試的需要，我們采用默認(rèn)設(shè)置進行PE系統(tǒng)的制作(以下同)。
圖7 老毛桃PE系統(tǒng)制作界面
大白菜制作U盤PE系統(tǒng)同樣簡單，還是一鍵即可搞定，也支持多種啟動模式選擇，支持個性化設(shè)置，個性化設(shè)置里同樣隱藏著一些東東。
圖8 大白菜PE系統(tǒng)制作界面
電腦店制作U盤PE系統(tǒng)與上邊的兩個類似，也在個性化設(shè)置里隱藏有東西。
圖9 電腦店P(guān)E系統(tǒng)制作界面
天意制作U盤系統(tǒng)也很簡單，同樣支持多種啟動模式選擇，但不支持個性化設(shè)置。是它的提示卻有點問題，那就是在制作過程中提示“正在整理UD分區(qū)”，接著提示“已經(jīng)成功創(chuàng)建啟動分區(qū)，建議您將您的磁盤設(shè)備安全彈出后再插入繼續(xù)操作。”
按照提示，筆者是這么理解的“剛剛只是創(chuàng)建了啟動分區(qū)，接下來把U盤彈出后再插入，接著完成PE系統(tǒng)的寫入操作”。其實已經(jīng)不用繼續(xù)操作了，PE系統(tǒng)已經(jīng)制作完成了的。
好吧，就這個提示讓筆者重復(fù)了幾次操作，作者能直接提示“制作完成”不好么？
圖10 天意PE系統(tǒng)制作界面
圖11 顯示正在整理UD分區(qū)
圖12 有點坑的提示
微PE的兼容性有待提高，制作時要不提示某個程序已經(jīng)停止運行，要不找不到U盤，最后在其主頁找到解決方法，那就是需要啟動Windows兼容模式。同樣有多種啟動模式選擇，不支持個性化設(shè)置。
圖13 微PE系統(tǒng)制作界面
圖14 啟動兼容模式才能識別U盤
通用PE制作U盤PE系統(tǒng)同樣簡單，還是一鍵即可搞定，也支持多種啟動模式選擇，不支持個性化設(shè)置。
圖15 通用PE系統(tǒng)制作界面
PE界面及傻瓜式系統(tǒng)恢復(fù)工具
老毛桃為用戶提供了傻瓜式的系統(tǒng)安裝、備份、恢復(fù)工具，支持wim、iso及Gho格式文件，支持系統(tǒng)的安裝，而GHOST則支持自動掃描用戶硬盤里的Gho文件，用戶只需要確認(rèn)恢復(fù)到的分區(qū)，就可輕松恢復(fù)GHOST系統(tǒng)。高級選項里隱藏著贊助商主頁。
圖16 老毛桃PE系統(tǒng)桌面及傻瓜式GHOST備份恢復(fù)工具
大白菜為用戶提供了傻瓜式的系統(tǒng)安裝、備份、恢復(fù)工具，支持wim、iso及Gho格式文件，支持系統(tǒng)的安裝，而GHOST則支持自動掃描用戶硬盤里的Gho文件，用戶只需要確認(rèn)恢復(fù)到的分區(qū)，就可輕松恢復(fù)GHOST系統(tǒng)。高級選項里隱藏著贊助商主頁。
圖17 大白菜PE系統(tǒng)桌面及傻瓜式GHOST備份恢復(fù)工具
電腦店為用戶提供了傻瓜式的系統(tǒng)安裝、備份、恢復(fù)工具，支持wim、iso及Gho格式文件，支持系統(tǒng)的安裝，而GHOST則支持自動掃描用戶硬盤里的Gho文件，用戶只需要確認(rèn)恢復(fù)到的分區(qū)，就可輕松恢復(fù)GHOST系統(tǒng)。高級選項里隱藏著贊助商主頁。
圖18 電腦店P(guān)E系統(tǒng)桌面及傻瓜式GHOST備份恢復(fù)工具
大家可以看到，以上三個PE系統(tǒng)顯得非常的相似，相似的讓筆者懷疑是不是出自同一作者之手。
天意PE同樣為用戶提供了傻瓜式的GHOST備份恢復(fù)工具，不過是采用了另一種工具，在啟動時，用戶可以選擇一鍵恢復(fù)或手動操作。自動恢復(fù)工具支持自動備份或還原系統(tǒng)。
圖19 天意PE及GHOST備份恢復(fù)工具
通用PE工具箱為用戶提供的是“智能快速裝機”工具，為用戶提供了傻瓜式的系統(tǒng)安裝、備份、恢復(fù)工具，支持wim、iso及Gho格式文件，支持系統(tǒng)的安裝，而GHOST則支持自動掃描用戶硬盤里的Gho文件，用戶只需要確認(rèn)恢復(fù)到的分區(qū)，就可輕松恢復(fù)GHOST系統(tǒng)。高級選項里沒有相關(guān)取消贊助商的選項，甚至還有另兩個軟件的安裝選項。
圖20 通用PE工具箱及智能快速裝機
微PE直接為用戶提供了GHOST一鍵備份還原工具，為用戶提供了傻瓜式的GHOST備份還原操作，用戶只需要確認(rèn)恢復(fù)到的分區(qū)，就可輕松恢復(fù)GHOST系統(tǒng)。
圖21 微PE及GHOST一鍵備份還原工具
實測網(wǎng)友DIY版PE系統(tǒng)是否流氓
接下來我們進入本次測試的重頭戲，一起來看看使用這些PE系統(tǒng)內(nèi)置的傻瓜式GHOST工具來恢復(fù)事先制作好的純凈Windows XP GHOST備份文件，然后觀察恢復(fù)后的Windows XP系統(tǒng)會有怎么樣的情況發(fā)生。
圖22 純凈版XP桌面
圖23 純凈版XP啟動項
測試結(jié)果列表
|
參評PE
|
是否修改主頁
|
是否安裝軟件
|
其它情況
|
大白菜
修改主頁
安裝360系列
暫無發(fā)現(xiàn)
老毛桃
修改主頁
安裝360系列
暫無發(fā)現(xiàn)
電腦店
修改主頁
安裝360及火絨
暫無發(fā)現(xiàn)
通用
修改主頁
暫無發(fā)現(xiàn)
桌面添加
天意
暫無發(fā)現(xiàn)
暫無發(fā)現(xiàn)
暫無發(fā)現(xiàn)
微PE
暫無發(fā)現(xiàn)
暫無發(fā)現(xiàn)
暫無發(fā)現(xiàn)
圖24 大白菜在開始菜單啟動項添加的VBS文件及其內(nèi)容
圖25 大白菜PE恢復(fù)系統(tǒng)后自動安裝360系列軟件
圖26 大白菜PE恢復(fù)系統(tǒng)后修改瀏覽器主頁
圖27 老毛桃在開始菜單啟動項添加的VBS文件及其內(nèi)容
圖28 老毛桃PE恢復(fù)系統(tǒng)后自動安裝360系列軟件
圖29 老毛桃PE恢復(fù)系統(tǒng)后修改瀏覽器主頁
圖30 電腦店在開始菜單啟動項添加的VBS文件及其內(nèi)容
圖31 電腦店P(guān)E恢復(fù)系統(tǒng)后自動安裝360系列軟件
圖32 電腦店P(guān)E恢復(fù)系統(tǒng)后修改瀏覽器主頁
圖33 通用PE在Windows目錄下替換和增加的文件
圖34 通用PE恢復(fù)系統(tǒng)后修改瀏覽器主頁
圖35 天意PE恢復(fù)系統(tǒng)后暫無發(fā)現(xiàn)修改
圖36 微PE恢復(fù)系統(tǒng)后暫無發(fā)現(xiàn)修改
揭秘它們是怎么樣搞小動作的
既然傻瓜化GHOST備份恢復(fù)軟件無論是備份還是恢復(fù)系統(tǒng)，最終都還是采用NORTON GHOST軟件來完成操作的，而GHOST的原理可以理解為先把目標(biāo)分區(qū)格式化后在恢復(fù)系統(tǒng)，那么，它們是如何完成恢復(fù)系統(tǒng)后修改操作系統(tǒng)的瀏覽器主頁及進行軟件的安裝操作的呢？
大白菜、老毛桃、電腦店這三個PE系統(tǒng)都是采用相同的修改原理，當(dāng)用戶使用它們的傻瓜式GHOST工具來恢復(fù)系統(tǒng)時，當(dāng)恢復(fù)系統(tǒng)完畢后，自動在用戶被恢復(fù)好的Windows的開始菜單啟動項中添加一個采用隨機名稱的“*.vbs”文件，然后再在Windows目錄下創(chuàng)建一個可執(zhí)行文件(該文件筆者估計作用為啟動另一文件及修改瀏覽器主頁)及一個目錄，該目錄下有個文件(該文件筆者估計就是所安裝軟件的打包文件)。
我們以大白菜PE系統(tǒng)為例。
我們使用大白菜PE自帶的“智能快速裝機”工具對之前準(zhǔn)備好的純凈版WindowsXP系統(tǒng)Gho文件進行系統(tǒng)恢復(fù)操作后，先不退出PE系統(tǒng)，直接查看剛剛被恢復(fù)的Windows 系統(tǒng)目錄，來看看被添加的一些文件。
圖37 大白菜所添加的幾個文件
圖38 大白菜在啟動項添加的vbs文件及其內(nèi)容
等開機進行完瀏覽器主頁的修改及軟件的安裝后，這些文件會進行自動銷毀操作，為何要自毀呢？不自毀不行啊，會給殺毒軟件給查出來的。
圖39 相關(guān)文件被NOD32以病毒查殺
既然它們在恢復(fù)系統(tǒng)后，會偷偷的往被恢復(fù)的系統(tǒng)中添加一些文件，那么這些文件到底是干什么的呢？
首先是添加到開始菜單啟動項的VBS文件，它的作用很簡單，那就是在系統(tǒng)啟動后，自動運行位于Windows目錄下的指定可執(zhí)行文件。
而添加到Windows目錄下的可執(zhí)行文件作用則是被執(zhí)行后進行修改瀏覽器主頁及啟動軟件安裝，當(dāng)然不排除還有其它小動作。
圖40Total Uninstall監(jiān)控結(jié)果
Windows目錄下增加的一個目錄及里邊的文件則應(yīng)該是軟件包。
使用通用PE系統(tǒng)的“智能快速裝機”工具對之前準(zhǔn)備好的純凈版WindowsXP進行系統(tǒng)恢復(fù)操作后，筆者沒有在開始菜單啟動項中找到VBS文件，難道它是干凈的？可是為何重啟進入系統(tǒng)后，瀏覽器主頁會被更改呢？而且在桌面上多了個Hao123的快捷方式呢？
通用PE系統(tǒng)用了另一個更加流氓且惡劣的修改方式。
為何說它惡劣呢？因為它采用的是替換Explorer這個系統(tǒng)文件的方式，操作時，先將原系統(tǒng)位于Windows目錄下的Explorer.exe這個系統(tǒng)文件進行隱藏，然后創(chuàng)建一個Explorer.exe程序，該程序正是用于修改瀏覽器主頁的程序。
在用戶第一次進入剛剛恢復(fù)的系統(tǒng)時，在進入桌面之前，Explorer.exe文件會被自動執(zhí)行，接著修改瀏覽器主頁，在桌面添加HAO123快捷方式，后再把自己銷毀，接著把原Explorer.exe文件進行恢復(fù)，再執(zhí)行Explorer.exe以便系統(tǒng)的正常啟動。如果其中的過程出錯或者用戶事先刪除被篡改的Explorer.exe文件，將導(dǎo)致無法進入桌面。
圖41 被替換及增加的文件
圖42 Total Uninstall監(jiān)控結(jié)果
那么，在這些PE系統(tǒng)中使用手動GHOST，會不會出現(xiàn)以上的情況呢？經(jīng)過筆者的測試所知，采用手動操作的GHOST恢復(fù)系統(tǒng)操作后，不會有修改瀏覽器主頁及安裝軟件的現(xiàn)象，基本可以確定流氓行為都在“智能快速裝機”工具。但筆者不保證以后PE系統(tǒng)會更加瘋狂的在PE系統(tǒng)啟動后或者關(guān)機前進行相關(guān)的流氓操作。手動GHOST步驟請參考文末。
如何避免
如何避免恢復(fù)系統(tǒng)后被修改瀏覽器主頁及自動安裝軟件的情況發(fā)生呢？最好的方法當(dāng)然是進入PE系統(tǒng)后手動進行GHOST的備份還原操作。真的要使用它們自帶的傻瓜式系統(tǒng)恢復(fù)工具時，需要仔細進行設(shè)置。
我們以老毛桃為例，首先在制作過程前，我們需要在“個性設(shè)置”中，取消老毛桃贊助商的兩個選項，其中取消修改主頁選項還需花費一些功夫。
圖43 個性化設(shè)置
圖44 取消的前提是需要為它宣傳
圖45 取消“綠色”軟件
其次，就是在進入PE系統(tǒng)后，使用它們的傻瓜式系統(tǒng)備份恢復(fù)工具時，進入高級選項，查看有無相關(guān)的設(shè)置。
圖46 高級選項中隱藏有奧妙
對于類似于大白菜PE這樣的往被恢復(fù)系統(tǒng)的開始菜單啟動項添加VBS文件的陷阱來說，用戶只需要在恢復(fù)完系統(tǒng)后，先不要重啟電腦，就在PE系統(tǒng)中進入相關(guān)目錄刪除該VBS文件即可斷掉它自啟動的源頭。而對于通用PE這種替換系統(tǒng)文件的陷阱來說，你可不能單純的把被替換的Explorer文件刪除，還得在Gho文件中找到原Explorer進行恢復(fù)操作，否開機后則將無法進入桌面。
總結(jié)
從上邊的測試結(jié)果可以看到，參評的幾款較多用戶使用的網(wǎng)友DIY版PE系統(tǒng)，大多都在其傻瓜式系統(tǒng)備份恢復(fù)工具中做了手腳，用戶一不小心，沒有取消相關(guān)的選項，就會導(dǎo)致恢復(fù)好的Windows被修改瀏覽器主頁及安裝N個軟件的情況。這些比較知名的網(wǎng)友DIY PE尚且如此，那些被惡意修改的PE，則更加可能還有更加惡劣的地方。
確需要使用相關(guān)的軟件，須在制作PE時取消相關(guān)的贊助商選項。而最好的方法就是進入PE系統(tǒng)后手動進行GHOST備份恢復(fù)操作。當(dāng)然，一個比較純凈的PE系統(tǒng)，如測試中尚未發(fā)現(xiàn)修改現(xiàn)象的天意及微PE也是一個好的選擇。
有網(wǎng)友會說，那直接用網(wǎng)友DIY的GHOST系統(tǒng)好了?？墒沁@些GHOST系統(tǒng)安裝的軟件和流氓行為可能更多。想要純凈版的，還是老老實實的去msdn i tell you下載原版的系統(tǒng)光盤鏡像來安裝吧。
最后，紀(jì)念一下我那為了測試而光榮犧牲的U盤。還有硬盤也挺可憐的，3天時間承受了30多次的系統(tǒng)GHOST恢復(fù)操作。
附：手動GHOST步驟 操作有風(fēng)險，操作需謹(jǐn)慎，步驟選項錯誤將導(dǎo)致整個硬盤或者相關(guān)分區(qū)數(shù)據(jù)文件丟失。
GHOST備份系統(tǒng)教程：
圖 Local→Partition→To Image(千萬不要選DISK)
圖 選擇需要備份的硬盤
圖 選擇需要備份的硬盤分區(qū)
圖 選擇Gho備份文件存放位置
圖 選擇壓縮方式(壓縮越大速度越慢)
GHOST恢復(fù)系統(tǒng)教程：
圖 Local→Partition→From Image(千萬不要選DISK)
圖 選擇Gho文件所在位置
圖 選擇需要恢復(fù)的備份分區(qū)指備份文件里的(通常默認(rèn)即可)
圖 選擇需要恢復(fù)到的硬盤
圖 選擇需要恢復(fù)到的分區(qū)
圖 確認(rèn)恢復(fù)操作將清除目標(biāo)分區(qū)的一切數(shù)據(jù)
