從中我們可以發(fā)現(xiàn)，幾款工具中除了天意和微PE表現(xiàn)較好，基本保持了純凈GHO系統(tǒng)的原貌外，其他幾款工具都在還原過(guò)程對(duì)系統(tǒng)做了手腳，而修改瀏覽器主頁(yè)和偷偷安裝360系列工具幾乎是通用作法（如圖2），顯然，這當(dāng)中是有極大的利益關(guān)系的，工具開(kāi)發(fā)者可以通過(guò)這些看似流氓的作法獲得一定的經(jīng)濟(jì)報(bào)酬。不過(guò)，目前的問(wèn)題是，這些工具究竟是通過(guò)什么手段，達(dá)到肆意踐踏用戶(hù)系統(tǒng)目的的呢？

3.揭秘，Ghost如何踐踏了我們的家園

經(jīng)過(guò)一番對(duì)比、摸索，筆者終于發(fā)現(xiàn)了其中的貓膩。

首先說(shuō)大白菜、老毛桃、電腦店這三個(gè)PE系統(tǒng)，它們的竄改原理基本相同，都是在系統(tǒng)恢復(fù)完畢，在Windows的開(kāi)始菜單啟動(dòng)項(xiàng)中添加一個(gè)后綴名為VBS的文件（如圖3），然后再在Windows目錄下創(chuàng)建一個(gè)可執(zhí)行文件及一個(gè)包含有文件的目錄，其中目錄中保存的就是要偷偷安裝的軟件包，而“*.vbs”的作用則是修改用戶(hù)的瀏覽器主頁(yè)，同時(shí)執(zhí)行目錄中保存的軟件安裝包，最終達(dá)到靜默安裝軟件的目的。值得一提的是，三款PE系統(tǒng)都會(huì)在軟件安裝完畢，并在完成瀏覽器主頁(yè)的修改工作后，自動(dòng)銷(xiāo)毀VBS文件及上面提到的流氓目錄，以防被殺毒工具發(fā)現(xiàn)。

然后說(shuō)通用PE系統(tǒng)，和前三款工具的偷偷摸摸相比，通用PE的作法更加流氓，它會(huì)在系統(tǒng)安裝完畢，直接重命名Windows目錄下的Explorer.exe文件，然后自行創(chuàng)建一個(gè)同名文件（如圖4），這樣，當(dāng)用戶(hù)第一次進(jìn)入剛恢復(fù)的系統(tǒng)并在進(jìn)入桌面前，該文件就會(huì)被自動(dòng)執(zhí)行，接著修改瀏覽器主頁(yè)，在桌面添加HAO123快捷方式，最后再把自己銷(xiāo)毀并恢復(fù)原Explorer.exe文件。在恢復(fù)原Explorer.exe文件時(shí)，如果不幸過(guò)程出錯(cuò)或用戶(hù)事先發(fā)現(xiàn)，直接刪除了被竄改的Explorer.exe文件，將導(dǎo)致無(wú)法進(jìn)入桌面，需要再次重裝系統(tǒng)才能解決。

二、醒悟，要想純凈還需自己動(dòng)手

限于水平和時(shí)間，上面我們只是檢測(cè)到了幾款工具對(duì)瀏覽器和軟件的修改情況，盡管這些修改，后期都能通過(guò)重新設(shè)置主頁(yè)或刪除不需要的軟件來(lái)解決，但如果考慮得再細(xì)致一些，如果這些PE工具在這些顯而易見(jiàn)的竄改之外，又隱藏著其他一些動(dòng)作（比如：保留系統(tǒng)后門(mén)以便對(duì)用戶(hù)PC進(jìn)行控制），我們?cè)撛鯓觼?lái)處理？所以目前最安全的辦法，莫過(guò)于自己動(dòng)手，完成系統(tǒng)的備份及還原工作。

1. 利用Norton GHOST實(shí)現(xiàn)本機(jī)備份與還原

無(wú)論是白菜、老毛桃和電腦店，它們使用的備份和還原工具的其實(shí)都是Norton GHOST，只是為了方便小菜用戶(hù)使用，他們?cè)谠浖幕A(chǔ)上，增加了更加直觀(guān)的界面和一些更加便于操作的功能而已。在這些功能之中，軟件作者悄悄植入了可修改主頁(yè)并安裝軟件的隱藏選項(xiàng)。因此，如果我們能稍微勤快一點(diǎn)，利用上述PE系統(tǒng)內(nèi)置的Norton GHOST軟件，在DOS系統(tǒng)下手工備份和還原系統(tǒng)，則能最大程度地保證系統(tǒng)的純凈。

以使用大白菜中提供的Norton GHOST軟件進(jìn)行備份及還原為例。

第一步：用PE光盤(pán)或U盤(pán)引導(dǎo)系統(tǒng)，在出現(xiàn)如圖5所示的功能選擇界面時(shí)，選擇“運(yùn)行MaxDos工具箱增強(qiáng)菜單”，進(jìn)入相應(yīng)的菜單，選擇“MaxDos 9.3工具箱增強(qiáng)版C”。

第二步：按下“↑”或“↓”，在出現(xiàn)的菜單中選擇“備份/還原系統(tǒng)”，回車(chē)后，進(jìn)入“MaxDOS一鍵備份/恢復(fù)菜單”，選擇“3.GHOST手動(dòng)操作”項(xiàng)（如圖6），進(jìn)入Symantec Ghost界面，單擊OK按鈕，進(jìn)入程序主界面。

第三步：在菜單中依次選擇“Local/Partition/To Image”（如圖7），然后在接下來(lái)的界面中選擇要備份的硬盤(pán)（有多個(gè)硬盤(pán)的話(huà)請(qǐng)核對(duì)選擇，一般來(lái)說(shuō)，通過(guò)查看Model列中的硬盤(pán)型號(hào)和Size列中的硬盤(pán)容量，可以確定要備份系統(tǒng)究竟在哪個(gè)硬盤(pán)中），選擇完畢，單擊OK按鈕。

第四步：選擇要備份的分區(qū)及備份文件的保存目錄，然后在如圖8所示的界面中選擇好要采用的壓縮方式： No，不壓縮；Fast，一般壓縮；High，高壓縮，一般來(lái)說(shuō)，壓縮率越高，備份系統(tǒng)及以后還原系統(tǒng)的速度越慢，同時(shí)備份文件出差錯(cuò)的機(jī)率越大，所以如果磁盤(pán)空間足夠的話(huà)，建議直接單擊No按鈕，即不壓縮。選擇完畢，程序?qū)㈤_(kāi)始備份系統(tǒng)，備份所用的時(shí)間取決于PC配置、系統(tǒng)分區(qū)的大小及當(dāng)前所安裝軟件的多寡。

第五步：系統(tǒng)備份完畢，以后在出現(xiàn)文件時(shí)，我們就可以利用它來(lái)恢復(fù)了，恢復(fù)的方法與備份類(lèi)似，首先進(jìn)入如圖7所示的界面，依次選擇菜單“Local/Partition/From Image”，然后按提示選擇好要恢復(fù)的硬盤(pán)、分區(qū)及要使用的備份文件即可。

2. 更上層樓打造萬(wàn)能恢復(fù)文件

上述方法打造的系統(tǒng)備份，僅適用于本機(jī)，那么，我們是否有辦法打造一個(gè)可以在不同PC中都能用的備份文件？答案是肯定的。

第一步：首先在某PC中全新安裝原版Windows系統(tǒng)，安裝完畢，安裝常用軟件到系統(tǒng)分區(qū)（注意：由于可用系統(tǒng)分區(qū)的可用空間變小會(huì)影響系統(tǒng)的運(yùn)行速度，所以建議只安裝WinRAR和Office等必用的軟件）。

第二步：卸載硬件驅(qū)動(dòng)。在“控制面板”中選擇“系統(tǒng)”，進(jìn)入相應(yīng)的界面，選擇左側(cè)的“設(shè)備管理器”項(xiàng)，打開(kāi)同名窗口，依次卸載網(wǎng)絡(luò)適配器、通用串行總線(xiàn)控制器、聲卡、視頻游戲控制器、監(jiān)視器和顯卡等的驅(qū)動(dòng)，卸載方法為：右擊要卸載驅(qū)動(dòng)的設(shè)備，在彈出的右鍵菜單中選擇“卸載”（如圖9）。卸載的時(shí)候要注意，順序一定要按照上面所說(shuō)的進(jìn)行。

Tips：

卸載驅(qū)動(dòng)的過(guò)程中，屏幕上會(huì)出現(xiàn)要求安裝驅(qū)動(dòng)的提示，千萬(wàn)不要安裝。

第三步：更改IDE ATA/ATAPI控制器為“標(biāo)準(zhǔn)SATA AHCI控制器”，這一步是打造萬(wàn)能Ghost關(guān)鍵，如果這一步?jīng)]做，則Gho文件還原到別的機(jī)器里根本無(wú)法啟動(dòng)，具體表現(xiàn)為PC不斷地重啟。更改的方法為，在“設(shè)備管理器”窗口的“IDE ATA/ATAPI控制器”項(xiàng)下右擊當(dāng)前正在使用的設(shè)備，在彈出的右鍵菜單中選擇“更新驅(qū)動(dòng)程序軟件”，打開(kāi)相應(yīng)的對(duì)話(huà)框。選擇“瀏覽計(jì)算機(jī)以查找驅(qū)動(dòng)程序軟件”，然后在出現(xiàn)的對(duì)話(huà)框中選擇“從計(jì)算機(jī)的設(shè)備驅(qū)動(dòng)程序列表中選取”項(xiàng)，單擊“下一步”按鈕。在接下來(lái)的對(duì)話(huà)框列表中選擇“標(biāo)準(zhǔn)SATA AHCI”，單擊“下一步”按鈕（如圖10）。此時(shí)系統(tǒng)會(huì)提示重啟PC。

第四步：重啟PC，并用上面介紹的大白菜PE等引導(dǎo)PC，在出現(xiàn)如圖5所示的界面時(shí)，選擇“運(yùn)行MaxDos工具箱增強(qiáng)菜單”，然后再用上面介紹的方法，完成系統(tǒng)的備份工作即可。備份成功，將相應(yīng)的Gho文件保存到U盤(pán)或移動(dòng)硬盤(pán)中，以后，我們就可以用它來(lái)在不同的PC中進(jìn)行還原操作了。

標(biāo)簽：來(lái)賓 阜新 隨州 駐馬店 山東 菏澤 內(nèi)江 四平