影子系統(tǒng)工作原理：
       所謂影子系統(tǒng)，即重啟系統(tǒng)一切測(cè)試（操作）將不復(fù)存在。意即硬盤(pán)還原卡、還原精靈等性質(zhì)一樣。由原系統(tǒng)進(jìn)入影子系統(tǒng)，再退出影子系統(tǒng)返回原系統(tǒng)的整個(gè)過(guò)程,，所做的檔案儲(chǔ)存， 上網(wǎng)記錄，軟體安裝等等都不會(huì)被記錄。
說(shuō)其原理，應(yīng)和還原精靈類(lèi)似。說(shuō)其真正原理，我不和亂說(shuō)，僅是通過(guò)測(cè)試猜測(cè)了一下，大家應(yīng)該用過(guò)InstallWatch之類(lèi)的監(jiān)測(cè)軟件吧，它是監(jiān)控每個(gè)操作記錄。這類(lèi)在重啟時(shí)進(jìn)行反操作。
PowerShadow Master（影子系統(tǒng)）是款很奇特的小軟體,當(dāng)你安裝它并重新啟動(dòng)電腦以后,電腦會(huì)類(lèi)似安裝了雙系統(tǒng)一樣,多出一個(gè)啟動(dòng)項(xiàng),選擇其中PowerShadow Master的啟動(dòng)項(xiàng)后,原系統(tǒng)是完全一樣的使用,但是你的一切操作,包括安裝程式(甚至運(yùn)行病毒)在下次用原系統(tǒng)啟動(dòng)時(shí),都是無(wú)效的,對(duì)做程式安裝測(cè)試非常有用,不會(huì)因?yàn)榘惭b卸載而產(chǎn)生LJ檔!所謂影子系統(tǒng)!－－－－－重啟系統(tǒng)一切測(cè)試將不復(fù)存在！
       但是系統(tǒng)到底怎么樣 是不是真的像傳說(shuō)中的那樣厲害 百毒不侵！現(xiàn)在我們來(lái)看一個(gè)測(cè)試~~
1 PowerShadow的工作原理測(cè)試報(bào)告(轉(zhuǎn))
1.先確保系統(tǒng)無(wú)毒，對(duì)C盤(pán)做個(gè)ghost備份
2.在單一保護(hù)模式下，打開(kāi)影子保護(hù)
3.用冰刀（IceSword）等內(nèi)核工具強(qiáng)行中止影子的所有進(jìn)程
4. 用冰刀等內(nèi)核工具強(qiáng)制刪除幾個(gè)操作系統(tǒng)鎖定的重要組成文件，假如系統(tǒng)安裝在C:\WINDOWS\目錄下，可以刪除c:\NTDETECT.COM文件， c:\ntldr文件，C:\WINDOWS\system32\drivers\目錄下的所有文件，C:\WINDOWS\repair\目錄下的所有文件（C:\WINDOWS\repair\目錄是不可見(jiàn)目錄，保存著注冊(cè)表信息，在冰刀下可以刪除）
另外再刪除幾個(gè)C盤(pán)中的大文件
5.核對(duì)一下C盤(pán)的容量，C盤(pán)所有文件占據(jù)的容量+C盤(pán)空閑空間容量，是否等于C盤(pán)硬件分區(qū)的總?cè)萘?，如果小于C盤(pán)硬件分區(qū)總?cè)萘?，說(shuō)明影子系統(tǒng)把被刪除的文件隱藏在C盤(pán)的其他地方了，破壞失敗，不用再往下做了
如果，C盤(pán)所有文件占據(jù)的容量+C盤(pán)空閑空間容量=C盤(pán)硬件分區(qū)總?cè)萘?，繼續(xù)往下做
6.這一步很關(guān)鍵，關(guān)系到破壞最終能否成功
用bcwipe等硬盤(pán)擦除軟件擦除C盤(pán)的空閑空間，最好擦3遍以上，看擦除軟件是否能成功擦除C盤(pán)的空閑空間
7.如果成功擦除了C盤(pán)的空閑空間，關(guān)機(jī)重啟，看看還能不能正常開(kāi)機(jī)？那些被強(qiáng)制刪除的文件還在不在？
如果還能正常開(kāi)機(jī)，被刪除的文件自動(dòng)恢復(fù)，影子系統(tǒng)確實(shí)厲害！為它鼓鼓掌！
如果不能正常開(kāi)機(jī)或有文件不能恢復(fù)，請(qǐng)用第1步的ghost備份恢復(fù)C盤(pán)
為便于測(cè)試，把測(cè)試方式修改為不對(duì)系統(tǒng)具有破壞性，否則把系統(tǒng)文件破壞了，后面的測(cè)試不一定能進(jìn)行得下去，步驟如下：
1.拷貝幾個(gè)大的影像文件到C盤(pán)，把C盤(pán)的空閑空間壓縮到500M
2.安裝影子，重啟時(shí)選擇進(jìn)入單一保護(hù)模式
3.中止ShadowService.exe和ShadowTip.exe進(jìn)程
4.刪除C盤(pán)原有的一個(gè)影像文件（700M），C盤(pán)顯示空閑空間約為1200M
5.用bcwipe擦除C盤(pán)空閑空間，失敗！bcwipe顯示寫(xiě)硬盤(pán)出錯(cuò)，這是從未發(fā)生過(guò)的事情
6.另外拷貝一個(gè)光盤(pán)鏡像文件（400M）到C盤(pán)，可以正常導(dǎo)入虛擬光驅(qū)運(yùn)行，C盤(pán)顯示空閑空間約800M
7.繼續(xù)拷貝一個(gè)新影像文件（300M）到C盤(pán)
問(wèn)題出現(xiàn)了，系統(tǒng)頻繁彈出如附圖的對(duì)話框，提示windows 延緩寫(xiě)入失敗，這種情況一般只有在硬盤(pán)空間不夠時(shí)才出現(xiàn)，但此時(shí)即使算上新影像文件（300M），C盤(pán)應(yīng)有500M左右的空閑空間
8.不理會(huì)頻繁彈出的“延緩寫(xiě)入失敗”對(duì)話框，后來(lái)甚至出現(xiàn)C盤(pán)的主文件表$MFT延緩寫(xiě)入失敗，都不管，持續(xù)拷貝了將近10分鐘，新影像文件（300M）居然拷貝到C盤(pán)，“延緩寫(xiě)入失敗”對(duì)話框消失后，可以用播放器正常播放這個(gè)影像文件
分析1：
如果影子系統(tǒng)把被刪除的原來(lái)的影像文件（700M）保存在C盤(pán)空閑空間的隱藏部分，那么C盤(pán)實(shí)際可用的空閑空間只有500M，剛才拷貝新影像文件（300M）到C盤(pán)時(shí)，頻繁彈出對(duì)話框似乎證明了這點(diǎn)，但是后來(lái)拷貝到C盤(pán)的兩個(gè)文件加起來(lái)已經(jīng)超過(guò)500M，為什么還能正常使用？
9.調(diào)出工具查看內(nèi)存，發(fā)現(xiàn)512M物理內(nèi)存只有20M可用，幾個(gè)工具都不能顯示失蹤的幾百M(fèi)內(nèi)存被哪個(gè)進(jìn)程使用了
10.刪除拷貝到C盤(pán)的新影像文件（300M），失蹤的內(nèi)存回來(lái)了，可用物理內(nèi)存上漲到300多M

分析2：
先拷貝到C盤(pán)的光盤(pán)鏡像文件因?yàn)闆](méi)有超過(guò)C盤(pán)實(shí)際可用的空閑空間，保存在硬盤(pán)上，此時(shí)雖然顯示C盤(pán)空閑空間有800M，但實(shí)際可用的空閑空間只有100M，后拷貝到C盤(pán)的新影像文件（300M）超過(guò)了C盤(pán)實(shí)際可用的空閑空間，被保存在內(nèi)存中，刪掉新影像文件（300M）后，“失蹤”的內(nèi)存就回來(lái)了
11.用工具查看system進(jìn)程，發(fā)現(xiàn)system進(jìn)程加載了一個(gè)c:\windows\system32\driver\SnpShot.sys，這個(gè)文件是影子系統(tǒng)的組成文件，只有28K，system進(jìn)程將此文件加載到內(nèi)存中
12.再拷貝一個(gè)超過(guò)512M物理內(nèi)存的新影像文件2（700M）到C盤(pán)，此時(shí)C盤(pán)顯示空閑空間有約800M，理論上應(yīng)該能拷貝，實(shí)際上拷貝失敗，這一次仍然頻繁彈出“延緩寫(xiě)入失敗”對(duì)話框，但持續(xù)近2個(gè)小時(shí)都無(wú)法拷貝完成（能拷貝完成才怪呢，內(nèi)存只有512M，700M往哪放？），并且系統(tǒng)假死，因?yàn)榭捎脙?nèi)存被耗盡，只能reset重啟
13.重啟時(shí)仍然進(jìn)入單一保護(hù)模式，C盤(pán)原來(lái)的文件都在，后拷貝過(guò)去的文件都不在，為影子鼓鼓掌！

分析3：
影子啟動(dòng)單一保護(hù)模式后，C盤(pán)原有文件在硬盤(pán)上都不能動(dòng)，即使刪除也只是顯示為刪除，實(shí)際上這部分刪除后多出來(lái)的空間是無(wú)法動(dòng)用的，對(duì)后來(lái)寫(xiě)入的文件，如果能動(dòng)用的硬盤(pán)空間夠用就寫(xiě)在硬盤(pán)里，否則就寫(xiě)在內(nèi)存里，如果內(nèi)存也不夠用則系統(tǒng)假死，重啟后恢復(fù)原狀
結(jié)論：
1.影子的核心進(jìn)程不是ShadowService.exe和ShadowTip.exe，這兩個(gè)是擺擺噱頭的，影子真正的進(jìn)程是system，這是系統(tǒng)核心進(jìn)程，無(wú)法中止，即使不開(kāi)啟影子保護(hù)模式，system進(jìn)程仍然加載SnpShot.sys，一旦加載即駐留內(nèi)存，即使刪除SnpShot.sys也沒(méi)用
2.影子需要Windows系統(tǒng)支持，在DOS下影子是可以被干掉的，比如用軟盤(pán)、光盤(pán)、U盤(pán)啟動(dòng)DOS，但這幾乎不可能在遠(yuǎn)程操作，不知道有沒(méi)有DOS上網(wǎng)軟件？
3.影子啟動(dòng)保護(hù)后，如果能讓system進(jìn)程把SnpShot.sys從內(nèi)存中卸下，則影子會(huì)被干掉，這可能是以后病毒的主攻方向
4.影子沒(méi)有改寫(xiě)硬盤(pán)MBR，這一點(diǎn)大家可以放心
      
      影子系統(tǒng)缺點(diǎn)：
      1、采用單一影子模式時(shí)，不能選擇排除某個(gè)文件夾在外。比如我選擇的是保護(hù)系統(tǒng)盤(pán)C盤(pán)，但我又想在使用影子系統(tǒng)重啟后能保留殺軟的升級(jí)結(jié)果。這樣的功能影子系統(tǒng)沒(méi)有，（shadowuser這個(gè)軟件有）
      2。進(jìn)入影子系統(tǒng)后不能隨時(shí)退出隨時(shí)進(jìn)入，必須重啟系統(tǒng)，這是最大的一個(gè)遺憾，降低了便利性。
      下面還有一篇摘于一篇論壇上 論影子系統(tǒng)的漏洞之處的文章
    
     “在論壇上經(jīng)常碰到有人使用PowerShadow 也遇到很多的受害者.今天我抽出時(shí)間專(zhuān)門(mén)就PowerShadow這個(gè)軟件做簡(jiǎn)要的說(shuō)明,以正視聽(tīng)
PowerShadow作為一款還原類(lèi)的軟件,在國(guó)內(nèi)的互聯(lián)網(wǎng)很火,不少人認(rèn)為我的系統(tǒng)裝了PowerShadow是萬(wàn)事大吉,百毒不侵,互聯(lián)網(wǎng)中也這么宣傳.實(shí)際上這種說(shuō)法是完全錯(cuò)誤的.
裝了PowerShadow真的是安全了嗎?答案顯然是否定的
一 盜號(hào)木馬面前PowerShadow束手無(wú)策
我們知道互聯(lián)網(wǎng)中有一種廣泛使用的木馬叫盜號(hào)木馬(所有人都該知道的).盜號(hào)木馬嚴(yán)格意義上說(shuō)是一次性的木馬,為什么呢? 盜號(hào)木馬以盜走你的特定的賬號(hào)密碼為目的.一旦植入系統(tǒng)盜走你的賬號(hào)和密碼后 木馬完成了使命.你再去清理他,木馬清理后 損失已經(jīng)造成了,無(wú)法挽回了. 然而你在PowerShadow 的保護(hù)下中了此類(lèi)木馬,因?yàn)橛白邮翘摂M的系統(tǒng)而不是具有保護(hù)功能的防火墻,當(dāng)你重啟系統(tǒng)后,木馬消失了同時(shí)賬號(hào)和密碼已經(jīng)在黑客的手中了. PowerShadow不但沒(méi)有保護(hù)作用反而替黑客做了銷(xiāo)毀證據(jù)的工作.

二 再堅(jiān)固的保護(hù)依舊得敞開(kāi)
大家經(jīng)常會(huì)安裝各式各樣的軟件,在PowerShadow的保護(hù)下安裝是無(wú)法安裝的,我們必須在正常的模式下安裝軟件,如果這時(shí)候安裝包中捆綁了木馬.你依舊會(huì)中木馬,再啟動(dòng)PowerShadow的保護(hù),除非你發(fā)現(xiàn)了否則這個(gè)木馬會(huì)一直陪伴你.
三 先入為主
很多人喜歡在做完系統(tǒng)后 裝上所有應(yīng)該裝的軟件后 再 裝PowerShadow 予以保護(hù)以求安全,如果你的應(yīng)用軟件不干凈,結(jié)果會(huì)和第二點(diǎn)一樣.
四 系統(tǒng)崩潰
PowerShadow 和其他還原類(lèi)軟件一樣,依舊存在系統(tǒng)崩潰的問(wèn)題.有過(guò)崩潰經(jīng)驗(yàn)的PowerShadow用戶應(yīng)該有過(guò) 開(kāi)機(jī)后發(fā)現(xiàn)找不到**文件而不得已全部重裝的經(jīng)歷.其實(shí)原因很簡(jiǎn)單 PowerShadow還原出錯(cuò)，就會(huì)導(dǎo)致系統(tǒng)無(wú)法啟動(dòng)和文件目錄丟失,而且PowerShadow改寫(xiě)了分區(qū)信息和引導(dǎo)程序數(shù)據(jù)，很容易造成系統(tǒng)崩潰.
五 無(wú)法徹底卸載
如果通過(guò)簡(jiǎn)單的卸載程序進(jìn)行卸載是無(wú)法卸載PowerShadow的.大家在卸載完P(guān)owerShadow以后 用sreng軟件 看一下驅(qū)動(dòng)程序 會(huì)發(fā)現(xiàn) snpshot.sys依舊在 running(運(yùn)行)看圖 用SREng在安全模式下刪除或改動(dòng)這個(gè)文件后，系統(tǒng)即崩潰，不能啟動(dòng)也不能進(jìn)入安全模式.為啥呢?很簡(jiǎn)單這個(gè)文件的啟動(dòng)方式是boot start 你在安全模式下刪 肯定會(huì)出問(wèn)題的.然而PowerShadow卸載并沒(méi)有還原修改的主引導(dǎo).系統(tǒng)崩潰并不奇怪了.
有人問(wèn)那咋卸載呢.有這么幾種方式.
其中能徹底卸載影子的是低格和換硬盤(pán)….
低格就是debug,一般硬盤(pán)廠商有debug工具 下載后按照提示做.但是低格是很傷硬盤(pán)的.
除了上述兩種辦法, 可以嘗試用系統(tǒng)安裝盤(pán)光驅(qū)引導(dǎo) 后 進(jìn)入安裝界面刪除所有的分區(qū)再建立新的分區(qū) 然后開(kāi)始漫長(zhǎng)的系統(tǒng)重裝……
其次有全盤(pán)ghost的用戶可以嘗試 ghost還原 但是根據(jù)反饋的效果 依舊有部分殘留.
對(duì)于僅僅格式化系統(tǒng)盤(pán)的用戶 根據(jù)反饋的信息看 是無(wú)法徹底卸載的.”

      看到這大家心里也有個(gè)了解了吧，什么事物不可能十全十美的，根據(jù)自己的愛(ài)好去選擇自己喜歡的還原軟件吧！
    個(gè)人見(jiàn)解：
     冰點(diǎn)還原還是蠻穩(wěn)定的，而且密碼保護(hù)很強(qiáng)，很難破解，安全性很高。就是操作起來(lái)有點(diǎn)麻煩，但是還是個(gè)不錯(cuò)的還原軟件的！個(gè)人愛(ài)好吧
還原精靈的工作原理
    還原精靈修改了硬盤(pán)的引導(dǎo)扇區(qū)，硬盤(pán)的引導(dǎo)扇區(qū)又被稱為MBR(主引導(dǎo)記錄)，它位于硬盤(pán)的0磁頭0柱面1扇區(qū)。
    還原精靈的工作原理涉及到中斷概念：中斷是指CPU暫停當(dāng)前運(yùn)行的程序,轉(zhuǎn)而執(zhí)行中斷提交的程序。
    int 13是中斷指令，其中int是指令助記符，13(十六進(jìn)制數(shù))是中斷號(hào)。當(dāng)用戶對(duì)硬盤(pán)進(jìn)行操作時(shí)，基本輸入輸出系統(tǒng)(BIOS)向CPU提出中斷請(qǐng)求，CPU轉(zhuǎn)而執(zhí)行int 13提交的程序。
    int 13提交給CPU執(zhí)行的MBR位于是0扇區(qū)。如果在BIOS中設(shè)置了硬盤(pán)啟動(dòng)的話，系統(tǒng)會(huì)首先載入這個(gè)扇區(qū)的MBR到內(nèi)存，然后運(yùn)行這個(gè)代碼，還原精靈就是用自己的引導(dǎo)代碼來(lái)代替標(biāo)準(zhǔn)的引導(dǎo)代碼。這個(gè)方法與引導(dǎo)型病毒一樣。不過(guò)，引導(dǎo)型病毒的目的是破壞系統(tǒng)，而還原精靈的目的是保護(hù)系統(tǒng)。
    還原精靈的代碼接管了引導(dǎo)扇區(qū)后，每當(dāng)我們向硬盤(pán)的文件分配表寫(xiě)入數(shù)據(jù)時(shí)，總是被導(dǎo)入硬盤(pán)數(shù)據(jù)區(qū)，沒(méi)有真正修改硬盤(pán)中的文件分配表FAT。例如：我們?cè)谧鲇脖P(pán)的寫(xiě)操作。由于INT 13的服務(wù)程序被接管，當(dāng)還原精靈發(fā)現(xiàn)是寫(xiě)硬盤(pán)操作，便將原先數(shù)據(jù)的目的地址指向它自己定義的一段連續(xù)的空磁盤(pán)空間，并將先前備份的FAT中相關(guān)數(shù)據(jù)指向這片空間。所以還原精靈需要被保護(hù)的磁盤(pán)上有較大的空閑空間,它需要利用這段空間。 進(jìn)一步地，用戶不可能格式化真正的硬盤(pán)，因?yàn)樗袑?duì)硬盤(pán)的操作都要通過(guò)還原精靈的處理。
    根據(jù)以上原理，有人提出了一個(gè)破解還原精靈的方法：
    從光盤(pán)引導(dǎo)系統(tǒng)后，在dos下將原先C盤(pán)的數(shù)據(jù)全部刪除，然后往C盤(pán)里狂拷垃圾數(shù)據(jù)，直到C盤(pán)滿為止，下次從硬盤(pán)啟動(dòng)時(shí)，因?yàn)楸Ｗo(hù)區(qū)數(shù)據(jù)（即扇區(qū)中的數(shù)據(jù)）被替換為垃圾數(shù)據(jù)而系統(tǒng)癱瘓？此時(shí)還原精靈就失效了。
     大家認(rèn)為這種說(shuō)法是否可行？？？
    大家是否意識(shí)到，還原精靈只是修改13號(hào)中斷，如果我從光盤(pán)引導(dǎo)系統(tǒng)，（假設(shè)我在還原精靈里設(shè)置為自動(dòng)還原C盤(pán)）然后把C盤(pán)的文件統(tǒng)統(tǒng)刪除（注意，不是格式化），按照你的說(shuō)法，
    1。如果是從硬盤(pán)引導(dǎo)，那么將會(huì)增加C盤(pán)非保護(hù)區(qū)的空間占用；
    2。如果是從光盤(pán)或其他介質(zhì)引導(dǎo)，那么此次刪除操作則是將真正在保護(hù)區(qū)內(nèi)的文件刪除咯？如果此時(shí)我再往C盤(pán)里狂復(fù)制數(shù)據(jù)，直到其滿為止，那么保護(hù)區(qū)的數(shù)據(jù)也將被全部抹掉
    然后說(shuō)一下還原精靈的蔽端吧
    1 密碼太容易破解 早在幾年前 在網(wǎng)吧盛行還原精靈的時(shí)候，那時(shí)候的病毒和一些電腦高手不是太多的時(shí)候破解還原精靈就非常的普遍了。不信的話你可以隨便到些軟件下載站找一下破解還原精靈的工具和方法 隨處一抓都是一大把~~哈哈~~這個(gè)就不多做介紹 了！
    2 引導(dǎo)區(qū)容易出現(xiàn)錯(cuò)誤 這是致命的錯(cuò)誤啊！
    本人原來(lái)裝的籃球3。0的系統(tǒng) 一進(jìn)用的還原精靈，后來(lái)用時(shí)間長(zhǎng)了想換系統(tǒng)（本人喜新厭舊啊，老大不要打我啊），把還原卸載了，把C盤(pán)格掉，換了個(gè)系統(tǒng)裝（不是克隆系統(tǒng)），裝好系統(tǒng)，裝好應(yīng)用軟件以后裝還原，提示重新啟動(dòng)，重啟后出現(xiàn)分區(qū)表錯(cuò)誤，當(dāng)時(shí)頭一蒙，用PQ查看一下硬盤(pán)，完了，分區(qū)表數(shù)據(jù)全部丟失，我的硬盤(pán)可是160大G啊，里面有很多本人喜歡的MP3、電影，最主要的是還有公司很多重要的數(shù)據(jù)啊，當(dāng)時(shí)那個(gè)氣啊，一下爆發(fā)成MAX，當(dāng)時(shí)因?yàn)閷?duì)數(shù)據(jù)恢復(fù)這方面的知識(shí)淺薄，而且還急于恢復(fù)系統(tǒng) 就直接Format 分區(qū)裝系統(tǒng)了，如果當(dāng)時(shí)想辦法恢復(fù)一下數(shù)據(jù)至少有%90以上的數(shù)據(jù)可以恢復(fù)吧?，F(xiàn)在不說(shuō)這個(gè)了。
     一些使用過(guò)還原精靈軟件或還原卡的硬盤(pán)，我們能夠?qū)τ脖P(pán)進(jìn)行分區(qū)，格式化，但是重新啟動(dòng)電腦后就恢復(fù)原狀態(tài);或者是還原精靈密碼丟失，我們無(wú)法正常卸載還原精靈;甚至是我們對(duì)硬盤(pán)低格后，雖然能夠安裝系統(tǒng)，但是無(wú)法從硬盤(pán)自檢，檢查激活分區(qū)，系統(tǒng)分區(qū)都正常。對(duì)于此類(lèi)故障，其原因就是硬盤(pán)主引導(dǎo)區(qū)(MBR)的引導(dǎo)程序代碼沒(méi)有被更新，仍然是被還原精靈軟件所控制，這時(shí)我們只要從光盤(pán)引導(dǎo)啟動(dòng)系統(tǒng)，使用”FDISK /MBR”命令就可以解決此類(lèi)問(wèn)題。
　　另外使用”FDISK /MBR”命令進(jìn)行重寫(xiě)主引導(dǎo)扇區(qū)時(shí)，此法可能會(huì)丟失硬盤(pán)中的數(shù)據(jù)，只能在萬(wàn)不得已時(shí)使用，注意不要在多于四個(gè)分區(qū)的硬盤(pán)上．
    其實(shí)有時(shí)候 “fdidsk/mbr”命令也不會(huì)起作用
原因：還原精靈確實(shí)卸載了還原精靈確實(shí)好用，恢復(fù)系統(tǒng)的時(shí)候很方便，不過(guò)它也會(huì)把系統(tǒng)引導(dǎo)區(qū)加入自己的引導(dǎo)信息，所以在重裝系統(tǒng)的時(shí)候不允許隨便更改引導(dǎo)區(qū)，導(dǎo)致分區(qū)表錯(cuò)誤，有些經(jīng)過(guò)一些程序編輯過(guò)的還原精靈即使你卸載了是卸不干凈的！

冰點(diǎn)還原工作原理：
      冰點(diǎn)的還原是爭(zhēng)奪南橋芯片的I0控制權(quán)來(lái)實(shí)現(xiàn)的,當(dāng)裝入正確的驅(qū)動(dòng)后,冰點(diǎn)就可以正確的拿到I0控制器的控制權(quán),就達(dá)到了任何關(guān)于硬盤(pán)的寫(xiě)入都要經(jīng)過(guò)他的控制,這樣就可以輕易的達(dá)到還原目的,同樣,雙系統(tǒng)或者GHOST恢復(fù)的話,正確裝上了冰點(diǎn)的系統(tǒng)才會(huì)有還原功能,如果沒(méi)有裝的話,當(dāng)然就沒(méi)有啦.所以GHOST下可以無(wú)限制的添加文件,而windows下添加文件就被還原了.
補(bǔ)充一點(diǎn):冰點(diǎn)是隨著windows的啟動(dòng)才啟動(dòng)的,windows啟動(dòng)加載驅(qū)動(dòng)的時(shí)候冰點(diǎn)就通過(guò)某種方式觸發(fā)啟動(dòng)了,由于冰點(diǎn)有I0控制器的控制權(quán),所以,他可以把任何寫(xiě)入硬盤(pán)的東西放到任何地方,不知道大家有沒(méi)看過(guò)temp(windows臨時(shí)文件夾)下有個(gè)DF5.TMP對(duì)不?具體的文件名我記不到蠻清楚了,而且,我現(xiàn)在不在我的網(wǎng)吧里,這家網(wǎng)吧把C盤(pán)屏蔽了!@#$%$%所以不能提供具體的名稱了,大家可以自己看看
補(bǔ)充，冰點(diǎn)的轉(zhuǎn)儲(chǔ)一般是隨著windows的臨時(shí)文件夾的，所以，系統(tǒng)做完以后一定要把windows臨時(shí)文件夾轉(zhuǎn)移到一個(gè)比較空閑的盤(pán)里，不然，就會(huì)出現(xiàn)丟失文件的情況的（下載大文件后丟失文件就是這樣引起的），因?yàn)?，DF把所有寫(xiě)入的文件都放在那里面，雖然表面上看你丟在了別處，但是存儲(chǔ)位置實(shí)際上還是在臨時(shí)文件夾里，只是windows顯示給你的路徑給你了誤導(dǎo)，它在硬盤(pán)上的實(shí)際位置應(yīng)該是在臨時(shí)文件夾下面。
DOS下面不可能操作冰點(diǎn)啊，就算是使用NTFSDOS修改了它，就可能啟動(dòng)不好了
另外，DF設(shè)計(jì)用于NTFS的時(shí)候就認(rèn)為NTFS不被DOS支持，所以，沒(méi)有提供DOS下的支持，甚至在FAT32的win98 的DOS下都不提供支持，DF的設(shè)計(jì)是面向windows的
你只有重刻系統(tǒng)一種方法了
最好把系統(tǒng)的文件格式改為NTFS，但是NTFS確實(shí)也存在丟失文件的，我曾經(jīng)遇到過(guò)，但是，NTFS丟失文件絕大部分是與硬件相關(guān)的，我遇上問(wèn)題的那次是鍵盤(pán)的接口接觸不好，更換鍵盤(pán)，文件丟失現(xiàn)象就解決了，
windows 2000/XP/2003下有個(gè)NTDETECT.COM文件,這個(gè)文件是在windows啟動(dòng)的時(shí)候負(fù)責(zé)讀取硬件信息的程序,ntldr在每次啟動(dòng)的時(shí)候第一個(gè)加載的就是它,然后它會(huì)給分別讀取每個(gè)硬件的信息,決定ntldr需要加載的驅(qū)動(dòng)程序,因?yàn)檫@個(gè)程序不是windows下的程序,設(shè)計(jì)的也很簡(jiǎn)便,所以,硬件如果有某些小問(wèn)題,造成沒(méi)有發(fā)現(xiàn)某些必須的硬件,某些驅(qū)動(dòng)便不能加載,然后提示文件丟失(有時(shí)候BIOS能通過(guò),能報(bào)錯(cuò)哪些硬件損壞,但windows在啟動(dòng)的時(shí)候沒(méi)有告訴你什么硬件壞了吧?要么啟動(dòng)失敗,要么啟動(dòng)成功以后告訴你什么什么壞了),我們有時(shí)候遇到這樣的事情,機(jī)器不能啟動(dòng)了,但,放幾天又好了,或者放幾天又壞了,就存在某些元件受潮?受熱?很多小小小的不能小的問(wèn)題集中起來(lái)就要出大問(wèn)題的.我的說(shuō)法很偏激,是一種比較的鉆牛角尖的說(shuō)法的,如果你每臺(tái)機(jī)器都是那樣的話那就不存在硬件上的問(wèn)題了,但在我看來(lái),丟失文件的幾率真的很低啊(NTFS).所以,NTFS下丟文件,基本上是硬件引起的,不知道哪位兄弟能給出點(diǎn)意見(jiàn)啊.又或者我分析的不對(duì)了.
<---->在補(bǔ)充點(diǎn)
NTDETECT.COM這個(gè)文件在啟動(dòng)的時(shí)候會(huì)往注冊(cè)表里的一個(gè)鍵下面添加硬件環(huán)境信息，具體我不清楚啦，以此來(lái)決定加載什么驅(qū)動(dòng)的，沒(méi)有檢測(cè)什么哪個(gè)硬件就不會(huì)加載相應(yīng)的驅(qū)動(dòng)，ntldr在加載系統(tǒng)文件的時(shí)候就有可能發(fā)生錯(cuò)誤，說(shuō)什么什么文件丟失，其實(shí)，那個(gè)文件還是存在的，只是沒(méi)有按NTDETECT.COM給出的列表加載進(jìn)去而已。
      缺點(diǎn)嘛 現(xiàn)在目前唯一發(fā)現(xiàn)的一點(diǎn)就是：操作起來(lái)非常麻煩，要想保存一次數(shù)據(jù)至少要重啟2次 不像還原精靈那樣點(diǎn)一下“轉(zhuǎn)儲(chǔ)”就OK了。