关于影子系统原理很强悍的文章（内附暴力测试）

汤汤汤

影子系统原理分析，转载
软件原理浅析
有人可能使用了这个软件之后觉得它有点太过神奇，反而心中有不放心，所以想了解它的工作原理。大部分网友有了解它原理的愿望，却又不具备自己分析的技术知识。对于影子公司来说，在这点上他是被动的——涉及到知识产权和商业秘密他或许不能太多地披露该软件的具体细节，但是面对广大网友的质疑完全保持沉默又让人造成他是心虚的印象。而在这一点上，正好给其他诋毁该软件的枪手和公司造成口实和绝佳攻击点，也正好是利用了绝大部分的网友没有自己分析的技术知识这一点，于是各种各样的奇怪言论都出现了。
从个人使用感受来说，到目前为止，一些人反映的问题比如“蓝屏”“cpu占用100％”“硬盘响得厉害”等问题，在我的电脑上从来没有出现过。我对技术也是不懂，对于影子的原理和是否会对硬件造成影响不做任何判断，这里仅从网上收集两种意见，大家自己看。
【负面】：
影子系统其实就是还原卡，说白了，就是一个磁盘过滤驱动。在硬盘上划一个区域，然后把你所有的操作全部保存到这个区域里，重启就撤销这种映射关系。
长期、大量、重复地对硬盘特定的区域进行读写操作，将对硬盘产生致命的伤害，最终减损硬盘的寿命。因此，对于网吧机房等数据存储行为较少，数据重要性差的公共用机，这种损伤是可以承受的。但是对于企业办公，家庭娱乐等数据存储频繁，数据安全性要求高的计算机，硬盘的部分损坏将是致命的，事实证明，影子系统是为了减少中国硬盘使用寿命而设计的！
影子系统的作者写程序能力应该是很差的，这跟他们出身还原卡作坊是有关的，从大量的蓝屏现象来看，几乎是驱动开发入门级别的水平。过了1年时间都无法解决Vista兼容的问题，我觉得作者能力真的好差。
【正面】：
硬件系统启动时，在Windows加载之前，建立被保护磁盘的磁盘分配表副本，副本分配表中标记原已分配区域为只读，影子系统PowerShadow重新定向所有来自Windows的磁盘操作到副本分配表，并且只刷新分配表副本。一旦系统重新启动，原分配表和原分配表标记的已分配区域数据毫无变化，以此达到在不增加任何额外的磁盘读写的前提下实现对原磁盘操作系统数据（Windows 系统的有效磁盘数据）的完整保护。在副本分配表基础上运行的操作系统powershadow称之为影子系统。
原理上，影子系统PowerShadow的软件层面相当于bios扩展而不是windows的一部分，如果影子系统PowerShadow本身没有漏洞和bug，硬件没有故障和bug，一旦影子系统PowerShadow的保护功能启动，任何windows程序都无法攻破影子系统PowerShadow的磁盘保护。
==============================
★★★网友对影子系统工作原理测试〖结果是正面的〗★★★
【1】.先确保系统无毒，对C盘做个ghost备份。
【2】.在单一保护模式下，打开影子保护。
【3】.用冰刀（IceSword）等内核工具强行中止影子的所有进程。
【4】. 用冰刀等内核工具强制删除几个操作系统锁定的重要组成文件，假如系统安装在C:\WINDOWS\目录下，可以删除c:\NTDETECT.COM文件， c:\ntldr文件，C:\WINDOWS\system32\drivers\目录下的所有文件，C:\WINDOWS\repair\目录下的所有文件（C:\WINDOWS\repair\目录是不可见目录，保存着注册表信息，在冰刀下可以删除）另外再删除几个C盘中的大文件。
【5】.核对一下C盘的容量，C盘所有文件占据的容量+C盘空闲空间容量，是否等于C盘硬件分区的总容量，如果小于C盘硬件分区总容量，说明影子系统把被删除的文件隐藏在C盘的其他地方了，破坏失败，不用再往下做了如果，C盘所有文件占据的容量+C盘空闲空间容量=C盘硬件分区总容量，继续往下做。
【6】.这一步很关键，关系到破坏最终能否成功。用bcwipe等硬盘擦除软件擦除C盘的空闲空间，最好擦3遍以上，看擦除软件是否能成功擦除C盘的空闲空间。
【7】.如果成功擦除了C盘的空闲空间，关机重启，看看还能不能正常开机？那些被强制删除的文件还在不在？如果还能正常开机，被删除的文件自动恢复，影子系统确实厉害！为它鼓鼓掌！如果不能正常开机或有文件不能恢复，请用第1步的ghost备份恢复C盘。为便于测试，把测试方式修改为不对系统具有破坏性，否则把系统文件破坏了，后面的测试不一定能进行得下去，步骤如下：
⑴拷贝几个大的影像文件到C盘，把C盘的空闲空间压缩到500M。
⑵安装影子，重启时选择进入单一保护模式。
⑶中止ShadowService.exe和ShadowTip.exe进程。
⑷删除C盘原有的一个影像文件（700M），C盘显示空闲空间约为1200M。
⑸用bcwipe擦除C盘空闲空间，失败！bcwipe显示写硬盘出错，这是从未发生过的事情。
⑹另外拷贝一个光盘镜像文件（400M）到C盘，可以正常导入虚拟光驱运行，C盘显示空闲空间约800M。
⑺继续拷贝一个新影像文件（300M）到C盘。问题出现了，系统频繁弹出如附图的对话框，提示windows 延缓写入失败，这种情况一般只有在硬盘空间不够时才出现，但此时即使算上新影像文件（300M），C盘应有500M左右的空闲空间。
【8】.不理会频繁弹出的“延缓写入失败”对话框，后来甚至出现C盘的主文件表$MFT延缓写入失败，都不管，持续拷贝了将近10分钟，新影像文件（300M）居然拷贝到C盘，“延缓写入失败”对话框消失后，可以用播放器正常播放这个影像文件。
分析1：
如果影子系统把被删除的原来的影像文件（700M）保存在C盘空闲空间的隐藏部分，那么C盘实际可用的空闲空间只有500M，刚才拷贝新影像文件（300M）到C盘时，频繁弹出对话框似乎证明了这点，但是后来拷贝到C盘的两个文件加起来已经超过500M，为什么还能正常使用？
【9】.调出工具查看内存，发现512M物理内存只有20M可用，几个工具都不能显示失踪的几百M内存被哪个进程使用了。
【10】.删除拷贝到C盘的新影像文件（300M），失踪的内存回来了，可用物理内存上涨到300多M。
分析2：
先拷贝到C盘的光盘镜像文件因为没有超过C盘实际可用的空闲空间，保存在硬盘上，此时虽然显示C盘空闲空间有800M，但实际可用的空闲空间只有100M，后拷贝到C盘的新影像文件（300M）超过了C盘实际可用的空闲空间，被保存在内存中，删掉新影像文件（300M）后，“失踪”的内存就回来了。
【11】.用工具查看system进程，发现system进程加载了一个c:\windows\system32\driver\SnpShot.sys，这个文件是影子系统的组成文件，只有28K，system进程将此文件加载到内存中。
【12】.再拷贝一个超过512M物理内存的新影像文件2（700M）到C盘，此时C盘显示空闲空间有约800M，理论上应该能拷贝，实际上拷贝失败，这一次仍然频繁弹出“延缓写入失败”对话框，但持续近2个小时都无法拷贝完成（能拷贝完成才怪呢，内存只有512M，700M往哪放？），并且系统假死，因为可用内存被耗尽，只能reset重启。
【13】.重启时仍然进入单一保护模式，C盘原来的文件都在，后拷贝过去的文件都不在，为影子鼓鼓掌！
分析3：
影子启动单一保护模式后，C盘原有文件在硬盘上都不能动，即使删除也只是显示为删除，实际上这部分删除后多出来的空间是无法动用的，对后来写入的文件，如果能动用的硬盘空间够用就写在硬盘里，否则就写在内存里，如果内存也不够用则系统假死，重启后恢复原状
结论：
⑴影子的核心进程不是ShadowService.exe和ShadowTip.exe，这两个是摆摆噱头的，影子真正的进程是system，这是系统核心进程，无法中止，即使不开启影子保护模式，system进程仍然加载SnpShot.sys，一旦加载即驻留内存，即使删除SnpShot.sys也没用。
⑵影子需要Windows系统支持，在DOS下影子是可以被干掉的，比如用软盘、光盘、U盘启动DOS，但这几乎不可能在远程操作，不知道有没有DOS上网软件？
⑶影子启动保护后，如果能让system进程把SnpShot.sys从内存中卸下，则影子会被干掉，这可能是以后病毒的主攻方向。
⑷影子没有改写硬盘MBR，这一点大家可以放心。

[ 本帖最后由 汤汤汤 于 2008-4-17 09:35 编辑 ]

SONGBOWEN

影子启动保护后，如果能让system进程把SnpShot.sys从内存中卸下，则影子会被干掉，这可能是以后病毒的主攻方向。

貌似狙剑可以做到

影子没有改写硬盘MBR，这一点大家可以放心。

具体要分是哪个版本吧。。。。

shery0000

楼主好文章,收藏了,回去试试把自己的影子干了

asinasina

写的很好，谢谢了～一直都想知道原理的说～

luyou006

呵呵，不错的内容，多谢楼主。。。哈。^_^

spiha

冰刃或者被微軟收購掉的那個任務管理器就可以做到了
但是實際上沒辦法卸掉那個驅動的 ...
我試過 而且SD也跟ps一樣會加進去
但是一樣卸不下來＝ ＝

另外樓主的文章很老很老了..
關于這句“长期、大量、重复地对硬盘特定的区域进行读写操作”
... 建議去看看關于硬盤原理的文章... 這段是口胡
不如說整篇文章都是讓些不懂裝懂的人寫的.. 然后別人以為是真的就轉過去了..

[ 本帖最后由 spiha 于 2008-4-17 13:30 编辑 ]

38972433

...........................没事..现在硬盘便宜....偶游戏里一晚上还赚到了..................安全最重要....

ssyknuwyg

SNIPSWORD摘磁盘过滤驱动是无效的，试过的，万能方法的还是DC，磁盘过滤驱动无效化后什么都完蛋