关于影子系统的还原原理

显示全部楼层 · 发表于 2009-7-3 16:14:42

其实就是重定向，系统启动之初就抢占了磁盘引导权，影子类原理应该都是这样。

显示全部楼层 · 发表于 2009-7-3 16:38:25

原理跟附件中说的差不多，就是重定向。深度filter、irp hook、文件隐藏、关机暴力重写。。。
如果用高级点的工具就可以看来新加入的文件会出现这样的提示：visible from windows api，not found on disk 。

显示全部楼层 · 发表于 2009-7-3 16:50:12

用强大的UE，看新增加的文件字符串吧。

显示全部楼层 · 发表于 2009-7-3 16:56:58

原帖由 wolfwalk888 于 2009-7-3 16:50 发表
用强大的UE，看新增加的文件字符串吧。

winhex都不行，UE更不用说了。

显示全部楼层 · 发表于 2009-7-3 23:33:11

应该不是吧

显示全部楼层 · 发表于 2009-7-10 20:03:51

看完楼上的回答，似懂非懂，平常对这些软件接触的少！但是它的工作原理和其他的还原软件应该一样吧，我不确定。。如果不一样就告诉我下，拉我一把把，别让我在沉浸在严重错误观点中哈！

显示全部楼层 · 发表于 2009-7-10 22:32:00

我也来看看，到底在说些什么来着。

[已解决] 关于影子系统的还原原理