无忧启动论坛

标题: Snapshot还原当前系统分区的技术分析 [打印本页]

作者: bfgxp 时间: 2010-12-17 13:03
标题: Snapshot还原当前系统分区的技术分析
snapshot从1.4版开始支持还原当前操作系统所在分区，但似乎只能在gui中实现
找了半天也没有发现可以用命令行实现的方法或参数
哪位大大知道方法的麻烦说下
这是官方介绍内容http://www.drivesnapshot.de/en/restboot.htm
通过分析注册表发现
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
"BootExecute"=hex(7):61,00,75,00,74,00,6f,00,63,00,68,00,65,00,63,00,6b,00,20,\
  00,61,00,75,00,74,00,6f,00,63,00,68,00,6b,00,20,00,2a,00,00,00,73,00,6e,00,\
  61,00,70,00,6e,00,61,00,74,00,69,00,76,00,65,00,2e,00,65,00,78,00,65,00,00,\
  00,00,00
在“bootexecute”下多了一个启动程序
snapnative.exe c:\windows\system32\snapnative.exe

而在这里多了以下几个值
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Snapshot]
"AutoReboot"=dword:00000000
"AutoRebootSuccess"=dword:00000000
"Destination"="\\??\\C:"
"FullImage"="\\??\\x:\\C-Drive.sna"

关于从“bootexecute”键中运行的程序的特点
经查相关技术文档说是win系统在启动到这里时，所有系统分区中的文件都没有被锁定，而snapshot则巧妙的利用了win系统的这一点特性，通过在“bootexecute”键中添加snapnative.exe来还原系统
为什么不是snapshot.exe呢，因为在bootexecute这里运行的程序是很底层的native程序，普通程序在这里还没法运行

通过以上分析，虽然目前还没有命令行参数支持这种还原，但我们却可以通过注册导入相关的键值来实现

[ 本帖最后由 bfgxp 于 2010-12-19 13:03 编辑 ]

作者: lindafu 时间: 2010-12-17 13:15
[backup a volume]
 Snapshot C: X:\C-DRIVE.sna
 -A - save ALL sectors, ignore free cluster info (maintenance)
 -L650 - Limit resulting imagesize to 650MB (CDROM size)
 -T - Test generated image file (verify correct checksums)
 -W - suppress <Hit any key> if started from scheduler
 -R - Empty Recycle Bin for this drive before Backup
 -G - Graphical status display for command line mode
 -PW=MyPassword (also used for restore and viewing)
 -C="My comment" add a comment to the image
 -o[path][filename] generate hash file with name "path\filename"
 -o - don't generate hash file
 -h<HashFile> make a differential image

[backup multiple volumes and drives without drive letters]
 Snapshot C:+D:+HD1:3 X:\$disk-DRIVE.sna
 HD1:3 is the third partition on the first disk
 HD1:* can be used to backup all partitions on the first disk

Options for command line substitutions
Possible values for substitution are:
 $disk is substituted with the drive letter
 $date results in 050131 which represents January 31 2005
$computername is substituted with the computername
 $type results in "dif" or "ful" for differential or full image
 $weekday is substituted with the first two characters of the Weekday
 $year is substituted with the year (4 digits)
 $month is substituted with the month (2 digits)
 $day is substituted with the day of the month (2 digits)
 $hour is substituted with the hour
 $minute is substituted with the minute
 $second is substituted with the second

[restore a volume]
 Snapshot X:\C-DRIVE.sna C:

[view a saved file]
 Snapshot X:\C.sna Z: -V
 explores X:\C.sna as virtual drive Z: (-VM for mount only)
 (-VQ for mount only and wait for event. Use --unmount to terminate)

[generate a new hash file from a full image]
 Snapshot X:\C.sna -h<HashFileName>

[info about a file] Snapshot X:\C-DRIVE.sna -I
[partition info ] Snapshot X:\C-DRIVE.sna -P
[validate file ] Snapshot X:\C-DRIVE.sna -T

作者: bfgxp 时间: 2010-12-17 16:19
标题: 回复 #2 lindafu 的帖子
官方的命令行说明文档看了几遍了
Snapshot X:\C-DRIVE.sna C:
这条不行的

作者: andos 时间: 2010-12-17 22:22

原帖由 bfgxp 于 2010-12-17 16:19 发表
官方的命令行说明文档看了几遍了
Snapshot X:\C-DRIVE.sna C:
这条不行的

你照用X:\C-DRIVE.sna当然不行

X:\C-DRIVE.sna 表示Image放的位和名称
你应该不会放在X:\下吧

你应该改回你放的对应位置吧

作者: bfgxp 时间: 2010-12-18 11:25
标题: 回复 #4 andos 的帖子
：）怎么说呢，还是多谢你这个解释，毕竟总有比我还菜的

作者: songhangzhou 时间: 2010-12-22 15:58
本人本机备份的恢复是在纯DOS下用的命令：
A:\snapshot restore HD1 auto W:\c.drive.sna -Y -V
恢复主引导扇区（MBR）
A:\snapshot.exe restore HD1 MBR W:\c.drive.sna

声明下,是全镜像型的snapshot备份

楼主的意思好象是指针型的snapshot,恢复系统分区将在下一次启动 windows 前还原当前操作系统所在的分区..
在实际操作中,本人还不曾用过
主要是害怕,指针型的snapshot,备份的原盘坏了，数据应该是无法恢复的

作者: zts59 时间: 2010-12-23 16:18
不错，也算真正脱离第三方系统了。

我对SNAPSHOT映像不好，两块硬盘之间备份及恢复。

备份一块硬盘其中一个分区，然后再恢复另一个硬盘某一分区，会导致WINDOWS对这个分区极不稳定，日志老是产生错误DISK

作者: lianjiang 时间: 2010-12-23 16:43

原帖由 bfgxp 于 2010-12-17 13:03 发表
关于从“bootexecute”键中运行的程序的特点
经查相关技术文档说是win系统在启动到这里时，所有系统分区中的文件都没有被锁定，而snapshot则巧妙的利用了win系统的这一点特性，通过在“bootexecute”键中添加snapnative.exe来还原系统
为什么不是snapshot.exe呢，因为在bootexecute这里运行的程序是很底层的native程序，普通程序在这里还没法运行

通过以上分析，虽然目前还没有命令行参数支持这种还原，但我们却可以通过注册导入相关的键值来实现

很有价值，期待进一步研究，实现傻瓜化一键还原。

作者: ban_r 时间: 2010-12-23 22:24

原帖由 bfgxp 于 2010-12-17 13:03 发表
snapshot从1.4版开始支持还原当前操作系统所在分区，但似乎只能在gui中实现
找了半天也没有发现可以用命令行实现的方法或参数
哪位大大知道方法的麻烦说下
这是官方介绍内容http://www.drivesnapshot.de/en/ ...

要怎么样才能获得: snapnative.exe 呢???

SORRY, 找到了。。。。光问没动手....执行一次恢复就有了.

[ 本帖最后由 ban_r 于 2010-12-23 22:39 编辑 ]

作者: songhangzhou 时间: 2010-12-23 23:20
一般指针型的snapshot都是只读的,且file system snapshot都是后台拷贝
如果能实现傻瓜式的snapshot一键还原，应该同三名一键恢复，雨过天晴的东西
差不多，就是不知道对系统性能影响大不大？

作者: ban_r 时间: 2010-12-24 00:25
刚试验过,在WIN7系统中只要修改了:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
"BootExecute"=hex(7):61,00,75,00,74,00,6f,00,63,00,68,00,65,00,63,00,6b,00,20,\
  00,61,00,75,00,74,00,6f,00,63,00,68,00,6b,00,20,00,2a,00,00,00,73,00,6e,00,\
  61,00,70,00,6e,00,61,00,74,00,69,00,76,00,65,00,2e,00,65,00,78,00,65,00,00,\
  00,00,00
中的相关信息,确保system32中有snapnative.exe ，那么重新启动WIN7 就能自动恢复

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Snapshot]
"AutoReboot"=dword:00000000
"AutoRebootSuccess"=dword:00000000
这两项对应为: 不重启, 完成后重启出错重启

[ 本帖最后由 ban_r 于 2010-12-24 00:27 编辑 ]

作者: andos 时间: 2010-12-24 08:41

原帖由 lianjiang 于 2010-12-23 16:43 发表

很有价值，期待进一步研究，实现傻瓜化一键还原。

貌似只支持当前有安装系统才能这样使用吧?

如果当前没装系统就没用了，还是要到PE了吧...

作者: lianjiang 时间: 2010-12-24 10:23

原帖由 andos 于 2010-12-24 08:41 发表

貌似只支持当前有安装系统才能这样使用吧?

如果当前没装系统就没用了，还是要到PE了吧...

没系统要能云还原，那是最高境界。
那样就什么都不需要了，靠意念就可以，呵呵。

作者: andos 时间: 2010-12-24 12:22

原帖由 lianjiang 于 2010-12-24 10:23 发表

没系统要能云还原，那是最高境界。
那样就什么都不需要了，靠意念就可以，呵呵。

DOS版...可是这个没DOS版...

所以目前它就是这样...

作者: lianjiang 时间: 2010-12-24 13:15
根据楼主的技术分析，写了一个傻瓜一键还原，欢迎测试。
http://bbs.wuyou.net/forum.php?mod=viewthread&tid=183946&extra=page%3D1

[ 本帖最后由 lianjiang 于 2010-12-24 13:47 编辑 ]

作者: bfgxp 时间: 2010-12-24 14:44
回songhangzhou
一样的是全镜像型的

作者: ban_r 时间: 2010-12-30 15:03
我们都绕了个弯路了..
其实：本来就有这个参数的: --schedule
snapshot --schedule C: x:\image-C.sna

作者: lianjiang 时间: 2010-12-30 15:11

原帖由 ban_r 于 2010-12-30 15:03 发表
我们都绕了个弯路了..
其实：本来就有这个参数的: --schedule
snapshot --schedule C: x:\image-C.sna

不错的发现。谢谢分享。

作者: lianjiang 时间: 2010-12-30 15:29

原帖由 ban_r 于 2010-12-30 15:03 发表
我们都绕了个弯路了..
其实：本来就有这个参数的: --schedule
snapshot --schedule C: x:\image-C.sna

这参数哪里找到的？
帮助信息里似乎没有这个参数的说明。

作者: andos 时间: 2010-12-30 16:16

原帖由 lianjiang 于 2010-12-30 15:29 发表

这参数哪里找到的？
帮助信息里似乎没有这个参数的说明。

deUPX
之后用notepad打开那snapshot.exe就会找到

scheduling the restore of x:\image-C.sna to C: during the next reboot:
snapshot --schedule C: x:\image-C.sna
--autoreboot:off    don't boot after the restore has finished
--autoreboot:success reboot after the image was successfully restored
--autoreboot:any    reboot after the image was restored
--listschedule       list the scheduled restore
--removeschedule    removes the scheduled restore

--addDriver  - adds a new Hard Disk Diver to a restored Windows system drive.
            You need the driver.sys and the driver.inf file. 这一个应该就是传说中的driver injection功能吧....

[ 本帖最后由 andos 于 2010-12-30 16:24 编辑 ]

作者: lianjiang 时间: 2010-12-30 16:28

原帖由 andos 于 2010-12-30 16:16 发表

deUPX
之后用notepad打开那snapshot.exe就会找到

scheduling the restore of x:\image-C.sna to C: during the next reboot:
snapshot --schedule C: x:\image-C.sna
--autoreboot:off don't b ...

都是高手，能挖掘。

作者: andos 时间: 2010-12-30 16:30

原帖由 lianjiang 于 2010-12-30 16:28 发表

都是高手，能挖掘。

见笑了，只是我在用别方面的命令行软件用熟了，那时就发现可以用notepad打开来查看而已，呵呵~~

作者: bfgxp 时间: 2010-12-31 07:34
标题: 回复 #20 andos 的帖子
厉害，终于找出来了。
官方说明没有更新真害人啊
这样就不必自己写gui了

作者: lianjiang 时间: 2010-12-31 07:50

原帖由 bfgxp 于 2010-12-31 07:34 发表
厉害，终于找出来了。
官方说明没有更新真害人啊
这样就不必自己写gui了

也说明了这个软件的开发商，不是很正规。
连帮助都不能同步更新。

作者: andos 时间: 2010-12-31 08:07

原帖由 lianjiang 于 2010-12-31 07:50 发表

也说明了这个软件的开发商，不是很正规。
连帮助都不能同步更新。

没有chnagelog也一直被老外讨厌，每次新版都不知道更新了些什么...

开发者应该是只有一个人似的

[ 本帖最后由 andos 于 2010-12-31 08:08 编辑 ]

作者: lianjiang 时间: 2010-12-31 08:10

原帖由 andos 于 2010-12-31 08:07 发表

没有chnagelog也一直被老外讨厌，每次新版都不知道更新了些什么...

开发者应该是只有一个人似的

确实是的，不知道更新什么，是很让人讨厌的。
喜欢的只好见一个下一个了。

作者: andos 时间: 2010-12-31 08:52

原帖由 lianjiang 于 2010-12-31 08:10 发表

确实是的，不知道更新什么，是很让人讨厌的。
喜欢的只好见一个下一个了。

所以有老外说它是只更新日期和License期限而已，哈哈~~

1.40这个版本已经一直很久没变动过版号...

作者: lianjiang 时间: 2010-12-31 09:12

原帖由 andos 于 2010-12-31 08:52 发表

所以有老外说它是只更新日期和License期限而已，哈哈~~

1.40这个版本已经一直很久没变动过版号...

d0z的ghost安装器1年多以来，也是每次更新写的都是“更新引导模块”。

作者: bfgxp 时间: 2010-12-31 09:32
标题: 回复 #28 lianjiang 的帖子
大汗，也许确实只更新了引导模块

作者: bfgxp 时间: 2010-12-31 09:33

原帖由 lianjiang 于 2010-12-31 07:50 发表 <a href="http://bbs.wuyou.net/redirect.php?goto=findpost&pid=2126391&ptid=183485" target="_blank"><img src="http://bbs.wuyou.net/images/common/back.gif" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {return true;} else {window.open(this.src);}" onmousewheel="return imgzoom(this);" alt="" /></a> 

 

 
也说明了这个软件的开发商，不是很正规。 
连帮助都不能同步更新。

但不可否认，这个软件非常优秀

作者: andos 时间: 2010-12-31 10:08

原帖由 bfgxp 于 2010-12-31 09:33 发表

但不可否认，这个软件非常优秀

短小精干，哈哈~~

作者: ban_r 时间: 2011-1-2 01:51

原帖由 lianjiang 于 2010-12-30 15:29 发表

这参数哪里找到的？
帮助信息里似乎没有这个参数的说明。

SORRY 今天才有空上来，贴回得有点晚了。。。。
http://www.drivesnapshot.de/en/commandline.htm
我是从这看到的。里边还有几个有用的参数
snapshot --? 这样能得到更多...

[ 本帖最后由 ban_r 于 2011-1-2 01:54 编辑 ]

作者: lianjiang 时间: 2011-1-2 07:18

原帖由 ban_r 于 2011-1-2 01:51 发表

SORRY 今天才有空上来，贴回得有点晚了。。。。
http://www.drivesnapshot.de/en/commandline.htm
我是从这看到的。里边还有几个有用的参数
snapshot --? 这样能得到更多...

官方网站及帮助文件中并无这个参数。

作者: 快雪时晴 时间: 2011-1-3 11:19

原帖由 songhangzhou 于 2010-12-22 15:58 发表
本人本机备份的恢复是在纯DOS下用的命令： 
A:\snapshot restore HD1 auto W:\c.drive.sna -Y -V 
恢复主引导扇区（MBR） 
A:\snapshot.exe restore HD1 MBR W:\c.drive.sna 
 
声明下,是全镜像型的snapshot备 ...

什么是“指针型的snapshot”

作者: songhangzhou 时间: 2011-1-3 13:26

原帖由 快雪时晴 于 2011-1-3 11:19 发表

什么是“指针型的snapshot”

就我所知道的大慨说下
其实snapshot意思就是“快照”，名字很简单,是数据在某一时刻的状况..
主要用于由BIOS设定的RAID磁盘阵列内的Snapshot软件,使用微软的API来进行备份操作,
相当的优秀,其性能几乎要超过了GHOST,该软件不适用于WIN9X,它基于NT内核,这个软件是德国人开发的
snapshot实现方式也有两种,一种是volume manager snapshot镜像型的,也就是所有数据copy一份；另一种是file system snapshot指针型的...
例如EMC的timefiner，IBM的Flashcopy，HDS的ShadowImage；
现在就IBM的Flashcopy说下两种方式:
IBM的flashcopy分为前台和后台拷贝两种方式，前台拷贝是实际完全拷贝，
后台就是说的那种建立指针的方式。后台方式下，如果你访问备份卷
的数据，发现不是最新的，就会先去从原卷上执行COPY工作，达到访问
数据的正确性。

指针型的snapshot用的比较多的例如三茗，雨过天晴等，对系统性能有一定的影响，如果没有备份而原盘坏了，数据应该是无法恢复的；
而镜像型的snapshot本身就是当时时刻的数据的全copy，所以原数据坏对它是没有影响的。

作者: bfgxp 时间: 2011-1-4 11:38

原帖由 ban_r 于 2011-1-2 01:51 发表

SORRY 今天才有空上来，贴回得有点晚了。。。。
http://www.drivesnapshot.de/en/commandline.htm
我是从这看到的。里边还有几个有用的参数
snapshot --? 这样能得到更多...

原来还隐藏了这么多的特殊参数
special operations :
--unmount - unmount all virtual disks and terminate Snapshot started with -VQ
--unmount:Z - unmount virtual disk Z
--resize X:  - show possible resize range for drive X:
--resize X: 1000 - (try to) resize drive X: to 1000 MB
--resizepart X: 1000 - (try to) grow partition and filesystem to 1000 MB
            resizepart is unable to shrink partitions or filesystems!
--SetPartitionSize HD1 1 130000000  (use with care !!)
--exec:"NET START ORACLE"  - execute commands as soon as
                           backup really started
                           MUST be the last option on the command line!
--ClearSignature HD1
--SetSignature HD1 01234567
--Checkboot HD1 - test if HD1 seems to be bootable
--Activate X: set active flag for drive X:
--Deactivate X: clear active flag for drive X:
--RestoreMBR HD1 filename - writes the MBR from filename to HD1
--RestorePartitionStructure HD1 filename -
   writes the partition information from filename to HD1
--exclude:path excludes the path and all subdirectories from backup
--exclude:filename1,filename2,...  excludes all given filenames from backup
--exclude:@filename.txt exclude from file filename.txt
--LogFile:filename.log - append log output to file filename.log
--DontLogStdout - don't write VSS log output to standard output
--DontLogProgress - don't write the progress report lines to stderr
--novss  - don't use the volume shadow service
--usevss  - use the volume shadow service if available
--forcevss  - use the volume shadow service. If not available exit with error.
--register:License.lic - register Snapshot
--setdefaultpwd=MyPassword - sets the default password to MyPassword and exits
--SearchFull:path1,path2,path3 while working with differential images
            search the full image in the given pathes.
--LimitIORate:10  - limits the IO rate to 10MB/s (accepted range 1-100)
--show HD1 - show size and partitions on HD1
--show    - show size and partitions of all connected hard disks
--addDriver  - adds a new Hard Disk Diver to a restored Windows system drive.
            You need the driver.sys and the driver.inf file.
--mergeide - corrects IDE driver setup for a restored system disk.
            Use this option if you have IDE disks and your system doesn't
            boot after a restore to different hardware.
--QuickCheck:test.sna - performs a quick check of the image with the name
                     test.sna.
BrokenImage.sna --repair:NewImage.sna  - this command can be used to repair
            a broken image
-----------------------------------------------------------------------------
scheduling the restore of x:\image-C.sna to C: during the next reboot:
snapshot --schedule C: x:\image-C.sna
--autoreboot:off    don't boot after the restore has finished
--autoreboot:success reboot after the image was successfully restored
--autoreboot:any    reboot after the image was restored
--listschedule       list the scheduled restore
--removeschedule    removes the scheduled restore

作者: songhangzhou 时间: 2011-1-7 11:16
嗯,隐藏的参数是比较多哈,Drive SnapShot 1.40这个版本官方一直update小版本号
每次都说bug fix,不知道fix了啥?

这个软件在欧美的老外很是崇拜,就象我门迷信GHOST一样，哈哈！
我想主要的理由是在Windows下的热备分，应该超过了大家熟悉的GHOST及TeraByte的image

作者: 23070205 时间: 2011-5-29 16:57
标题: [讨论]金山装机精灵的装机功能的讨论帖
xp下实验，重装系统的那个功能，很强大。确实很快就能装好系统。不知金山是从网络给提供的，还是从本机提取的系统文件。个人觉得好像是网络提供的。在第一次重启进入的，不是系统。第二次，重启，进入是部署。第三次，进入的就是新的系统了。boot.ini提供了可以还原到原来的系统。好像有类似snapshot的那个native的程序的功能啊。

Snapshot还原当前系统分区的技术分析

snapshot从1.4版开始支持还原当前操作系统所在分区，但似乎只能在gui中实现
找了半天也没有发现可以用命令行实现的方法或参数
哪位大大知道方法的麻烦说下
这是官方介绍内容http://www.drivesnapshot.de/en/restboot.htm
通过分析注册表发现
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
"BootExecute"=hex(7):61,00,75,00,74,00,6f,00,63,00,68,00,65,00,63,00,6b,00,20,\
  00,61,00,75,00,74,00,6f,00,63,00,68,00,6b,00,20,00,2a,00,00,00,73,00,6e,00,\
  61,00,70,00,6e,00,61,00,74,00,69,00,76,00,65,00,2e,00,65,00,78,00,65,00,00,\
  00,00,00
在“bootexecute”下多了一个启动程序
snapnative.exe                      c:\windows\system32\snapnative.exe

而在这里多了以下几个值
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Snapshot]
"AutoReboot"=dword:00000000
"AutoRebootSuccess"=dword:00000000
"Destination"="\\??\\C:"
"FullImage"="\\??\\x:\\C-Drive.sna"

关于从“bootexecute”键中运行的程序的特点
经查相关技术文档说是win系统在启动到这里时，所有系统分区中的文件都没有被锁定，而snapshot则巧妙的利用了win系统的这一点特性，通过在“bootexecute”键中添加snapnative.exe来还原系统
为什么不是snapshot.exe呢，因为在bootexecute这里运行的程序是很底层的native程序，普通程序在这里还没法运行

通过以上分析，虽然目前还没有命令行参数支持这种还原，但我们却可以通过注册导入相关的键值来实现

http://bbs.wuyou.net/forum.php?mod=viewthread&tid=183485&highlight=snapshot
上面的引用见上面的链接。

是否，我们也能在备份系统时，做到类似金山的功能呢。
在测试完后卸载时，完美回到了从前的系统。希望有类似的高手，研究下。

作者: 23070205 时间: 2011-5-29 17:10
以下引自金山装系统的程序产出的kfo.log

GetFileCount:MUST_DELE_FILE_LIST
GetFileCount:MUST_COPY_FILE_LIST
GetFileCount:MUST_DELE_DIR_LIST
GetFileCount:MUST_FORCE_DELE_DIR_LIST
FD:\WINDOWS\Web\Wallpaper\bliss.jpg
FD:\WINDOWS\Web\Wallpaper\BenQ3.jpg
FD:\WINDOWS\Web\Wallpaper\CompaqCity.jpg
FD:\WINDOWS\Web\Wallpaper\Dell.jpg
FD:\WINDOWS\Web\Wallpaper\HPBlack.jpg
FD:\WINDOWS\Web\Wallpaper\IBM笔记本1.jpg
FD:\WINDOWS\Web\Wallpaper\MSI blue.jpg
FD:\WINDOWS\Web\Wallpaper\Red.jpg

下面的rar包括了保留文件。删除文件。建立文件。恢复文件的记录。

kfo.rar

150.85 KB, 下载次数: 32, 下载积分: 无忧币 -2

作者: bfgxp 时间: 2011-5-30 10:42

原帖由 23070205 于 2011-5-29 16:57 发表 <a href="http://bbs.wuyou.net/redirect.php?goto=findpost&pid=2243185&ptid=183485" target="_blank"><img src="http://bbs.wuyou.net/images/common/back.gif" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {return true;} else {window.open(this.src);}" onmousewheel="return imgzoom(this);" alt="" /></a> 
xp下实验，重装系统的那个功能，很强大。确实很快就能装好系统。不知金山是从网络给提供的，还是从本机提取的系统文件。个人觉得好像是网络提供的。在第一次重启进入的，不是系统。第二次，重启，进入是部署。第 ...

测试了金山的“重装系统”功能，确实是通过native程序实现的，还原也是通过native程序实现的，只是金山似乎没有备份完整的镜像。这一关键技术可能就是金山的秘密了。

作者: 超级坏蛋 时间: 2012-12-28 19:22
snapnative.exe包含在snapshot.exe的PE资源里:

BINARY\189 32位
BINARY\190 64位

作者: songhangzhou 时间: 2012-12-29 13:52
给个人装过几台Drive SnapShot的一键恢复，但有的杀毒软件会在native程序启动时拦截，结果是恢复不成功。。。个人用户已放弃，

现在是服务器上备用，还不错。。。

作者: andos 时间: 2012-12-29 14:38
标题: 回复 #42 songhangzhou 的帖子
上报一下应该可以修正

作者: songhangzhou 时间: 2012-12-29 15:29

原帖由 andos 于 2012-12-29 14:38 发表
上报一下应该可以修正

已上报了。。。。
dos和pe下还是可以的。

作者: zhuoer 时间: 2013-10-17 09:34

andos 发表于 2010-12-30 16:16
deUPX
之后用notepad打开那snapshot.exe就会找到

精力不是一般的好哇，牛人！

作者: 天风 时间: 2016-12-26 08:05
转贴一个NATIVE程序工作机理
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
深入Native应用程序

版权所有 1998 Mark Russinovich

翻译:MJ0011

最后更新:1998年2月8日

导言

如果你对WindowsNt结构有一定的了解，你可能会知道，Win32应用程序所使用的API,并非是"真正"的NT API

。POSIX,OS/2和Win32，这些WindowsNT操作系统环境，使用他们自己的API同他们的客户应用程序进行交流,

但却使用NT "native" API同 WindowsNT进行交流.这些native API大部分都是未公开的(undocumented)。大

约只有25个API（包含250种功能）在WindowsNT设备驱动开发工具包(Device Driver Kit)里有所描述。

尽管绝大多数人都不知道，但"native"应用程序的确存在与WindowsNT上,他们在操作环境上没有任何客户程

序. 这些程序交流着native nt API并且不能使用任何操作环境API比如 Win32. 为什么这样一种程序是必须

的呢?因为在Win32子系统启动之前(大约在登陆对话框出现时)只可以运行native应用程序.最常见的native

应用程序的例子是"autochk"程序，他在初始化兰色登陆屏幕前运行 chkdsk(程序在屏幕上打印一串".")。

当然，Win32应用程序环境服务程序:CSRSS.exe(客户-服务运行时间子系统),也是一个native应用程序

在这篇文章里，我将会讲述如何构造一个native应用程序以及它们是如何工作的，同时我也会提供一个

native应用程序的示例源代码。这个示例很容易安装，它会在启动时的兰色屏幕打印一段你指定的字符串

Autochk是如何被执行的

Autochk在当内存分页被打开,Windows启动和系统开始驱动被载入之间的时间内运行。在这个时间点启动顺

序会话管理器(smss.exe)进入windowsNT用户模式，并且没有任何程序被启动
注册表中:HKLM/System/CurrentControlSet/Control/Session Manager/BootExecute
一个MULTI_SZ类型的键值
这里存放着将被会话管理器所执行的程序名称和参数
通常Autochk后加*号作为其参数"

Autocheck Autochk *
;名称程序名参数

会话管理器在<winnt>/system32目录下查找该值列出的可执行程序.当Autochk运行时，没有任何文件被打开

，所以Autochk可以用raw模式打开任何一个驱动器卷(包括根驱动器)，并操作其磁盘数据结构.之后的任何

时间点都无法进行类似这样的操作

编译Native应用程序
微软没有提供相应的文档，但是NT DDK构建器知道如何去生成一个native应用程序，而且它可以被用来编译

autochk程序.和编写设备驱动程序一样，你必须指定SOURCE文件中的信息来定义应用程序。然而和编写驱动

不同的时，你在SOURCE文件中要求生成一个native应用程序需要这样定义:

TARGETTYPE=PROGRAM

构建器使用一个标准的makefile来进行向导:/ddk/inc/makefile.def 在编译native应用程序时会查找名为

nt.lib的运行库。不幸的是，微软并没在DDK上装载这个文件(在windows Server 2003 DDK里包括了这个文

件，但是我怀疑你用这个版本来连接你的native应用程序是无法运行在WindowsXP或win2000上的）
不管怎样，你可以忽略这个错误，方法是加入一行不考虑nt.lib,而指定visual c++的运行库msvcrt.lib到

makefile.lib中

如果你在DDK的"Checked Build"环境下进行编译，将会在%BASEDIR%/lib/%CPU%/Checked(例如

c:/ddk/lib/i386/checked/native.exe)产生一个包含了全部调试信息的native应用程序。如果你在"Free

Build"环境中编译，你会在%BASEDIR%/lib/%CPU%/Free得到一个释出版本的程序.这些和构造设备驱动程序

放置的位置是一样的。

Native应用程序有着".exe"的扩展名，但是你不能象 win32的.exe文件那样去运行它，如果你在WIN32环境

下运行下，将会得到如下提示:

"<应用程序名> 应用程序无法在Win32模式中运行。"

深入学习一个native应用程序

native应用程序的入口点是NtProcessStartup,类似winmain或main.不同于其他的 Win32入口点的是，

native应用程序提供一个数据结构来存放它的唯一的参数来定位命令行参数

大多数的native应用程序的运行环境是由WindowsNt的native API输出库---NTDLL.DLL提供的。native应用

程序必须使用RtlCreateHeap（一个ntdll函数）来创建他们自己的堆来分配存储,使用RtlAllocateHeap来分

配内存以及用RtlFreeHeap来释放内存。native应用程序需要使用NtDisplayString 函数才可以打印想要的

内容到屏幕上（将被输出到初始化时的兰色屏幕上）

Native应用程序不象win32程序那样简单地从他们的启动函数返回，你需要调用NtProcessTerminate函数来

结束它的进程

NTDLL运行包含了数百个函数允许native应用程序执行文件I/O，与设备驱动进行相连，并执行进程间通讯。

不幸的是，他们大部分都是未公开的。

一个native应用程序的例子
我创建一个“玩具”native 应用程序用来演示native应用程序是如何构建的以及他们是如何工作的。运行

install.bat来安装native程序。批处理程序复制native.exe到你的<winnt>/system32目录并在注册表中增

加一个BootExecute的入口点:

native Hello World!

当你重新启动时，会话管理器运行完autochk后就会执行native。native分配一些堆，定位它的命令行参数

并打印参数("Hello world!")到兰色屏幕上，它所使用的函数上面已说过了。如果你想要打印其他的简单内

容，可以编辑BootExecute值使用regedit或regedit32，修改"Hello world"为你想要的信息

运行uinstall.bat可以卸载这个native执行程序。它从<winnt>/system32目录删除native.exe，并修改

BootExecute值为通常的值

如果你想要构建native程序你必须要用Windows设备驱动工具包(DDK),复制makefile.def到 /ddk/inc然后你

可以运行构建

=========================================================
Native.H
//======================================================================
//
// Native.h
//
// Mark Russinovich
// http://www.ntinternals.com
//
// This file includes the definitions required by the Native.exe sample
// NT native program to do what it does.
//
//======================================================================
//
// Environment information, which includes command line and
// image file name
//
typedef struct {
 ULONG Unknown[21];
 UNICODE_STRING CommandLine;
 UNICODE_STRING ImageFile;
} ENVIRONMENT_INFORMATION, *PENVIRONMENT_INFORMATION;
//
// This structure is passed as NtProcessStartup's parameter
//
typedef struct {
 ULONG Unknown[3];
 PENVIRONMENT_INFORMATION Environment;
} STARTUP_ARGUMENT, *PSTARTUP_ARGUMENT;
//
// Data structure for heap definition. This includes various
// sizing parameters and callback routines, which, if left NULL,
// result in default behavior
//
typedef struct {
ULONG Length;
ULONG Unknown[11];
} RTL_HEAP_DEFINITION, *PRTL_HEAP_DEFINITION;
//
// Native NT api function to write something to the boot-time
// blue screen
//
NTSTATUS
NTAPI
NtDisplayString(
 PUNICODE_STRING String
 );
//
// Native applications must kill themselves when done - the job
// of this native API
//
NTSTATUS
NTAPI
NtTerminateProcess(
 HANDLE ProcessHandle,
 LONG ExitStatus
 );
//
// Definition to represent current process
//
#define NtCurrentProcess() ( (HANDLE) -1 )
//
// Heap creation routine
//
HANDLE
NTAPI
RtlCreateHeap(
 ULONG Flags,
 PVOID BaseAddress,
 ULONG SizeToReserve,
 ULONG SizeToCommit,
 PVOID Unknown,
 PRTL_HEAP_DEFINITION Definition
 );
//
// Heap allocation function (ala "malloc")
//
PVOID
NTAPI
RtlAllocateHeap(
 HANDLE Heap,
 ULONG Flags,
 ULONG Size
 );
//
// Heap free function (ala "free")
//
BOOLEAN
NTAPI
RtlFreeHeap(
 HANDLE Heap,
 ULONG Flags,
 PVOID Address
 );
=========================================================================
Native.C
//======================================================================
//
// Native.c
//
// Mark Russinovich
// http://www.ntinternals.com
//
// This is a demonstration of a Native NT program. These programs
// run outside of the Win32 environment and must rely on the raw
// services provided by NTDLL.DLL. AUTOCHK (the program that executes
// a chkdsk activity during the system boot) is an example of a
// native NT application.
//
// This example is a native 'hello world' program. When installed with
// the regedit file associated with it, you will see it print
// "hello world" on the initialization blue screen during the system
// boot. This program cannot be run from inside the Win32 environment.
//
//======================================================================
#include "ntddk.h" // include this for its native functions and defn's
#include "stdio.h"
#include "native.h"
//
// Our heap
//
HANDLE Heap;
//----------------------------------------------------------------------
//
// NtProcessStartup
//
// Instead of a 'main' or 'winmain', NT applications are entered via
// this entry point.
//
//----------------------------------------------------------------------
void NtProcessStartup( PSTARTUP_ARGUMENT Argument )
{
PUNICODE_STRING commandLine;
PWCHAR stringBuffer, argPtr;
UNICODE_STRING helloWorld;
RTL_HEAP_DEFINITION heapParams;
//
// Initialize some heap
//
memset( &heapParams, 0, sizeof( RTL_HEAP_DEFINITION ));
heapParams.Length = sizeof( RTL_HEAP_DEFINITION );
Heap = RtlCreateHeap( 2, 0, 0x100000, 0x1000, 0, &heapParams );
//
// Point at command line
//
commandLine = &Argument->Environment->CommandLine;
//
// Locate the argument
//
argPtr = commandLine->Buffer;
while( *argPtr != L' ' ) argPtr++;
argPtr++;
//
// Print out the argument
//
stringBuffer = RtlAllocateHeap( Heap, 0, 256 );
swprintf( stringBuffer, L"/n%s", argPtr );
helloWorld.Buffer = stringBuffer;
helloWorld.Length = wcslen( stringBuffer ) * sizeof(WCHAR);
helloWorld.MaximumLength = helloWorld.Length + sizeof(WCHAR);
NtDisplayString( &helloWorld );
//
// Free heap
//
RtlFreeHeap( Heap, 0, stringBuffer );
//
// Terminate
//
NtTerminateProcess( NtCurrentProcess(), 0 );
}
===========================================================================
Install.bat
@echo off
copy native.exe %systemroot%/system32/.
regedit /s add.reg
echo Native Example Installed
=============================================================================
uinstall.bat
@echo off
del %systemroot%/system32/native.exe
regedit /s remove.reg
echo Native Example Uninstalled

作者: 天风 时间: 2016-12-26 08:08
http://www.cnblogs.com/BoyXiao/archive/2011/09/21/2183059.html

作者: leexuben 时间: 2017-5-12 14:22
本帖最后由 leexuben 于 2017-5-12 14:25 编辑

你好，Snapshot　怎么实现　命令行　备份和恢复，望指点　　　我在CMD　操作：Snapshot　C:　D:\sanp 没反应

作者: 天风 时间: 2017-7-4 08:40

leexuben 发表于 2017-5-12 14:22
你好，Snapshot　怎么实现　命令行　备份和恢复，望指点　　　我在CMD　操作：Snapshot　C:　D:\sanp 没 ...

Snapshot --schedule C: D:\SNAP\XP_C.SNA --autoreboot:any

作者: tjone 时间: 2021-4-26 00:21
要是能用这个原理来做个启动过程中的热键，做一键还原用就好了

欢迎光临无忧启动论坛 (http://bbs.c3.wuyou.net/)