联想一键还原9.0出厂备份标记文件解读

dujinjun

联想一键还原9.0系列还是不错的，联想机子使用起来很方便。其中Images.xml文件为出厂备份标记文件，删除可以重新备份，我是想自己做一个备份，替换联想原始的出厂备份，可是无法识别，主要是需要改动Images.xml文件，但是此文件的信息几乎读不懂，也不知文件中的信息是怎么获取的，有没有其他办法获取文件中所需信息，从而替换出厂备份。下面是出厂备份Images.xml，请大神指点如何获取引号中的信息。

<?xml version="1.0" encoding="UTF-16" standalone="yes"?>
<Images>
    <Image BackTime="2020-04-25 13:20:09" Guid="{00000000-0000-0000-0000-000000000000}" Comment="" TargetFolder="Lenovo_Backup\20200408213933">
        <OS Type="1" ImageFileSize="7230953004" WriteTime="132308845764087093" Size="118113697792" Start="406847488" Used="33384050688" Volume="" FileSystem="NTFS" ImageName="OS.WIM" WIMGuid="{7C66AF69-DF6A-4C89-8379-B423094AD76C}" Disk="{D9AFB772-09D4-4712-8E67-D291AAD8EEB6}" Part="{8DE23C58-62F6-40A6-A55B-6818F49E864C}"/>
        <ESP Type="1" ImageFileSize="36789618" WriteTime="132308845804378276" Size="270532608" Start="2097152" Used="73172992" Volume="ESP" FileSystem="FAT32" ImageName="ESP.WIM" WIMGuid="{F47FB181-5AD2-4E61-9479-7D83F6827619}" Disk="{D9AFB772-09D4-4712-8E67-D291AAD8EEB6}" Part="{52A6EAD0-0BBE-4D09-93FB-F5ADE52D4618}"/>
        <WINRE Type="-1" ImageFileSize="0" WriteTime="0" Size="0" Start="0" Used="0" Volume="" FileSystem="" ImageName="" WIMGuid="{00000000-0000-0000-0000-000000000000}"/>
        <Target Type="0" Size="52931203072" Start="944688332800" Disk="1118395108" Part="1254153098"/>
    </Image>
</Images>

主要搞不懂信息如下，引号中的数据不知咋计算的。
一、OS和ESP
1.WriteTime="132308845764087093"  和  WriteTime="132308845804378276"
2.Start="406847488" Used="33384050688"  和 Start="2097152" Used="73172992"

3.WIMGuid="{7C66AF69-DF6A-4C89-8379-B423094AD76C}" 和WIMGuid="{F47FB181-5AD2-4E61-9479-7D83F6827619}"
二、Target
1.Size="52931203072"

2.Start="944688332800"

3.Disk="1118395108"

4.Part="1254153098"
请教大神指点一下以上引号中的数据是啥意思，怎么直接获取到。如有违规请告知，只是想学习一下。

xuexiang

没有意义
已经可以初始备份或者把其中某一次备份设置成出厂备份
就没必要瞎折腾了
时间加密了很难破解18位时间戳换算正常好像是6开头
但是这个不知道怎么换算的有可能是10位或者13位二次加密成18位的
磁盘分区属性映像ID很容易获取
起始大小扇区扇区大小都能获取计算

dujinjun

xuexiang 发表于 2020-6-28 17:16
没有意义
已经可以初始备份或者把其中某一次备份设置成出厂备份
就没必要瞎折腾了

目前最主要也就是WriteTime是怎么来的，WIMGuid是如何计算文件Guid的。以及Target中的   3.Disk="1118395108"  4.Part="1254153098" 是怎么来的。 我的两个硬盘一个是250G的固态，一个是1T的机械。Disk="1118395108" 和 Part="1254153098"咋算都得不到实际的大小。

abc@123

OK

yzw92

感谢分享

天天阁下

wimguid 用bcdedit /store *:\EFI\Microsoft\Boot\BCD /v 找到DisplayOrder项就是wimguid(osguid)
Start和Used会不会是偏移量