20CN网络安全小组论坛 - 网吧专题

论坛: 网吧专题标题: 高手来看看！

复制本贴地址

作者: zjs_wy1234 [zjs_wy1234]

论坛用户

有谁知道还原精灵的的原理
为什么在那么段的时间可以还原那么多上午文件
说的详细点
谢谢

地主发表时间: 04-04-07 20:24

回复: gtghq [gtghq]

论坛用户

其实很简单。
在计算机工作期间，对所有对硬盘进行的写操作的指令进行拦截，不执行实际操作的计算结果。还原精灵安装后，它首先修改主引导区的引导程序，把程序代码改为自己的代码，一般不修改硬盘分区表。当启动电脑后，恢复精灵首先控制电脑，并驻留内存，对所有对硬盘的操作的命令进行拦截，凡是没有经过允许的写硬盘的命令，都将被忽略，但是此时的硬盘灯闪烁，你所执行操作的相关软件也在执行，只是一切都是假像，并没有真实对硬盘操作。在安装时对硬盘的重要数据，如主引导扇区内容，活动分区的引导扇区内容，FAT表，目录表等重要磁盘信息进行保存，当需要时将这些数据还原。所以当你重启电脑后，你刚才的所有操作都将丢失，恢复到设定保护时的状态。这是利用WINDOWS操作系统在删除文件时，只是对目录表中的文件名的第一个字符修改，改为特定“E5”，而实际扇区中的内容却没有删除。根据功能不同，有的是在硬盘上辟出专门的一块空间用来保存特定分区特定时间的FAT表内容（一般5G硬盘的FAT表也不过20M大小），在需要时将其恢复；有的还可把硬盘分成不同操作权限的区域，比如：对于安装操作系统的C盘只允许读，不允许写操作，而对其他盘可以进行读写操作；有的只对特定的活动分区进行整盘备份等。

破解方法:
现在有好多东东能破解得了。最好的方法是得到还原精灵的密码这种工具我也有如果你须要请写信到gtghq@sohu.com 我会发给你，

还有就是用debug命令:
c:\debug

-a 100

xor ax,ax

int 13

int 3

用t命令单步执行，找到F000:xxxx[比如F000:1234]，记下xxxx

-e 0:4c xx xx 00 F0[比如-e 34 21 00 F0]

重启，这次重启就是没有保护卡、还原精灵等保护的WINDOWS。下次仅仅执行

-e 0:4c xx xx 00 F0[比如-e 34 21 00 F0]就可以了。xxxx同一机器不变。

以上操作破解还原精灵5通过

B1层发表时间: 04-04-08 09:02