作者david190 (david)
看板AntiVirus
标题[问题] 硬碟还原卡 or 开机还原软体 对抗勒索毒
时间Sat May 13 21:33:04 2017
1. 硬碟还原卡
工作原理(wiki)
硬碟保护卡安装在主机板PCI插槽里，在卡上有一片ROM晶片，根据PCI规范，该ROM晶片的
内容在电脑启动时将最先得到控制权，然後它接管BIOS的INT13中断，将FAT、启动区、
CMOS资讯、中断向量表等资讯都储存到卡内的临时储存单元中或是在硬碟的隐藏磁区中，
用内建的中断向量表来替换原始的中断向量表；再另外将FAT资讯储存到临时储存单元中
，用来应付我们对硬碟内资料的修改；最後是在硬碟中找到一部分连续的空磁碟空间，然
後将我们修改的资料储存到其中。这样，只要是对硬碟的读写操作都要经过硬碟保护卡的
保护程式进行保护性的读写，每当我们向硬碟写入资料时，其实还是完成了写入到硬碟的
操作，可是没有真正修改硬碟中的FAT。而是写到了备份的FAT表中，这就是为什麽系统重
新开机後所有写操作一无所有的原因了。
2. 开机还原软体
工作原理
其原理是先将硬碟剩余的空间切出一个保留区，存放硬碟分割表（partition table）、
档案配置表（file allocation table，FAT）与异动资料。之後在电脑启动、作业系统载
入前接管INT 13中断呼叫，产生一份「假的」硬碟分割表和档案配置表欺骗作业系统，使
用者所做的任何档案存取动作，从作业系统来看仍如平常一样，但实际上新增异动的资料
却是存放在先前切出来的保留区中，而非原来的分割区。
进行还原时，还原软体只是将还原点之後新增的资料废弃，然後将硬碟分割表和档案配置
表恢复成原来的那一份，而不是将整个硬碟复制回去，因此复原动作才能在几秒钟之内完
成。
结论: 安装 开机还原软体 把工作中档案备份成无副档名的档案放到随身碟即可~
可以OK吗? 各位~ 有推荐的 开机还原软体吗? 之前XP时常用 後来就没用到了~
这样子应该可以躲过勒索病毒吧~ 素不素?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 180.217.246.142
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1494682387.A.C29.html
1F：推 mqqm: 档案被加密.....无解xd 05/13 21:35
还原保护区 是全电脑不是只有系统分割区 是C,D,E分割区都打勾列入开机还原中
任何工作资料 重开机前要改成无副档名放入随身碟中并多备份一份~ 避免开机被清除~
※ 编辑: david190 (180.217.246.142), 05/13/2017 21:41:20
2F：→ david190: Deep Freeze好像很强的样子 05/13 21:52
3F：推 applejone: 还原卡是可以的 被加密重开机就没事 不过没被保护到的 05/14 00:53
4F：→ applejone: 磁区档案就死了 05/14 00:53
5F：→ bearq258: 外接硬碟改硬体唯读模式就好。 05/14 02:41