作者david190 (david)
看板AntiVirus
標題[問題] 硬碟還原卡 or 開機還原軟體 對抗勒索毒
時間Sat May 13 21:33:04 2017
1. 硬碟還原卡
工作原理(wiki)
硬碟保護卡安裝在主機板PCI插槽里，在卡上有一片ROM晶片，根據PCI規範，該ROM晶片的
內容在電腦啟動時將最先得到控制權，然後它接管BIOS的INT13中斷，將FAT、啟動區、
CMOS資訊、中斷向量表等資訊都儲存到卡內的臨時儲存單元中或是在硬碟的隱藏磁區中，
用內建的中斷向量表來替換原始的中斷向量表；再另外將FAT資訊儲存到臨時儲存單元中
，用來應付我們對硬碟內資料的修改；最後是在硬碟中找到一部分連續的空磁碟空間，然
後將我們修改的資料儲存到其中。這樣，只要是對硬碟的讀寫操作都要經過硬碟保護卡的
保護程式進行保護性的讀寫，每當我們向硬碟寫入資料時，其實還是完成了寫入到硬碟的
操作，可是沒有真正修改硬碟中的FAT。而是寫到了備份的FAT表中，這就是為什麼系統重
新開機後所有寫操作一無所有的原因了。
2. 開機還原軟體
工作原理
其原理是先將硬碟剩餘的空間切出一個保留區，存放硬碟分割表（partition table）、
檔案配置表（file allocation table，FAT）與異動資料。之後在電腦啟動、作業系統載
入前接管INT 13中斷呼叫，產生一份「假的」硬碟分割表和檔案配置表欺騙作業系統，使
用者所做的任何檔案存取動作，從作業系統來看仍如平常一樣，但實際上新增異動的資料
卻是存放在先前切出來的保留區中，而非原來的分割區。
進行還原時，還原軟體只是將還原點之後新增的資料廢棄，然後將硬碟分割表和檔案配置
表恢復成原來的那一份，而不是將整個硬碟複製回去，因此復原動作才能在幾秒鐘之內完
成。
結論: 安裝 開機還原軟體 把工作中檔案備份成無副檔名的檔案放到隨身碟即可~
可以OK嗎? 各位~ 有推薦的 開機還原軟體嗎? 之前XP時常用 後來就沒用到了~
這樣子應該可以躲過勒索病毒吧~ 素不素?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 180.217.246.142
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1494682387.A.C29.html
1F：推 mqqm: 檔案被加密.....無解xd 05/13 21:35
還原保護區 是全電腦不是只有系統分割區 是C,D,E分割區都打勾列入開機還原中
任何工作資料 重開機前要改成無副檔名放入隨身碟中並多備份一份~ 避免開機被清除~
※ 編輯: david190 (180.217.246.142), 05/13/2017 21:41:20
2F：→ david190: Deep Freeze好像很強的樣子 05/13 21:52
3F：推 applejone: 還原卡是可以的 被加密重開機就沒事 不過沒被保護到的 05/14 00:53
4F：→ applejone: 磁區檔案就死了 05/14 00:53
5F：→ bearq258: 外接硬碟改硬體唯讀模式就好。 05/14 02:41