[分享]成功在光盘启动的winpe上实现EWF！

fujianabc · 发表于 2006-3-11 11:15:01

[这个贴子最后由fujianabc在 2006/03/12 04:01pm 第 5 次编辑]

  由于光盘只读特性所限，给大家在制做从光盘启动的winpe时带来很多麻烦。我们要添加一个ramdisk，每添加一个软件要专门设置临时文件存放路径至这个ramdisk。
最近，我借鉴了msfn.org和911 cd forum的一些帖子所提供的方法，成功的在winpe的cd上实现了类似于xp embedded的ewf功能。现在我们可以对winpe的光盘进行写操作了，这样就无须再考虑设置临时文件夹这种这种麻烦了。当然，对光盘的写操作时存放在内存里的，重启后这些写操作如同ramdisk一样会丢失。
实现方法如下，
1、在winpe的txtsetup.sif中进行如下修改：
[BusExtenders.Load]下添加：
fltmgr = fltmgr.sys
fbwf    = fbwf.sys
[BusExtenders]下添加：
fltmgr = "File System Filter Manager Driver",files.fltmgr,fltmgr
fbwf    = "File Based Write Filter Driver",files.fbwf,fbwf
在[files.xxxx]等条目后面添加：
[files.fltmgr]
fltlib.dll,2
fltmgr.sys,4
[files.fbwf]
fbwflib.dll,2
fbwf.sys,4
2、挂接winpe注册表文件setupreg.hiv至系统注册表HKEY_LOCAL_MACHINE下，取名为winpe，导入下面的注册表文件然后断开注册表连接。
[UploadFile=1_1142150468.rar]
（注：有时会由于注册表权限的问题发生不能导入或者导入出错，可以用下面这个工具（贴在2楼）解除注册表的限制，它是由论坛元老hk97制作的，使用前请阅读里面的使用方法）
3、下面压缩包内是vista 5270 beta中提取的五个文件：fbwflib.dll、sacsess.exe、sacsvr.dll、fbwf.sys、sacdrv.sys。复制fbwflib.dll、sacsess.exe、sacsvr.dll至winpe的i386\system32下面，复制fbwf.sys、sacdrv.sys至i386\system32\DRIVERS下面。
[UploadFile=vista_1142046852.rar]
以上方法在xp sp2和2003 sp1的winpe试验通过
下面是一张pe启动后，cd的截图
[UploadFile=BCF4CCF9B0E501_1142046810.jpg]

fujianabc · 发表于 2006-3-11 11:18:36

[这个贴子最后由fujianabc在 2006/03/12 11:20am 第 1 次编辑]

一下子不能上传太多附件，那个解除注册表限制的工具贴在这里。
分卷1：[UploadFile=reg_1142047060.rar]
分卷2：[UploadFile=reg_1142047108.rar]
bart pe builder的插件，用这个生成winpe时，就无需手动修改了[UploadFile=fbwf_1142133636.rar]

Rinrin · 发表于 2006-3-11 13:00:21

支持！
可用空间也就是ramdisk的大小能否随意控制呢

lxl1638 · 发表于 2006-3-11 13:23:04

好！！好！！这个对在光盘上运行RAM的PE更有用了！
ramdisk的大小是不是新的setupreg.hiv(导入那个.REG文件的)来定？

lxl1638 · 发表于 2006-3-11 13:33:27

fujianabc你网速好，E文好，多点给大家揾料，再顶！

krell · 发表于 2006-3-11 14:42:23

不错，学习一下。

pangu · 发表于 2006-3-11 17:40:47

不成功，启动时出现setupreg.hiv不能载入，错误代码14。请解答。

天风 · 发表于 2006-3-11 18:23:24

试问楼主能否把这种方法移植到现有的 XP SP2中呢，原来死性不改做的EMBEDDED的EWF保护安装到SP2 有点问题！

fujianabc · 发表于 2006-3-11 19:07:05

[这个贴子最后由fujianabc在 2006/03/11 07:09pm 第 1 次编辑]

下面引用由Rinrin在 2006/03/11 01:00pm 发表的内容：
支持！
可用空间也就是ramdisk的大小能否随意控制呢

似乎目前为止无法调整光盘写操作空间的大小，一般都是32M，这个容量不是由注册表中的某一项控制的，而是微软系统文件自身决定的。

下面引用由pangu在 2006/03/11 05:40pm 发表的内容：
不成功，启动时出现setupreg.hiv不能载入，错误代码14。请解答。

很明显，你得没有正确的修改注册表，你在导入前是否解除了权限？导入后是否断开了注册表连接？

下面引用由hnlyzhd在 2006/03/11 06:23pm 发表的内容：
试问楼主能否把这种方法移植到现有的 XP SP2中呢，原来死性不改做的EMBEDDED的EWF保护安装到SP2 有点问题！

现在这个东西是从vista pe中移植过来的，由于vista的winpe中启动光盘可以做写操作。现在把这个技术移植到winpe 2004/2005（xp sp2/2003 sp1的winpe）中。到目前为止，这个技术只适用于winpe而不适用于普通系统。普通系统还是要用xp embedded的ewf，不过我对此没研究过。

wolfteeth · 发表于 2006-3-11 23:50:26

这个真是好东西，如果确实可行的话。。
马上试验，见天晚上不睡了。。。：）

wolfteeth · 发表于 2006-3-12 01:00:08

@fujianabc,
按照提示做好所有工作后，启动ISO，，屏幕提示无法找到fbwf.sys.可以100%确定，drivers目录下面已经有fbwf.sys文件。其他配置也已重新检查过，无问题。
请教。

lxl1638 · 发表于 2006-3-12 01:33:39

问题的确不少：
感觉上启动比用BartPE提供的Ramdisk慢；
发现有些工具运行不了或不正常；
如果现成的PE中的程序注册了原来在BartPE_Ramdisk安装路径的话，修改注册表有些费事；
可能我没有找到它的优点，还得继续努力！

liulaotou2 · 发表于 2006-3-12 01:38:28

用深山红叶测试，提示找不到fltmgr.sys，拷贝一个放到\SYSTEM32\DRIVERS以后还是提示找不到。[UploadFile=fltmgr_1142098706.jpg]

wolfteeth · 发表于 2006-3-12 02:01:41

[这个贴子最后由wolfteeth在 2006/03/12 02:04am 第 1 次编辑]

楼上的，你的fbwf.sys没有提示丢失么？是不是大小写？还有格式的空格问题？？？
你都比我多跑了一个，呵呵。
继续研究研究。。。

Rinrin · 发表于 2006-3-12 10:14:38

提示文件丢失一般和txtsetup.sif有关
如果txtsetup.sif中没有相关信息
就无法找到文件
详见<<深入了解txtsetup.sif>>
另外,怀疑fujianabc是否疏忽了fltmgr.sys?

liulaotou2 · 发表于 2006-3-12 10:46:17

我感觉不仅是fltmgr的问题，而是步骤一中的方法是否正确的问题。如果原来就有fltmgr.sys 就不会有我出现的这种提示，而是直接出现fbwf.sys的提示了。
1、在winpe的txtsetup.sif中进行如下修改：
[BusExtenders.Load]下添加：
fltmgr = fltmgr.sys
fbwf = fbwf.sys
[BusExtenders]下添加：
fltmgr = "File System Filter Manager Driver",files.fltmgr,fltmgr
fbwf = "File Based Write Filter Driver",files.fbwf,fbwf
在[files.xxxx]等条目后面添加：
[files.fltmgr]
fltlib.dll,2
fltmgr.sys,4
[files.fbwf]
fbwflib.dll,2
fbwf.sys,4

fujianabc · 发表于 2006-3-12 11:08:59

各位遇到*.sys找不到的，是否都是用的深山红叶？如果是，则说明此方法不支持xp sp1的winpe。我在一楼说了，只在xp sp2和2003 sp1的winpe测试成功，深山红叶是xp sp1的winpe，我没试过。

fujianabc · 发表于 2006-3-12 11:22:56

[这个贴子最后由fujianabc在 2006/03/12 11:30am 第 1 次编辑]

下面引用由lxl1638在 2006/03/12 01:33am 发表的内容：
问题的确不少：
感觉上启动比用BartPE提供的Ramdisk慢；
发现有些工具运行不了或不正常；
如果现成的PE中的程序注册了原来在BartPE_Ramdisk安装路径的话，修改注册表有些费事；
...

如果觉得修改麻烦，试试2楼新加的bart pe builder插件，这是一个老外做的，我略加修改，并把vista的5个文件也包含了进去。

fujianabc · 发表于 2006-3-12 11:28:26

[这个贴子最后由fujianabc在 2006/03/13 07:41pm 第 1 次编辑]

各位有兴趣的可以看看此帖，这是这个方法的原始出处。
http://www.msfn.org/board/lofiversion/index.php/t54590.html

briankuo · 发表于 2006-3-12 11:42:51

下面引用由fujianabc在 2006/03/12 11:08am 发表的内容：
各位遇到*.sys找不到的，是否都是用的深山红叶？如果是，则说明此方法不支持xp sp1的winpe。我在一楼说了，只在xp sp2和2003 sp1的winpe测试成功，深山红叶是xp sp1的winpe，我没试过。

可能真的是深山红叶(或SP1)的原因，我用PEBuilder重新生成一个基于 XP SP2 的PE测试没有问题，不过真的是有些需要写操作的应用程序不能运行

godant · 发表于 2006-3-12 12:20:37

我也来说二句吧。
确实可以，但楼主把注册文件搞错了，所以产误会。正确应该是：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\fbwf]
"DisplayName"="fbwf"
"Group"="FSFilter System Recovery"
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\
  52,00,49,00,56,00,45,00,52,00,53,00,5c,00,66,00,62,00,77,00,66,00,2e,00,73,\
  00,79,00,73,00,00,00
"Description"="File Based Write Filter Driver"
"ErrorControl"=dword:00000001
"Start"=dword:00000000
"Tag"=dword:00000005
"Type"=dword:00000002
"DependOnService"=hex(7):66,00,6c,00,74,00,6d,00,67,00,72,00,00,00,00,00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\fbwf\Instances]
"DefaultInstance"="Fbwf Instance"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\fbwf\Instances\Fbwf Instance]
"Altitude"="226000"
"Flags"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\FltMgr]
"Description"="File System Filter Manager Driver"
"DisplayName"="FltMgr"
"ErrorControl"=dword:00000001
"Group"="FSFilter Infrastructure"
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,64,00,\
  72,00,69,00,76,00,65,00,72,00,73,00,5c,00,66,00,6c,00,74,00,6d,00,67,00,72,\
  00,2e,00,73,00,79,00,73,00,00,00
"Start"=dword:00000000
"Type"=dword:00000002
"Tag"=dword:00000001
"AttachWhenLoaded"=dword:00000001
另外要从2K3或XPsp2中复制fltmgr.sys
如果你直接加入到注册表文件Servers里,那就勿需理会txtsetup.
即使你加入到txtsetup,但Servers里没相应的文件,也是白加.
所谓<<深入了解txtsetup.sif>>是误导!
我就直接写入注册文件setupreg.hiv里,没加入txtsetup.也行!见图:
[UploadFile=Snap1_1142137226.gif]

liulaotou2 · 发表于 2006-3-12 12:21:46

按照所说方法，在2003SP1上面制作成功，大家同喜，同喜！[UploadFile=D5FDC8B7C1CB_1142137283.jpg]

lxl1638 · 发表于 2006-3-12 12:24:37

某些程序要读写在其工作目录下的.INI、.INF、.CFG、.LOG等文件，这些文件保存了其日志、窗口配置(位置等)

willsion · 发表于 2006-3-12 12:40:06

关注一下。。。。。。。。。。。。。。。。。

Rinrin · 发表于 2006-3-12 13:42:48

下面引用由godant在 2006/03/12 12:20pm 发表的内容：
我也来说二句吧。
确实可以，但楼主把注册文件搞错了，所以产误会。正确应该是：
Windows Registry Editor Version 5.00
"DisplayName"="fbwf"
...

当然
我的话是针对那幅图说的
出现那样一幅图
原因只可能是txtsetup.sif
我认为这一点没错
而你的这个方法(不修改txtsetup.sif)
这两个驱动程序加载的时机实际上就不同了

fujianabc · 发表于 2006-3-12 16:03:08

下面引用由godant在 2006/03/12 12:20pm 发表的内容：
我也来说二句吧。
确实可以，但楼主把注册文件搞错了，所以产误会。正确应该是：
Windows Registry Editor Version 5.00
"DisplayName"="fbwf"
...

不好意思，刚刚发觉，注册表修改文件直接上传成txt时有些字符会出错，现已压成rar，在1楼重新上传了。

godant · 发表于 2006-3-12 16:05:43

纠正一下，是要加入txtsetup.sif。
如不加入，可以加入Enum\Root\....的起动项，如直接加到txtsetup.sif，就不用。
如图：启动后会生成一个TEMP，CDROM盘值比原来多出30M，不知是否调用内存，我是用MVPC-64M测试的。一切如常！
[UploadFile=Snap1_1142150736.png]

Rinrin · 发表于 2006-3-12 16:19:20

下面引用由godant在 2006/03/12 04:05pm 发表的内容：
纠正一下，是要加入txtsetup.sif。
如不加入，可以加入Enum\Root\....的起动项，如直接加到txtsetup.sif，就不用。
如图：启动后会生成一个TEMP，CDROM盘值比原来多出30M，不知是否调用内存，我是用MVPC-64M测试 ...

不知道你是否研究过txtsetup.sif
有一个小节叫做[HardwareIdsDatabase]
起到与此注册表项类似的作用
如果直接加到注册表里
我认为驱动的装载在PnP枚举时发生

godant · 发表于 2006-3-12 17:08:27

下面引用由Rinrin在 2006/03/12 04:19pm 发表的内容：
不知道你是否研究过txtsetup.sif
有一个小节叫做
起到与此注册表项类似的作用
如果直接加到注册表里
...

确实没研究过。但我认为能直接加入注册表是最的，因为相对于WINPE来说，注册文件加载有约20M左右，如启动后再加载，是否会影响注册表的缓存呢？
就象上面的例子，我是这样发现的，还有点莫明奇妙。我直接启动，它就能启动相应服务。但通过BOOT（GRUB）引导后，就启动不了，也可能光盘容量加大吧（还带一个GHO）。后来就试加上它的启动项Enum，可以启动。再减去Enum，加入TXTSETUP，也可以。这样，也印正了你所说的“起到与此注册表项类似的作用”！反正，各有所好吧。

Rinrin · 发表于 2006-3-12 18:07:31

下面引用由godant在 2006/03/12 05:08pm 发表的内容：
确实没研究过。但我认为能直接加入注册表是最的，因为相对于WINPE来说，注册文件加载有约20M左右，如启动后再加载，是否会影响注册表的缓存呢？
就象上面的例子，我是这样发现的，还有点莫明奇妙。我直接启动，　...

确实
很久以前我把BlueCon移植到两张软盘上(基于2K)
那TXTSETUP.SIF改的真是头昏眼花啊
哈哈

		自动登录	找回密码
密码			注册