经实验发现影子系统的工作原理

123

实验步骤：
我先在正常系统中把所有的分区都用文件填满，然后重启进入完全影子模式，把其中一个分区中的文件删除，然后往里复制几G的文件，过一会儿硬盘灯不闪了，弹出一个对话框，显示“写入延缓失败”，然后死机了。
结论：
影子系统监视硬盘的所有写入操作，并将这个操作映射到硬盘上没有数据的区域，当这些区域用完时，就死机了，虽然我的电脑里显示空间还很多，但这些空间是通过删除文件得到的，类似FBWF。开启FBWF后删除原有的文件并不能释放空间。

iphuter

几句话你就把这个东西说得清楚？你也太~~~~~~~~

lxl1638

不用测试也应知道的，任何文件的存放都要空间。

123

原帖由 <i>lxl1638</i> 于 2007-5-16 11:54 发表 <a href="http://bbs.wuyou.net/redirect.php?goto=findpost&pid=1068034&ptid=105643" target="_blank"><img src="http://bbs.wuyou.net/images/common/back.gif" border="0"     alt="" /></a><br />
不用测试也应知道的，任何文件的存放都要空间。

<br />
但有几个人测试过？不要想当然。
如果什么都想当然就以为自己是对的，那些研究的人有什么用？

[ 本帖最后由 123 于 2007-5-16 12:06 PM 编辑 ]

lxl1638

用得着测试吗？

一个简单的问题：它的文件(也可说是数据)放在哪里？莫非它能无中生有给你产生新的空间？
Windows的系统还原也是这个原理，只不过是Windows的系统还原所用的空间对用户是透明(可知)的。

自然科学中的两条定律：物质不灭和能量守恒。

123

你知道它是怎么放的吗？你知道数据具体放在哪吗？你说的那些谁不知道啊？如果我不知道我怎么可能想出这种测试方法？按你的说法，什么都不用测试了，想想就能出来理论，没有必要用实验证明
还是那句话，不要到处想证明自己智商多高，不说话没人把你当哑巴。

[ 本帖最后由 123 于 2007-5-16 01:24 PM 编辑 ]

鹤冲天

我们还是来讨论主题吧！！？
123有什么新发现吗？说详细点！

123

原帖由 鹤冲天 于 2007-5-16 17:21 发表
我们还是来讨论主题吧！！？
123有什么新发现吗？说详细点！

没什么新发现，这东西跟还原精灵2002一样（写入数据都写入到硬盘中未使用的空间里，未使用的空间是共享的。比如说往D盘写入数据的操作实际上数据可能被写入到C盘或E盘）而跟还原精灵6.0不一样（未使用的空间不共享）。



当我没有填满所有分区时，只对一个分区做覆盖操作，覆盖几次都没有问题，而填满其它分区以后再测试发现出现了问题。这说明它把数据写到其它分区了。

hahahakk

其实连冰点也一样的原理。。。有空LZ也可以试试/。

zhuying88

楼主的结论是正确的，

lintel

事实上就是MICROSOFT的EWF

弄潮儿-NET

刚才我把网络拔了，发现了网络原理……

弄潮儿-NET

哈，楼上问得好，只要读出来，再改写里面的数据，嘎嘎，那就可以穿过保护了……

finest

没想到楼主的实验还引起这么多话
还是支持搂住的实验

darkradx

实践出真知啊, 支持楼主

鹤冲天

还原卡和还原软件不都是备份分区表吗？
不断的恢复分区表不也能阻止新的文件写入吗？
现在改了吗？改成这样了？有什么好处？不容易被破解？？

kangyi

我玩vmware的时候，发现把物理硬盘（非虚拟的硬盘）挂上后，启动到PE，然后往物理硬盘写文件，发现被写入的文件在host端并不会立即得到更新而显示出来，有三种可能性：
1：重新启动后看到了
2：重新启动后windows执行chkdsk，扫描到了那些”丢失的簇“而”恢复“出来文件
3：重新启动后依然不能看到那些文件，但可用finaldata扫描”恢复“出来

123

原帖由 kangyi 于 2007-5-17 22:50 发表
我玩vmware的时候，发现把物理硬盘（非虚拟的硬盘）挂上后，启动到PE，然后往物理硬盘写文件，发现被写入的文件在host端并不会立即得到更新而显示出来，有三种可能性：
1：重新启动后看到了
2：重新启动后win ...

我一次也没有显示出来啊，无论写多少文件也看不到硬盘有什么变化，好像都写到物理硬盘对应的vmdk文件里了。

kangyi

往物理硬盘写文件
我有说这句话啊，mm你看漏了吧

直接挂上整个硬盘（entire disk）（其实这时可以摘了那个vmdk虚拟硬盘的），可以启动到boot.ini菜单的界面（继续启动xp蓝屏，我在虚拟机讨论版里问过这个问题，可没人理我）
不过，菜单的其他启动选项跟实机启动的状况别无二致，经由此方式启动到PE，在pe中操作物理硬盘，在外边（host机上）并不会立即表现出来

在vmware里添加物理硬盘时，它已经提示你可能会丢数据了，不过我认为它考虑的只是很糟糕的情况，一般情况下不会的，在vmware里往实体硬盘写东西时，并不会覆盖原有物理文件，写数据是依次往没数据的地方写的，这用finaldata可以得到证实，如下：先往某个分区写一个文件，重启vmware,再往里写一个文件，用finaldata恢复那两个文件，都能被正常恢复出来，可见第二个文件并没有覆盖第一个文件，可以写多个文件实验

启动实体机到DOS，在PQ里扫描那个分区，可得到“丢失”簇的范围，那个范围就是在vmware里写的那些文件待的地方

我还这么实验过，依然是在vmware里操作实体硬盘，把GHOST映像恢复到C，VMWARE里没有任何错误信息，但过一会在实体机里出现一个带叉的对话框，大意是说有一些文件需要被recovered，并且说已经recover成功，接着死机！重新启动后出现几行非常怪异的“一般性停止错误”

鹤冲天

你们继续，我看看！！

Robertzao

还是冰点好啊！我感觉的！