冰点还原的工作原理

《冰点还原的工作原理》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、★冰点还原的工作原理 ★  [2006-12-15

2、作者：痞子君

3、可能不少人都看过网上广为流传的“DeepFreeze冰点原理”的帖子，为什么我还要再次重申其原理呢？因为我这个人是干技术工种的，深明理论对实践的重大指导意义，不了解事物的本质，技术永远只能停留在跟从的层面上；再者我觉得该帖根本就是说得不清不楚，而且有些地方还在误导人。冰点和其它还原软件（如还原精灵、三茗一键恢复等）不一样，它并没有夺取南桥芯片的I0控制权，也没有控制硬盘的INT13中断，它没有改写硬盘的ＭＢＲ（主引导记录）。还原精灵、三茗一键恢复等通过改写硬盘的ＭＢＲ的还原软件在操作系统加载之前就部分实现

4、了其还原功能，而冰点则是利用驱动的形式加入操作系统的内核模块中来实现其还原功能的，它必须依附于原来的系统,一旦进入另外一个系统,它的还原功能就失效了。它的加载优先级非常高，而且加载之后在当前系统不能停止不能禁用也不能删除。下图通过软件的方法对冰点的内核驱动加以说明：此主题相关图片如下：★冰点还原的工作原理 ★  [2006-12-15

5、作者：痞子君

6、可能不少人都看过网上广为流传的“DeepFreeze冰点原理”的帖子，为什么我还要再次重申其原理呢？因为我这个人是干技术工种的，深明理论对实践的重大指导意义，不了解事物的本质，技术永远只能停留在跟从的层面上；再者我觉得该帖根

7、本就是说得不清不楚，而且有些地方还在误导人。冰点和其它还原软件（如还原精灵、三茗一键恢复等）不一样，它并没有夺取南桥芯片的I0控制权，也没有控制硬盘的INT13中断，它没有改写硬盘的ＭＢＲ（主引导记录）。还原精灵、三茗一键恢复等通过改写硬盘的ＭＢＲ的还原软件在操作系统加载之前就部分实现了其还原功能，而冰点则是利用驱动的形式加入操作系统的内核模块中来实现其还原功能的，它必须依附于原来的系统,一旦进入另外一个系统,它的还原功能就失效了。它的加载优先级非常高，而且加载之后在当前系统不能停止不能禁用也不能删除。下图通过软件的方法对冰点的内核驱动加以说明：此主题相关图片如下：此主

8、题相关图片如下：冰点也没有“使用自己的硬盘驱动程序替换原本的驱动”，它和硬盘原来的驱动是一种上下层的关系，也就是说所有对硬盘的访问首先得经过它的“过滤”然后再提交给硬盘原来的驱动处理,从而达到还原的目的,这种技术叫“过滤驱动程序”。下图通过对硬盘及分区驱动程序文件的详细分析加以验证：此主题相关图片如下：此主题相关图片如下：鼠标和键盘作为一种字符存取设备，也被冰点所监管：此主题相关图片如下：冰点还原6.0主要文件说明：Deepfrz.sys-------------冰点内核文件,以驱动的形式加载,此为关键文件.该驱动加载之后没有办法结束.在另外一个系统下删除该文件后重启会

9、造成蓝屏死机.Df5sev.exe和Frzstate2k.exe----------这两个文件共同起作用,是冰点的管理和设置程序,前者以服务的形式加载，后一个通过前者启动.所以你在注册表中是找不到Frzstate2k.exe的启动项的。$persi0.sys--------------冰点的设置保存文件,包括密码,保护盘等.LogonDll.dll--------------DfLogon网上广为流传的“DeepFreeze冰点原理”的帖子原文：DeepFreeze冰点原理冰点的还原是获取南桥芯片的I0控制权，说白了就是控制硬盘的INT13中断，几乎所有的还原软件都是靠

10、这个实现的，当装入正确的驱动后,冰点就可以正确的拿到I0控制器的控制权,然后使用自己的硬盘驱动程序替换原本的驱动,就达到了任何关于硬盘的写入都要经过他的控制,这样就可以轻易的达到还原目的,同样,双系统或者GHOST恢复的话,正确装上了冰点的系统才会有还原功能,如果没有装的话,当然就没有啦.所以GHOST下可以无限制的添加文件,而windows下添加文件就被还原了.　　冰点是随着windows的启动才启动的,windows启动加载驱动的时候冰点就通过某种方式触发启动了,由于冰点有I0控制器的控制权,所以,他可以把任何写入硬盘的东西放到任何地方,不知道大家有没看过temp(

11、windows临时文件夹)下有个DF5.TMP对不?具体的文件名我记不到蛮清楚了,而且,我现在不在我的网吧里,这家网吧把C盘屏蔽了!@#$%$%所以不能提供具体的名称了,大家可以自己看看　　补充，冰点的转储一般是随着windows的临时文件夹的，所以，系统做完以后一定要把windows临时文件夹转移到一个比较空闲的盘里，不然，就会出现丢失文件的情况的（下载大文件后丢失文件就是这样引起的），因为，DF把所有写入的文件都放在那里面，虽然表面上看你丢在了别处，但是存储位置实际上还是在临时文件夹里，只是windows显示给你的路径给你了误导，它在