关于EWF的两个版本的ewf.reg的异同是什么（有比较表）

dark_enigma

在华硕eeepc701上安装“深度eeepc专用XP”后，安装常见的EWF总是蓝屏，有人说是VOLUME SHADOW COPY服务缺失造成，但经过添加实验，仍然不能解决问题。偶然在微软的嵌入式专家雷志刚的博客上看到一篇“在XP Professional上面实现EWF功能”，下载了其中的附件安装到eeepc701上，居然可以正常工作。
好奇之余，研究以前下的ewf版本和雷志刚版本的区别，发现，主要的区别在于ewf.reg这个注册表安装文件上，我对阅读这样的文件不是很在行，于是用表格将二者对比罗列，发现其中有部分项目基本一致（不完全一致，比如“ControlSet001”和“CurrentControlSet”的区别），更多的是不同的地方。
请熟悉ewf的朋友解释一下，这两种注册表安装文件，有什么异同。此外如果你原先使用的ewf总是蓝屏，不妨换换另个版本试试

天风版EWF的ewf.reg	雷志刚版EWF的ewf.reg 在XP Professional上面实现EWF功能
Windows Registry Editor Version 5.00	Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Dfrg\BootOptimizeFunction] "Enable"="N" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\OptimalLayout] "EnableAutoLayout"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem] "NtfsDisableLastAccessUpdate"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters] "EnablePrefetcher"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager] BootExecute=""
[HKEY_LOCAL_MACHINE\system\ControlSet001\Enum\Root\LEGACY_EWF] "NextInstance"=dword:00000001 [HKEY_LOCAL_MACHINE\system\ControlSet001\Enum\Root\LEGACY_EWF\0000] "Service"="EWF" "Legacy"=dword:00000001 "ConfigFlags"=dword:00000020 "Class"="LegacyDriver" "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}" "DeviceDesc"="EWF" "Capabilities"=dword:00000000	[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF] "NextInstance"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF\0000] "Service"="EWF" "Legacy"=dword:00000001 "ConfigFlags"=dword:00000020 "Class"="LegacyDriver" "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}" "DeviceDesc"="EWF" "Capabilities"=dword:00000000
	[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF\0000\Control] "ActiveService"="EWF"
[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EWF] "ErrorControl"=dword:00000001 "Group"="System Bus Extender" "Start"=dword:00000000 "Type"=dword:00000001	[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf] "ErrorControl"=dword:00000001 "Group"="System Bus Extender" "Start"=dword:00000000 "Type"=dword:00000001
[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EWF\FBA] "OVSize"=dword:00000000 "OVLevel"=dword:00000001 "PVConfigs"=dword:00000001 "EwfEnable"=hex(7):31,00,00,00,00,00 "EnableLazyWrite"=hex(7):31,00,00,00,00,00 "PVDisk"=hex(7):30,00,00,00,00,00 "PVPart"=hex(7):31,00,00,00,00,00 "PVDiskType"=hex(7):31,00,00,00,00,00 "PVOptimize"=hex(7):31,00,00,00,00,00 "PVType"=hex(7):31,00,00,00,00,00 [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EWF\Parameters] [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EWF\Parameters\Protected]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}] "UpperFilters"=hex(7):56,00,6f,00,6c,00,73,00,6e,00,61,00,70,00,00,00,65,00,77,\ 00,66,00,00,00,00,00	[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}] "UpperFilters"="Ewf"
[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EWF\Parameters\Protected\Volume0] "Type"=dword:00000001 "ArcName"="multi(0)disk(0)rdisk(0)partition(1)" "Enabled"=dword:00000001	[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters\Protected\Volume0] "Type"=dword:00000001 "ArcName"="multi(0)disk(0)rdisk(0)partition(1)"

[ 本帖最后由 dark_enigma 于 2012-6-6 08:43 编辑 ]

2012JoyAI

貌似第一列的reg用于Win7系统，第二列用于WinXP。

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Ewf]
"DisplayName"=""
"ErrorControl"=dword:00000003
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,64,00,\
  72,00,69,00,76,00,65,00,72,00,73,00,5c,00,65,00,77,00,66,00,2e,00,73,00,79,\
  00,73,00,00,00
"Start"=dword:00000000
"Type"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Ewf\Parameters]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Ewf\Parameters\Protected]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Ewf\Enum]
"0"="Root\\LEGACY_EWF\\0000"
"Count"=dword:00000003
"NextInstance"=dword:00000003
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_EWF]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_EWF\0000]
"Service"="Ewf"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000400
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="Ewf"
"Capabilities"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_EWF\0000\Control]
"ActiveService"="Ewf"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}]
"UpperFilters"="Ewf"

[ 本帖最后由 2012JoyAI 于 2012-6-5 14:55 编辑 ]

dark_enigma

不是吧，第一个是广为流传的，装在大部分XP都不会有问题的天风版本的。

你这个注册表也没见过哦，是适应面更广的吗，用在什么上的

2010icemould

长期使用雷志刚的ewf，在根本没有shadow volume copy服务的极度精简版xp/2k3上工作非常良好，只是雷志刚的文件来自wes2009，如果替换ewf.sys和ewfapi.dll为支持突破512m写入为1370m写入的wes2011的文件，则会蓝屏，至今想不到解决方法，也许问题是出在注册表，不过对我这种缺乏相关知识的门外汉来说丝毫无解，求达人发布支持xp的基于wes0211并不需要shadow volume copy的ewf写保护，这样xp的生命力又会延长不少造福大批死守xp的老机啊。

dark_enigma

楼上的兄弟说的极是，雷志刚的这个版本，完全不需要volume shadow copy服务。只是实在搞不清，他的版本和之前天风的版本有没有什么区别。

此外，你说他的是从WES209提取的，这意味着什么呢，是不是使用这个注册表时，ewf.sys和ewfapi.dll等文件不能直接替换为其他版本的？

2012JoyAI

这个是从WES7中提取的1.0.299.0版本。在32位、64位Win7SP1企业版上成功开启写过滤保护。

具体细节我也不太懂，查看注册表时注意到一个区别：XP的“ArcName”改为“DiskSigniture”，见附件。

使用时不必考虑multi(0)disk(0)rdisk(0)partition(1)的编号规则了。

[ 本帖最后由 2012JoyAI 于 2012-6-7 18:06 编辑 ]

dark_enigma

1、对于深度精简版装EWF蓝屏，我有结论了，不是valume shadow copy服务存在与否的问题，而是在于[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum]子项的权限对evryone而言不是完全控制，自己进注册表把该子项设置为everyone完全控制，然后装ewf，没有任何问题，不蓝屏。

2、至于“ControlSet001”和“CurrentControlSet”的子项，也没什么区别，“ControlSet001”是下次启动将会加载的配置，而“CurrentControlSet”是本次启动将会加载的配置(其实这个配置是拷贝自本次启动之前的“ControlSet001”)，所以只要能成功启动，这些配置写在哪一个下面都没问题，反正最终都归拢到“CurrentControlSet”

3、"UpperFilters"=hex(7):56,00,6f,00,6c,00,73,00,6e,00,61,00,70,00,00,00,65,00,77,\<br />00,66,00,00,00,00,00
这个项不知是什么意思，这个值其实是
“volsnap
ewf”

不知为什么还带个回车在里面，我试了一下，写成"UpperFilters"=“ewf”也是可以的，请知道"UpperFilters"=是什么意思的同学给解答一下，这个项是干嘛的。

4、[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EWF\Parameters\Protected\Volume0]
"Type"=dword:00000001
"ArcName"="multi(0)disk(0)rdisk(0)partition(1)"
"Enabled"=dword:00000001

这部分如果删掉的话，则可以用ewfmgr X: -enable指令对任意非移动分区（X:）启用ewf保护

————————————————————————————————————————————————————————————————————
本贴的主要缘起是因为在eeepc的精简XP上安装ewf失败所引起，没想到最后发现时精简版XP的注册表权限有特别的地方。
至于和雷老师的的版本的差异，我现在依然还是茫然着。


更抛出一个求解答的困惑，WES2009或者wes7种提取的ewf相关文件，可以用这个注册表安装在XP上使用吗，各个不同版本的ewf对XP\2000\2003\7的支持有什么区别没有，有没有一个兼容性最好的版本存在，毕竟还是要用啊，总想得到一个最好的。

[ 本帖最后由 dark_enigma 于 2012-6-8 00:51 编辑 ]