大白菜、老毛桃、通用都不干净，揭谜一键Ghost的“恶”事

ShawpLee

在PE环境下，一键Ghost即可完成系统的重装工作，这种看上去非常贴心的安装方式，现在已被广泛采用，然而你知道么？简单并不代表简洁，如果你是个细心的人，那么你会发现在这种安装方式的下面，其实隐藏着许多猫腻，而这些猫腻，绝对与“体贴”无关。
一、实测，一键Ghost暗含猫腻
为了了解一键Ghost在为我们提供了极其简便的安装方式之外，还带来了什么，我们特意对目前网络上流行的几款提供了PE环境下进行备份、恢复系统的一键Ghost工具进行了测试，这些工具包括：大白菜U盘启动制作工具V5.1 uefi启动版、老毛桃装机版20140501、电脑店超级U盘启动盘制作工具V6.2装机版、通用pe工具箱V6.1版、天意U盘系统2015元宵版、微PE工具箱1.0。
1.测试方法
先到http://msdn.itellyou.cn/下载原版Windows 8.1 64位操作系统的安装ISO文件（如图1），用UltraISO将其刻录成光盘后格式化C分区进行全新安装。安装完成，安装官方硬件驱动，但不安装任何软件并进行任何设置，浏览器主页为默认设置，然后在DOS环境下启动Norton GHOST进行系统备份，这样一来，一个纯净的GHOST备份文件诞生了。

接着，用上述测试工具进入PE系统，使用刚才备份的Gho文件及工具自身提供的一键Ghost工具对系统进行恢复，最后看它究竟对系统做了什么手脚。
2.测试结果
经过漫长及繁复的还原过程，最终测试结果出来，具体情况见下表：

参评工具         是否修改浏览器主页   是否安装软件           其他
大白菜                修改主页                    安装360系列        暂无发现
老毛桃                修改主页                    安装360系列        暂无发现
电脑店                修改主页                    安装360及火绒        暂无发现
通用                   修改主页                    暂无发现                桌面添加Hao123网页快捷方式
天意                 暂无发现                    暂无发现                暂无发现
微PE                        暂无发现                    暂无发现                暂无发现

从中我们可以发现，几款工具中除了天意和微PE表现较好，基本保持了纯净GHO系统的原貌外，其他几款工具都在还原过程对系统做了手脚，而修改浏览器主页和偷偷安装360系列工具几乎是通用作法（如图2），显然，这当中是有极大的利益关系的，工具开发者可以通过这些看似流氓的作法获得一定的经济报酬。不过，目前的问题是，这些工具究竟是通过什么手段，达到肆意践踏用户系统目的的呢？

3.揭秘，Ghost如何践踏了我们的家园
经过一番对比、摸索，笔者终于发现了其中的猫腻。
首先说大白菜、老毛桃、电脑店这三个PE系统，它们的窜改原理基本相同，都是在系统恢复完毕，在Windows的开始菜单启动项中添加一个后缀名为VBS的文件（如图3），然后再在Windows目录下创建一个可执行文件及一个包含有文件的目录，其中目录中保存的就是要偷偷安装的软件包，而“*.vbs”的作用则是修改用户的浏览器主页，同时执行目录中保存的软件安装包，最终达到静默安装软件的目的。值得一提的是，三款PE系统都会在软件安装完毕，并在完成浏览器主页的修改工作后，自动销毁VBS文件及上面提到的流氓目录，以防被杀毒工具发现。

然后说通用PE系统，和前三款工具的偷偷摸摸相比，通用PE的作法更加流氓，它会在系统安装完毕，直接重命名Windows目录下的Explorer.exe文件，然后自行创建一个同名文件（如图4），这样，当用户第一次进入刚恢复的系统并在进入桌面前，该文件就会被自动执行，接着修改浏览器主页，在桌面添加HAO123快捷方式，最后再把自己销毁并恢复原Explorer.exe文件。在恢复原Explorer.exe文件时，如果不幸过程出错或用户事先发现，直接删除了被窜改的Explorer.exe文件，将导致无法进入桌面，需要再次重装系统才能解决。

二、醒悟，要想纯净还需自己动手
限于水平和时间，上面我们只是检测到了几款工具对浏览器和软件的修改情况，尽管这些修改，后期都能通过重新设置主页或删除不需要的软件来解决，但如果考虑得再细致一些，如果这些PE工具在这些显而易见的窜改之外，又隐藏着其他一些动作（比如：保留系统后门以便对用户PC进行控制），我们该怎样来处理？所以目前最安全的办法，莫过于自己动手，完成系统的备份及还原工作。
1. 利用Norton GHOST实现本机备份与还原
无论是白菜、老毛桃和电脑店，它们使用的备份和还原工具的其实都是Norton GHOST，只是为了方便小菜用户使用，他们在原软件的基础上，增加了更加直观的界面和一些更加便于操作的功能而已。在这些功能之中，软件作者悄悄植入了可修改主页并安装软件的隐藏选项。因此，如果我们能稍微勤快一点，利用上述PE系统内置的Norton GHOST软件，在DOS系统下手工备份和还原系统，则能最大程度地保证系统的纯净。
以使用大白菜中提供的Norton GHOST软件进行备份及还原为例。
第一步：用PE光盘或U盘引导系统，在出现如图5所示的功能选择界面时，选择“运行MaxDos工具箱增强菜单”，进入相应的菜单，选择“MaxDos 9.3工具箱增强版C”。

第二步：按下“↑”或“↓”，在出现的菜单中选择“备份/还原系统”，回车后，进入“MaxDOS一键备份/恢复菜单”，选择“3.GHOST手动操作”项（如图6），进入Symantec Ghost界面，单击OK按钮，进入程序主界面。

第三步：在菜单中依次选择“Local/Partition/To Image”（如图7），然后在接下来的界面中选择要备份的硬盘（有多个硬盘的话请核对选择，一般来说，通过查看Model列中的硬盘型号和Size列中的硬盘容量，可以确定要备份系统究竟在哪个硬盘中），选择完毕，单击OK按钮。

第四步：选择要备份的分区及备份文件的保存目录，然后在如图8所示的界面中选择好要采用的压缩方式： No，不压缩；Fast，一般压缩；High，高压缩，一般来说，压缩率越高，备份系统及以后还原系统的速度越慢，同时备份文件出差错的机率越大，所以如果磁盘空间足够的话，建议直接单击No按钮，即不压缩。选择完毕，程序将开始备份系统，备份所用的时间取决于PC配置、系统分区的大小及当前所安装软件的多寡。

第五步：系统备份完毕，以后在出现文件时，我们就可以利用它来恢复了，恢复的方法与备份类似，首先进入如图7所示的界面，依次选择菜单“Local/Partition/From Image”，然后按提示选择好要恢复的硬盘、分区及要使用的备份文件即可。
2. 更上层楼打造万能恢复文件
上述方法打造的系统备份，仅适用于本机，那么，我们是否有办法打造一个可以在不同PC中都能用的备份文件？答案是肯定的。
第一步：首先在某PC中全新安装原版Windows系统，安装完毕，安装常用软件到系统分区（注意：由于可用系统分区的可用空间变小会影响系统的运行速度，所以建议只安装WinRAR和Office等必用的软件）。
第二步：卸载硬件驱动。在“控制面板”中选择“系统”，进入相应的界面，选择左侧的“设备管理器”项，打开同名窗口，依次卸载网络适配器、通用串行总线控制器、声卡、视频游戏控制器、监视器和显卡等的驱动，卸载方法为：右击要卸载驱动的设备，在弹出的右键菜单中选择“卸载”（如图9）。卸载的时候要注意，顺序一定要按照上面所说的进行。

Tips：
卸载驱动的过程中，屏幕上会出现要求安装驱动的提示，千万不要安装。
第三步：更改IDE ATA/ATAPI控制器为“标准SATA AHCI控制器”，这一步是打造万能Ghost关键，如果这一步没做，则Gho文件还原到别的机器里根本无法启动，具体表现为PC不断地重启。更改的方法为，在“设备管理器”窗口的“IDE ATA/ATAPI控制器”项下右击当前正在使用的设备，在弹出的右键菜单中选择“更新驱动程序软件”，打开相应的对话框。选择“浏览计算机以查找驱动程序软件”，然后在出现的对话框中选择“从计算机的设备驱动程序列表中选取”项，单击“下一步”按钮。在接下来的对话框列表中选择“标准SATA AHCI”，单击“下一步”按钮（如图10）。此时系统会提示重启PC。

第四步：重启PC，并用上面介绍的大白菜PE等引导PC，在出现如图5所示的界面时，选择“运行MaxDos工具箱增强菜单”，然后再用上面介绍的方法，完成系统的备份工作即可。备份成功，将相应的Gho文件保存到U盘或移动硬盘中，以后，我们就可以用它来在不同的PC中进行还原操作了。

mdyblog

1：
上面是商业化的，人家要生活，要养老婆孩子，要收入啊。

用第3方独立软件 就没事了，比如CGI等。很多这种恢复软件的。
选个合适的就可以了。

2：
不是每个人都不缺钱啊，不能一个标准来要求所有人。
就当作，是那些 “没有 广告/捆绑 软件” 之外的 “增量”好了。

Dream漂移

路过学习了

ntsyh

qazws 发表于 2015-8-2 23:07
所以我现在用李大师的微PE，李大师说的很好。
关于如何盈利

像你现在所说的，是能接受的。
商品是质量第一，用户至上，明码标价，愿买愿卖，自由选择。
自以为玩“小聪明”能骗人、坑人，临时得到了蝇头小利，其实是最愚蠢的人，玩“小聪明”的人最终是葬送了自已。
现在也弄不清微PE是哪位大师的？

ShawpLee

2012morningstar 发表于 2015-7-23 07:14
用了人家的PE，人家推荐个主页，我个人认为非常理解；但如果用户不能自己更改预设主页，那才叫流氓。

是的，偷装软件的也很反感，直接选一些比较好的软件统一放到桌面一个文件夹里让用户自主选择安装，这样也是能理解和接受的，后台私自做手脚的行为深恶痛绝

zhxy9804

首先支持一下楼主，
但是你没发现你那几款pe，都是李鬼pe吗？
咱们圈子做pe的人，都有洁癖的。

a102135

要想干净，得自己动手做!

ShawpLee

a102135 发表于 2015-7-22 16:49
要想干净，得自己动手做!

是的

whuangjin2

感谢分享。就是来看看的。

ShawpLee

whuangjin2 发表于 2015-7-22 17:11
感谢分享。就是来看看的。

嗯，谢谢暖贴。

1400700226

经验告诉我这是广告，不过抱歉我冤枉你了。。。。。。

zlyet

好文，赞！

虽然知道并且曾经领教过这些捆绑、篡改甚至流氓行为的所谓“方便工具”，但是把这些暗藏和背地里的行径彻底揭示、曝光还是第一次，，，谢谢分享。。。

wxgx

单独卸载母机驱动是不能做好LZ所说的“万能恢复”的。

ShawpLee

1400700226 发表于 2015-7-22 17:32
经验告诉我这是广告，不过抱歉我冤枉你了。。。。。。

没事，看过内容就不会误解了

ShawpLee

wxgx 发表于 2015-7-22 18:06
单独卸载母机驱动是不能做好LZ所说的“万能恢复”的。

欢迎分享更好更有效的方法

ShawpLee

zlyet 发表于 2015-7-22 17:48
好文，赞！

虽然知道并且曾经领教过这些捆绑、篡改甚至流氓行为的所谓“方便工具”，但是把这些暗藏和背 ...

不客气，只是想让更多人了解相关方面的知识

秋月云开

揭秘！欢迎

zds1210

论坛老大们的一键还原，又强大，又干净，何必用外面商业化的东西。。特别是cgi plus。深山一键还原。

ge

可以添加ghost软件等在启动项！也可以用没有问题的PE ！还可以用微软re！

ntsyh

首先要支持楼主敢说，大白于天下，大暑天里拿出来让太阳曝晒。

在无忧里时间长一点的都知道的，也是绝不会用这些PE的，具体的不说也是“心知肚明“的。像天意版主的PE是信得过的经典PE之一。
也可以这么说，在无忧里的经典PE=人品+一流技术。
像通用李大师的原著是经典PE之一，通用4.0以后，我看都不看了，更不会再选择通用了。但是他仍然用延续“通用”的名称，后来者有可能有所不知，认为还是李大师的作品，不过李大师也曾经声明过了,http://bbs.wuyou.net/forum.php?m ... p;extra=&page=1。
赚钱有无数个渠道，唯一的就是不能赚黑心钱，坑人。
新加坡的前总理李光耀对人才有严格的要求。他指出：除了教育程度、分析能力、实事求是、想像力、领导力、冲劲，“最重要的还是他的品德与动机，因为愈是聪明的人，对社会造成的损害可能愈大。”(摘自《李光耀治国之钥》)。
以往我们缺资源、缺技术、缺资金、缺市场，最缺的还是人才。而当今社会最缺的不再是人才，而是“人品”。“人品”变成了社会最稀罕的资源。没有人，不能做事；没有人才，不能做大事；没有人品，不论做小事大事，都会坏事。 “你办事，我放心”的前提是这个人要有人品。
喝了点酒，酒后话，一笑了过，具体不涉及哪个人。

易广白

基本上与商业有关的东西都不“纯净”

因此“纯净”的路越来越难走了，

也许只有“业余爱好”的作者们才能坚持“纯净”的路，
才是真正“技术达人”

wylgogogo

         很详细呀，知道这些垃圾pe。没你这么用心分析。

nmscl

不会自己做，用别人的作品就得给人家做点什么。

2012morningstar

用了人家的PE，人家推荐个主页，我个人认为非常理解；但如果用户不能自己更改预设主页，那才叫流氓。

abcie

天意PE不错，但天意的GHOST系统（我用的WIN7）会自动安装2345一系统软件的。

2012andyle113

没碰到过，都自己手工弄的，工具也都是用自己测试过的

新建

还原其它PC机，驱动呢？

ShawpLee

abcie 发表于 2015-7-23 08:05
天意PE不错，但天意的GHOST系统（我用的WIN7）会自动安装2345一系统软件的。

GHOST系统类的多数都会安装推广软件的，一般装个纯净点的PE，再配合原版系统镜像来的更保险

ShawpLee

2012andyle113 发表于 2015-7-23 09:30
没碰到过，都自己手工弄的，工具也都是用自己测试过的

自己测试手工弄的自然更好，免除了捆绑安装软件修改主页的烦恼。

ShawpLee

新建 发表于 2015-7-23 09:38
还原其它PC机，驱动呢？

一般找个干净点的GHOST系统，自带万能驱动安装，对许多机型都能支持。
保险起见，我一般都安装原版系统镜像，然后自己下载驱动更新

2011yang1238

ntsyh 发表于 2015-7-22 21:15
首先要支持楼主敢说，大白于天下，大暑天里拿出来让太阳曝晒。

在无忧里时间长一点的都知道的，也是绝不 ...

我想说的都给你抢先一步说完了

horseman

这个“老毛桃”，不是正宗毛桃；同样，这个“通用”，也不是原版通用。

lygqch

为啥说下载的是win8.1，截图确实win7呢？？？