巧用微软EWF 运行不明程序不再害怕

有时候我们要运行一些来路不明的程序，可是又惧怕是病毒木马什么的，这个时候我们可以使用虚拟机来完成软件的运行，不过虚拟机的安装和设置比较麻烦，对于菜鸟来说，“影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]”使用起来要比虚拟机方便得多，因为使用“影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]”后，所有操作写入的数据都会存储在内存中，而不写入硬盘，只要[url=http://www.xp510.com/][color=#0000ff]电脑[/color][/url]重启，数据就会被全部还原，这样即使不明程序是病毒木马也不用怕了。 　　其实[url=http://www.xp510.com/][color=#0000ff]Windows[/color][/url]的东家微软公司也有自己的“影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]”，只不过嵌入在别的软件中，没有引起大家的重视，下面就让我们来认识微软自己的“影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]”——EWF。 　　编辑提示：微软的“影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]”也很强大 　　EWF全称是Enhanced Write Filter，是微软FP2007嵌入式操作[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]的一个组件，利用这个组件用户可以快速打造一个影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]，使我们的[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]免受病毒和木马的侵害。当然，它和杀毒软件不同，EWF实现的是彻底还原，无论病毒多么狡猾，多么强大，在重启之后一样灰飞烟灭。 　　实践证明，微软原版影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]比市面上的所有影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]都要优秀，完全绿色免费，通过最底层重定向内存操作地址来达到影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]的目的，无资源占用，相比市面上的一些影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]会被病毒穿透的漏洞，Enhanced Write Filter直接运用微软[url=http://www.xp510.com/][color=#0000ff]Windows[/color][/url]操作[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]最底层嵌入调用，这是其它影子[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]无法比拟的优势，病毒根本无法穿透。 　　EWF的安装 　　首先下载EWF(下载地址：[url]http://www.cbifamily.com/download/201123.html[/url])，把它解压到一个非[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]分区。如果你的[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]安装在C盘，那么就把它解压到D:EWF。双击其中的setup.bat开始安装。需要注意的是EWF安装结束后[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]会自动重启，因此在安装前一定要保存好数据。 [img]http://www.xp510.com/article/UploadPic/2011-12/2011123104810565.jpg[/img] 　　重启完成后，双击运行D:EWF文件夹中的TRUN ON.bat文件，这时[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]又会自动重启。当下一次进入[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]时，[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]已经处于EWF的保护之中了。EWF默认只对第一分区进行保护，也就是我们的C盘，如果我们想让EWF保护其他的分区，可以用记事本打开刚才运行的TRUN ON.bat文件，将其中的“ewfmgr c: -enable”修改为“ewfmgr d: -enable”，保存后双击运行就可以了。 　　 [img]http://www.xp510.com/article/UploadPic/2011-12/2011123104810754.jpg[/img] EWF的使用 　　EWF安装完成后，我们如何得知其保护状态呢?点击“开始”→“运行”，输入“cmd”运行“命令提示符”，输入命令：“ewfmgr c:”并回车，在回显信息的“state”这项中我们可以看到其状态为“ENABLED”，则说明EWF正在保护中。“Type”这一项显示为“RAM”，也就是内存，说明我们所有的操作都会被存储在内存中，下次重启后所有写入的数据都会被还原。 [img]http://www.xp510.com/article/UploadPic/2011-12/2011123104810119.jpg[/img] 　　下面我们简单试验一下，看看EWF的效果如何。在桌面上新建一个test文件夹，然后重启，进入[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]后我们会发现test不见了，说明EWF正在执行它的保护作用。现在，无论我们怎么折磨[url=http://www.xp510.com/][color=#0000ff]系统[/color][/url]，或者访问恶意网页，都已经无所谓，因为这一切在下次重启时就会还原。现在我们可以尽情地使用[url=http://www.xp510.com/][color=#0000ff]电脑[/color][/url]了。 　　更新保护内容 　　在平时使用[url=http://www.xp510.com/][color=#0000ff]电脑[/color][/url]的过程中，难免会有一些数据资料需要保存，例如杀毒软件的病毒库、自动更新的补丁等，那么如何让EWF保存这些更新的数据呢?方法很简单，双击D:EWF文件夹中的save.bat，重启以后数据就会被保存下来了。 　　关闭EWF保护功能　　 　　EWF保护功能的关闭和开启同样简单，在命令提示符中输入“ewfmgr C: -commitanddisable”命令并回车，就可以将EWF的保护功能关闭了。