全方位破解還原精靈

天殺孤星

　　方法一︰臨時解決辦法

　　如果在忘記還原精靈密碼后，你安裝了一個新程式，該軟體提示要求重啟計算機，此時不要點擊“確定”按鈕，選擇“以後重啟”。然後在“開始→關閉系統”中選擇“重新啟動計算機”，注意此時一定要按住Shift按鍵不放，這樣計算機將直接重新加載系統程式，從而繞過還原精靈的保護。

　　方法二︰長期解決辦法

　　如果想長期保存自己的文件，就必須卸掉還原精靈或者取得還原精靈的管理員密碼，要卸掉還原精靈其實不難，網上有專門清除還原精靈的程式“還原精靈清除器”，營運以後直接清除還原精靈的密碼。不過需要注意，由於還原精靈是在硬碟最重要的主引導記錄MBR裡面做的文章，所以使用這個還原精靈清除器有一定的危險。

　　方法三︰利用初始密碼

　　還原卡都有默認的初始化密碼，如果你壓根兒就沒有修改過它的默認密碼的話，就簡單多了，因為還原精靈的默認密碼是12345678﹗

　　方法四︰寫信索取密碼

　　在安裝還原精靈時會帶有一個還原精靈輔助工具，即廠商提供的密碼讀取工具readpwd.exe，營運它也可以得到還原精靈的加密密碼，格式類似這樣︰[DB][B8][5E][79][3E][3B][5E][C5][BD][B2]，把該加密密碼發送到這個信箱︴email]Jinfo@yuanzhi.com.cn[/email]，只需一兩天就可以得到軟體開發商發來的密碼。

　　這樣，無需任何軟體，簡單的幾下就可以得到還原精靈的密碼﹗反過來講任何人用這個方法都可以得到還原精靈的密碼，包括受限制的用戶﹗所以大家要保存好密碼讀取工具readpwd.exe，將它改名隱藏或干脆刪除。

　　方法五︰重寫主引導扇區

　　還原精靈會截取系統的底層功能調用，在硬碟的主引導區留下自己的痕跡。硬碟的主引導區存放的是系統的主引導訊息、分區訊息，一般說來病毒對它非常感興趣。如果我們能先于還原精靈佔有硬碟的主引導扇區(MBR)，那么我們就可以對硬碟擁有最大的管理權限，換句話說，還原精靈已經被我們“干掉”了。

　　依據上面如上原理，用fidisk/mbr命令重寫主引導扇區，然後重新啟動計算機，這樣還原精靈就沒有了。

　　方法六︰利用16進製文件編輯器

　　WinHex的內存搜索編輯功能可以幫我們找回丟失的還原精靈密碼。具體方法是︰右擊任務欄右下角的還原精靈圖標，在彈出菜單中選擇“參數設置→更改密碼”，在對話框中輸入舊密碼，胡亂填寫幾個數字如123456；在新密碼框中輸入新密碼，這裡也胡亂填了個371042，最後點“確定”按鈕。

　　由於我們是胡亂輸入的密碼，所以舊密碼是不會正確的，此時會彈出對話框，提示密碼不正確，注意千萬不要點擊“確定”按鈕，趕緊營運16進製文件編輯器WinHex，點“工具”菜單中的“RAM編輯器”，在打開的窗口中找到Hddgmon下的“主要內存”，這裡的Hddgmon是還原精靈的進程。

　　最後，在WinHex中點擊“搜尋→尋找文字”菜單選項，在打開的窗口中添入你隨便填入的假密碼371042。點“確定”之后，真正的密碼就會出現下我們面前了﹗

　　原理︰輸入密碼后，該軟體會用其內部事先定義好的方法來計算真正的密碼，與輸入的密碼進行比較，這個比較的過程是在內存中進行的。由於WinHex具有優秀的內存編輯功能，因此透過在內存中搜索輸入的字元串，來找到它們。而一般情況下，真假密碼的比較離得會很近，這樣我們就可以輕鬆發現它們。

　　方法七︰利用還原精靈密碼讀取軟體

　　透過方法六我們不難得出結論︰還原精靈存在內存中存放明文密碼的漏洞，還原精靈密碼讀取軟體，使用該軟體可以輕鬆地得到還原精靈的密碼。該軟體使用方法很簡單，只要打開還原精靈的“更改密碼”的窗口或“檢查管理員密碼”的窗口，然後無需輸入任何密碼，只要點擊該軟體的“讀取”按鈕，就會自動從還原精靈的內存中讀取密碼。nn[ Last edited by 天殺孤星 on 2005-1-7 at 09:35 PM ]

天殺孤星

還原精靈全接觸(整理)

[center]一、暴光還原精靈工作原理[/center]
  
還原精靈的祕密現下許多網吧、學校單位機房為了不使硬碟數據被破壞，都非常明智的選擇還原精靈，它除了功能非常強大外，最重要的就是價格便宜而且無需添加硬體設備，可以說是非常方便。
那么它究竟是如何對數據進行還原保護的呢？
首先是安裝，在系統中安裝成功后它會提示你重新啟動，重啟自檢成功並從硬碟啟動，還原精靈便會提示你正在安裝讀取，加裝內核程式完畢，稍候一般會順利進入系統（多啟動則會出現啟動菜單），在進入WINDOWS環境后，它的藍色圖標會出現下右下托盤裡，有些人將參數設置為“自動還原”並且在啟動Windows時將它刪除，就會給人造成未安裝的“假象”，這會使許多初學人莫不著頭腦，
為什麼自己的東西總是沒法保存呢？還原精靈在硬碟上駐留以後，就可以對數據進行保護，如圖

天殺孤星

當需要還原時就可以對在安裝時預先設定的保護分區進行還原，如果認為被修改的數據無需還原，那么就可以用轉存命令重新創建還原點（要求無病毒，系統無損壞），這種功能可以大大減輕管理員的工作負擔。因此它具有一些眾所周知的優點︰純軟體設計，佔用硬碟空間小，Windows 環境下安裝，不會與硬體發生衝突，兩種快速安裝保護模式，保護多達30個邏輯盤，動態使用硬碟空間，系統速度影響較小，提供還原 CMOS 功能，內部動態分發保留空間，MS-DOS 和 Windows 兩種模式進行系統設置，保護多個作業系統，支持分區工具製作的多重開機環境等。可是一些缺點卻鮮為人知，如僅支持 NTFS、FAT32、 FAT
16 文件系統格式，這個缺陷會使一些使用非微軟作業系統的愛好者非常失望，同時這個缺陷還會使在不同的文件格式下會產生無法保護的現象，例如將FAT32格式轉化為FAT16時會出現無法保護的情況。還有還原精靈對某些BIOS的不支持，這就導致許多電腦更本無法安裝，不過2002版已經作了不少改進。
還原精靈保護的對象有限，不過比起2002版它可以保護系統和任意其它分區，不過但是如果還原出錯，仍會導致無法啟動和文件目錄丟失。還原精靈保護的硬碟容量不是無限的，一旦發生數據溢出而尚未保存，就會直接造成數據徹底丟失。還原精靈依附與作業系統存在，如果刪除或添加系統，它就無法還原,甚至會造成分區丟失，數據破壞等。最致命的缺點就是它對硬碟的倚賴，就和病毒的情況類似，一旦離開了特定的介質就不能存活一樣。
如果你的還原精靈密碼丟失，可以透過以下途徑嘗試解決︰
1、找到安裝光盤，在TOOL目錄下有一個readpwd.exe程式，這是遠志公司為用戶提供的讀迷程式，記下讀出的20個字元串然後與他們聯繫，或者找高手破解算法就可以找回密碼了（注︰初始為[D0][0B][CF][F2][F1][CC] [CB][CE][CD][F8]）。
2、製作啟動盤或從光盤啟動，進入Windows后，你會發現托盤中的還原精靈圖標已變為紅色如圖

天殺孤星

然後營運卸載程式，默認路徑為C:Program FilesYuanZhiRecovery GeniusWin9Xunlnst.exe，此時會詢問“該程式將移除還原精靈，您真的要移除嗎？”選擇“確定”后會出現(如圖)

天殺孤星

並提示可能是當前您的系統工作在 16 位的兼容模式下，不管它，重新啟動吧，一般會成功。如果是多系統，雖然不會馬上移除，不過密碼已被初始化為12345678。如果你是個人用戶，筆者提倡大家最好這樣做。  
3、現下有許多對硬碟和內存進行分析的軟體，如D iskedit、Winhex、就連遊戲修改軟體也可以，看到下面這副圖了嗎，它是在密碼填錯時才有的，如果在此時對內存進行分析，從錯密碼開始查找，相信你會有意想不到的斬獲。這種方法在網上披露得很厲害，遠志下一版不知道還會不會存在此BUG。
4、 還有一種方法類似于破解還原卡，在啟動時按F5+shift，進入DOS實模式，
-debug
-a 100
-xxxx:xxxx xor ax,ax
-xxxx:xxxx int 13  
-xxxx:xxxx int 3
-t
不斷重複跟蹤，直到出現F000︰1234為止，這時可能當機 ，我們只要記下這個位址即可。繼續運用DEBUG，
-d 0000:004c
12 34 56 78
-a 7856:3412 jmp f000:1234
-q
如果當機，估計是F000︰位址有誤，必須重新跟蹤，最後用WIN加載windows，在windows下，營運移除程式（類似第二種）即可。
以下幾種方法不能刪除它︰從硬碟啟動后，1、格式化硬碟或刪除系統文件，在windows 環境下從自啟動中刪除后再刪除yuanzhi文件夾下的所有文件和系統文件夾IOSUBSYS下以yz開頭的兩個vxd文件，3、在windows或Dos下用磁片編輯軟體改寫分區訊息和引導程式數據，4啟動到安全模式下營運刪除程式，儘管提示刪除但並不會成功，5、只在一個系統安裝，試圖在其它系統刪除。

天殺孤星

安裝方法
  
(一) 硬體版
  
目前市面上流行的軟體保護硬碟數據的方法有︰捷波主板自帶的恢復精靈和台灣遠志公司開發的Recovery Genius5.0或2002等版本的還原軟精靈件兩種類型，其工作原理差不多。 　　在安裝恢復精靈時，透過修改主引導區的引導程式代碼，在計算機啟動系統時先加載自身的恢復精靈程式，然後駐留內存。恢復精靈的安裝類似以前的在硬碟主引導區駐留的病毒，只不過病毒是起破壞作用，而恢復精靈是起保護作用。
這兩種軟體，主板在BIOS中自帶的安裝與卸載比較方便一些，可以隨時使用，隨時卸載。例如捷波主板自帶的恢復精靈模塊只是一段程式，所以它自帶的恢復精靈也可以用在其他牌子的主板上。你可以從具有恢復精靈功能的BIOS代碼中剝離恢復精靈模塊，使用CBROM和AWDFLASH這兩個命令把它寫到你的主板的BIOS晶片裡就可以了。
1.利用AWDFLASH或其他BIOS刷新工具把帶有恢復精靈功能的代碼從主板上備份下來。對于使用DOS下的AWDFLASH BIOS刷新工具比較生疏的朋友，可以使用WINFlash命令或者使用一些主板BIOSFLASH工具進行讀取。下圖是技嘉主板自帶的BIOS刷新工具，能夠同時顯出Flash晶片的型號，容量，主板的型號，使用比較方便，只不過是英文的。
2.利用CBROM命令把恢復精靈功能模塊 STDP.DAT剝離出來。注意︰ CBROM有2.01版和6.06版，其中6.06版適用于AWARD BIOS 6.00以上的版本。要不然就可能看到如下圖所示的訊息。
我們可以先用CBROM 618AS.BIN /D命令來查看618AS.BIN文件中的內容，也就是BIOS代碼中的內容模塊，其中第9個文件名字為STDP.DAT的就是恢復精靈模塊。 如︰CBROM 618AS.BIN /ISA EXTRACT，然後系統會提示“Enter an extract file Name: (STDP.DAT)”如果需要改名，直接輸入新的文件名后返回；如不改名，直接返回就可以了。如下圖所示。
3.再利用CBROM命令把STDP.DAT模塊添加到需要增加恢復精靈功能的BIOS代碼中。注意︰新添加功能的BIOS晶片需要有足夠的空間來存儲恢復精靈模塊，否則刷新后將可能不能啟動你的電腦。
如︰CBROM OFFICE.BIN /ISA STDP.DAT 在添加時最好先檢查一下你的BIOS晶片的空間是否夠，否則就會出現上面的提示訊息，提示ROM中沒有足夠的空間[IMG] 成功添加后的Office.bin中內容顯示。 有的主板可能無法添加STDP.DAT模塊，這時可到網上下載解密的模塊進行添加試一試。
4.使用AWDFLASH命令把更新過恢復精靈模塊的BIOS代碼寫入BIOS晶片中。在寫入之前，就先把FLASH晶片的寫保護開關設為允許寫。有的主板的開關在CMOS裡面設置，有的直接在主板上使用跳線設置。如果在寫保護為允許的情況下直接寫有時會出現寫入關態條和提示訊息都表明已經正常寫入，但是重啟后發現仍為原來的BIOS內容；有時會出現不允許寫的警告訊息。
執行“AWDFLASH Office.bin”命令就會出現如下的提示訊息，系統會提示你是否保存舊的BIOS內容，按“Y”表示確定，按“N”表示放棄，系統會再提示是否真的要刷新BIOS，按“Y”表示確定，系統就開始更新FLASH晶片中的BIOS內容了。
5.重新啟動電腦，如果在硬體配置表下方出現“Press Ctrl+R to enter Recovery Genius”就表示你已經成功添加了恢復精靈功能，這時你就可以按“CTRL＋R”鍵進入設置菜單，來安裝恢復精靈和設置密碼了。當我們加載恢復精靈程式后，該程式就駐留內存，對硬碟數據起保護作用。這時你的主板也就具有了和捷波主板一樣的恢復精靈功能﹗
注意︰在對BIOS代碼進行操作時，一定要謹慎，不要造成錯誤。因為BIOS如果刷錯了，你的電腦可就起不來了﹗
  
(二) 軟體版
  
對于使用軟體安裝版的還原精靈，在軟體安裝的同時，程式會修改主引導區的引導程式代碼，同時對分區表內容進行改寫，還有當前活動分區的引導區內容。該軟體因對分區表進行加密處理，把分區表加成邏輯鎖狀態，這時的硬碟只能從自身啟動，無法從軟碟和光盤啟動，也不能掛接在別的系統上啟動。只要從光盤和軟碟或別的硬碟啟動，就會出現鎖死現象，表現為︰當啟動計算機后，也能夠在CMOS裡找到硬碟，但是當顯示系統配置表后，在出現“Verifying DMI pool data..........”訊息時，就只能看到游標閃爍，系統無法啟動。
軟體版的還原精靈，其加密方法和防破解設計的相當完善。該軟體在安裝時先把原0道0面0區的內容搬移到隱藏磁道的第9扇區，再把自己的代碼寫入0道0面0區和該磁道后序的若干扇區中，同時把分區表加密成邏輯鎖狀態，還對當前活動分區的引導區內容進行修改。並且軟體版還原精靈的程式代碼編寫比較完整，它可以對自身的代碼完整性進行檢測，如果代碼不完整，就會自動修復被破壞的代碼。如此處理的目的是︰
1.如果沒有密碼，該硬碟將無法讀出。因為該軟體把硬碟的分區表內容加密成邏輯鎖狀態，該機只能透過這個硬碟啟動，不能透過光軟或掛接在的別的主機上啟動。通常的做法時，將硬碟分區表中偏移位址BE－BF處內容“80　01”改為“80　00”，再把偏移位址C2處的“0B”或“0C”改為“05”。只要做如此處理，這個硬碟就被“鎖”了﹗
2.如果你只使用FDISK/MBR命令來修復主引導區，來試圖去除還原精靈時，也可能是主引導區的代碼內容被意外破壞時，只要電腦重新啟動，計算機啟動到當前活動分區時，這一段的還原精靈代碼就會發現主引導區的代碼內容已經被改動，這時就會把該扇區的內容自動還原為還原精靈的代碼，使FDISK/MBR命令失效。
  3.如果只對活動分區處理，比如使用“SYS X: C:”命令來修改引導扇區的內容或者使用“Format c: /s/u”來格式化硬碟，一旦重新啟動電腦，主引導區的還原精靈代碼就會首先獲得主機的控制權，檢測其自身的完整性，如果發現當前活動分區的引導區的內容被改動時，就會自動修復，使我們的破解方法失效。
  
還原精靈的去除與破解
  
  還原精靈的密碼是存儲在硬碟的隱藏扇區中，並不是保存在CMOS中，所以想用放電清CMOS的方法來去除還原精靈的密碼是沒有用的。軟體安裝的還原精靈有時必須有密碼才能進入作業系統，沒有密碼分區都看不到。 如果要徹底去除還原精靈，有如下幾種方法︰
  1.對于密碼沒有丟失的，直接輸入密碼選擇卸載就可以了。另外，還原精靈的默認管理者密碼為12345678。
  2.對于密碼丟失的，但是軟體沒有對分區表加密的，可以進行如下操作︰ 從光盤啟動電腦，在A︰ gt;下使用FDISK/MBR命令，修復主引導區。 如果是WIN9X系統時，先把C盤的MSODS.SYS文件改名做備份。 使用SYS A︰C︰命令對C盤傳送系統文件。 在把MSDOS.SYS文件刪除后，把第二步做的備份改為MSODS.SYS即可。如果直接使用軟碟的MSDOS.SYS文件（大小只有6個位元組），系統在啟動時會提示HIMEM.SYS文件丟失，只能進入提示符狀態，不能進入桌面。  
3.對于密碼丟失並且軟體對分區表進行加密處理的，只有先去除邏輯鎖后，才能再去除還原精靈。具體邏輯鎖的解法，在這裡就不介紹了，以前我們有專文講解。
  4.如果能夠獲得密碼，那就可以輕鬆破解了。我們可以去“天極下載站”下載一個名叫WinHex的軟體，這個軟體不用安裝就可以使用。點擊“還原精靈”的圖標選擇”設置參數“，再選擇更改密碼，在原密碼處亂輸幾個字符，在新密碼處輸幾個自己熟悉的字符（這幾個字符一定要記住，這很重要的。）。接著再按確定，系統會提示密碼錯誤。不管他，也不要再按確定，接著打開剛才我們下載的那個軟體winhex。這時你會發現那裡有很多文件。只要打開倒數第2個后綴為.exe的應用程式，然後選擇tools→ram ediutor→hddgmon→primary memoty→ok→，就可以了。現下就是我們要的頁面→search→find text→輸入你剛才設置的那個新密碼，再按返回鍵。OK，你就可以在右邊看見你的新密碼，那上面的后綴為.dmb的就是原密碼。  
5.還有一個軟體可以在DOS下讀取還原精靈密碼軟體（天極下載站） 該軟體是還原精靈密碼讀取工具，不可用于NT內核的作業系統，可營運于純Dos，適用于還原精靈的各個版本。在操作過程中，如時遇到密碼中存在不可見字符時，可進入命令提示符狀態，用輸出重定向符“ gt;”將程式的輸出的結果輸出到一指定的文本文件中，再打開該文本文件，複製文件中的“password”即可。如讀取不成功，請重新啟動計算機再次營運﹗  
6.附帶說一下最簡單的方法，就是對硬碟使用LFORMAT或DM進行低格，就什麼密碼都沒有了，但是你的數據也沒有了。 鑒于你說低格也沒有用,可以判定是硬還原!解決辦法:刷BIOS.

天殺孤星

如何用DEBUG破解保護卡、還原精靈  
  
硬保護卡和還原精靈的工作原理都是改變INT13的入口位址，來實現寫入硬碟前的一些特殊操作。所以我們只要在內存中找到保護卡、還原精靈的特殊操作入口位址，也就是實際中發生INT13的入口位址，重新指向INT13原始位址就可以了。好了，我們開始。啟動機器后進入DOS，執行DEBUG
  
c:debug
  
-a 100
xor ax,ax
int 13
int 3
  
用t命令單步執行，找到F000:xxxx[比如F000:1234]，記下xxxx-e 0:4c xx xx 00 F0[比如-e 34 21 00 F0]重啟，這次重啟就是沒有保護卡、還原精靈等保護的WINDOWS。下次僅僅執行-e 0:4c xx xx 00 F0[比如-e 34 21 00 F0]就可以了。xxxx同一機器不變。
  
(以上操作破解還原精靈5透過)