好了，言歸正傳。冰點6在正常安裝的情況不會改寫主引導(dǎo)扇區(qū)，只會在硬盤建立以下文件：
1. x:\Program Files\Faronics\DF5Serv.exe
2. X:\Program Files\Faronics\_$Df\FrzState2k.exe
3. X:\$Persi0.sys
4. X:\windows\system32\drivers\DeepFrz.sys
5. X:\windows\system32\LogonDll.dll
程序介紹：
1. DF5Serv.exe 冰點的服務(wù)程序，它添加在XP的服務(wù)列表中，注冊表中加載位置為“[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DF5Serv]”
2. FrzState2k.exe 界面程序，系統(tǒng)托盤中的圖標(biāo)就是它。可惜我在系統(tǒng)中可能啟動程序的地方找了個遍都找不到它是怎么啟動的。在網(wǎng)上我看到有的人說它是由DF5Serv來間接啟動的，開始我也是這樣認(rèn)為，但現(xiàn)在我看至少還須要另外一個條件，因為有很多朋友的圖標(biāo)不再出現(xiàn)，但DF5Serv仍在好好的運行著。有一個可以肯定,只要你DOS下運行過“FDISK /MBR”（重寫主引導(dǎo)記錄），重啟后它馬上不再出現(xiàn)，而且熱鍵也同時失效：它不運行了！此時DF5Serv卻仍在運行。而且同時開始保護(hù)所有分區(qū)。但我比較過重寫前和重寫后的主引導(dǎo)記錄，沒什么變化，只在41字節(jié)處如果為00即改為01，01就改為00，但即使還原了主引導(dǎo)記錄，它也不再出現(xiàn)，點擊運行它圖標(biāo)也不行，而且我安裝冰點時特地開啟了主板的主引導(dǎo)記錄防寫功能，沒有出現(xiàn)過寫主引導(dǎo)報警。因為我裝的是雙系統(tǒng)，Ｃ：ＷＩＮ９８ Ｄ：ＷＩＮＸＰ，我是ＸＰ中裝的冰點，所以我進(jìn)而懷疑會不會和Ｄ盤的0扇區(qū)有關(guān)，但粗略查看了一下，也沒有什么發(fā)現(xiàn)（郁悶）�，F(xiàn)在懷疑是我對"FDISK /MBR"的了解還還夠，可能是該程序除了重寫主引導(dǎo)記錄外還有其它的動作，而這個動作恰恰就將FrzState2k的運行條件破壞了。
3. $Persi0.sys 還原用的文件。
4. DeepFrz.sys 注冊表中加載位置為[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DeepFrz]，最關(guān)鍵的東東，工作于系統(tǒng)最高級，不能被結(jié)束，在任務(wù)管理器中也看不到，但可以用IceSWord看到它在XP的內(nèi)核模塊中。文件倒是有辦法刪除，不過在注冊表中的服務(wù)項末刪除前就刪除它會給你帶來惡夢。因為它在開機(jī)時已接替（過濾監(jiān)控）了系統(tǒng)的磁盤管理、卷偖存管理、鍵盤、鼠標(biāo)，在注冊表中你可以看到
磁盤驅(qū)動器的鍵值由正常的
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E967-E325-11CE-BFC1-08002BE10318}\UpperFilters=PartMgr
更改成了
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E967-E325-11CE-BFC1-08002BE10318}\UpperFilters=DeepFrz PartMgr
鍵盤也由
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\UpperFilters=kbdclass
改成
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\UpperFilters=DeepFrz kbdclass
鼠標(biāo)和其它指針設(shè)備由
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96F-E325-11CE-BFC1-08002BE10318}\UpperFilters=mouclass
改為
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96F-E325-11CE-BFC1-08002BE10318}\UpperFilters=DeepFrz mouclass
存儲卷由
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}\UpperFilters=VolSnap
改為
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}\UpperFilters=DeepFrz VolSnap
雖然就這幾個，但看了上面我想不用說你也猜到了，你對硬盤的任何存取操作都已經(jīng)在冰點的掌握中了，都必須經(jīng)過它，再傳到系統(tǒng)的驅(qū)動。所以你在進(jìn)入XP后對受保護(hù)硬盤的所有操作都只不過是一個假象，比如你在受保護(hù)的盤中建立了N個文件，將XP的所有系統(tǒng)文件刪除個干凈等等（如果系統(tǒng)不阻止你的話），但所有的這些都是冰點給你看的戲，在受保護(hù)的盤里其實什么都沒變。至少你建立的文件并沒有在你看到的位置，你刪除的文件實際上也并沒有刪除，不信你可以試試，先建立及再刪除幾個文件后馬上按機(jī)箱上的“RESET”重啟系統(tǒng)，這樣就算冰點巨歷害也不可能在這么短的時間將你動過的文件恢復(fù)。然后從光盤啟動進(jìn)入硬盤找找看，保證硬盤中什么都沒有變過。如果你用光盤啟動在DOS下刪除了它（這個可以，因為只要你不進(jìn)入XP，冰點就不起作用）。那么會在開機(jī)時因為找不到系統(tǒng)設(shè)備而出藍(lán)屏，連安全模式都進(jìn)不了。它的工作就是將用戶在受保護(hù)分區(qū)的所有操作變成假象。不過它不知道該保護(hù)哪個分區(qū)（呵呵），得FrxState2k.exe告訴它，否則就將所有分區(qū)都保護(hù)起來（呵呵，想得還挺周到的）。即使你將前面的1、2、3文件全部刪除，只要有它一個，你的所有分區(qū)還會被牢牢保護(hù)著。所以如果托盤圖標(biāo)不見了常常會伴隨著所有分區(qū)都被還原保護(hù)。而且也不能正常卸載，雖然會出現(xiàn)正常卸載的畫面。
5. LogonDll.dll 也是它的，不過我不知道是什么作用的。
經(jīng)過前面的分析可以看到，只要你不進(jìn)入XP系統(tǒng)，系統(tǒng)還原功能就不起作用，也就是說你可以在其它系統(tǒng)中對所有的分區(qū)進(jìn)行任何修改而不用擔(dān)心被還原，所以如果你以前做過Ghost的備份，那你只要用光盤啟動GHOST一次就行了，條件是你的備份是在安裝冰點前做的，如果你的備份是在安裝冰點后做的，而且此時你的冰點圖標(biāo)也不見了，那么即使你還原了備份，那圖標(biāo)也不會出現(xiàn)。
但如果你沒有做過GHOST備份，或系統(tǒng)盤中有很多東東不想失去，而且托盤圖標(biāo)也搞不出來了，那就只好用一個折衷的辦法了。這一招對于忘記了密碼或其它一些你想去掉冰點而又不想破壞硬盤數(shù)據(jù)的情況都適用。
因為冰點是在XP的注冊表中加載的，那么我們就可以從注冊表中想辦法了。先準(zhǔn)備一張可以啟動DOS的系統(tǒng)盤，光盤也行，而且要保證有ATTRIB這個程序，其它就不用了。從光盤啟動進(jìn)入DOS，輸入：
attrib -h -r -s C:\windows\repair\*.* ’將該目錄下所有文件的隱藏、只讀、系統(tǒng)屬性去掉，“C”為你的XP安裝盤盤符，你的XP在D盤就將C改為D，下同
attrib -h -r -s c:\windows\system32\config\*.* '將現(xiàn)在的注冊表文件各屬性去掉
md c:\config '在C盤下建立一個名為“CONFIG”的目錄
copy c:\windows\system32\config\*.* c:\config '先備份舊的注冊表文件，已免有意外時可以恢復(fù)，當(dāng)然你也可以不做這一步
copy c:\windows\repair\*.* c:\windows\system32\config '出現(xiàn)確認(rèn)時再按“y”，將系統(tǒng)的原始注冊表覆蓋掉現(xiàn)在的注冊表
好了，重啟電腦后進(jìn)入XP冰點就不會再運行了，有空的話將剛才說到的冰點文件刪除，懶得動的話留在那里也行，不會有什么影響的。這樣做的唯一缺點就是可能有個別的程序運行不了，但絕大部份還是可以運行的，對運行不了的程序，只要重新安裝一下就行了，因為文件還在那里，只是注冊表中沒了注冊項目，所以一般的安裝速度奇快，對于微軟自帶的那個播放器，則有可能要把“C:\Program Files\Windows Media Player”目錄下的文件刪除再重裝才行。不過這樣總比動不動就來個分區(qū)格式化好。
當(dāng)然，如果你有U盤或硬盤的其它分區(qū)還沒有被保護(hù)，那情況就要樂觀很多。先進(jìn)入注冊表，將上面提到的冰點的兩個注冊鍵值刪除，再將被修改的鍵值改回來，然后將整個注冊表導(dǎo)出，保存到冰點沒保護(hù)的地方，再按剛才的操作還原原始的注冊表，開機(jī)后再將剛才導(dǎo)出的注冊表導(dǎo)回去；或者進(jìn)入XP的故障控制臺（可從安裝光盤進(jìn)入或已安裝控制臺的直接進(jìn)入），直接在控制臺下導(dǎo)回去。呵呵，這樣就完美得多了，除了冰點沒運行，其它什么都沒變。記住了，除了在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet鍵值下有，在HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002和HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001下都有相同的內(nèi)容，要全部刪除和修改。
另外，如果你在C:\windows\repair目錄沒有找到原始的注冊表文件，情況就不同了，這個如何解決我還沒試過，自己想辦法吧。當(dāng)然如果你在沒裝冰點前有GHO備份，可以用GHO直接還原，或從GHO備份中提取注冊表文件再按剛才的辦法做。
喜歡 
頂
難過
囧
圍觀
無聊
