电脑运行速度越来越慢、频繁弹出陌生弹窗、系统出现各类异常故障——遇到这些问题，很多人第一反应就是：重装系统。这确实是个好办法，对付大多数软件层面的毛病，这一招往往立竿见影。
图1 GHOST备份恢复你掌握了吗
说到重装系统这件事，现在已经比过去简单太多。一张系统安装盘或者一个PE系统，基本就能让新手轻松搞定。再偷懒一点，直接用GHOST系统，还原一个定制好的系统镜像，省时省力。如今还有各种各样傻瓜式的GHOST备份恢复工具，操作门槛几乎降到了零。但问题来了——这些“便民工具”里面，真的干干净净吗？
图2 傻瓜式GHOST工具操作界面
回顾一下早几年的装机流程：你得先搞一张启动盘——软盘或光驱都行，然后引导系统进入DOS环境，接着用DOS命令格式化C盘，再进入Windows安装目录，根据系统版本执行相应的安装程序。整套操作下来，重装系统确实算得上“技术活”。
图3 DOS环境你还熟悉吗
现在不一样了，用户直接拿系统安装盘——不管是光盘还是用安装镜像制作的U盘——就能引导电脑启动，跟着提示一步步操作即可。DOS下那套早就淘汰了，取而代之的是Windows PE系统。图形化界面，整个操作直观了太多。
Windows PE，全称Windows Preinstallation Environment，也就是Windows预安装环境。它基于Windows XP Professional及以上内核，以保护模式运行，是一个带有有限服务的最小Win32子系统。简单来说，就是一个简化版的Windows。它的功能虽然精减，但运行安装程序、连接网络共享、自动化基本流程、执行硬件验证这些核心任务都能胜任。
图4 PE系统你用过没
Windows PE最大的优势就是能引导电脑启动并进入图形界面，而且可以装到光盘或U盘这类移动存储器里。如今很多技术人员都会在U盘里备一个PE系统，再塞上GHOST、DiskGenius、数据恢复软件、密码破解工具、杀毒软件等等，既是维护工具包，又是临时的Windows环境。
市面上比较有名的网友DIY版PE系统还真不少：深山红叶、大白菜、通用PE、老毛桃……普通用户下载回来装进U盘，就能得到一个随身携带的PE系统，重装、备份、修复操作系统都不在话下。而大多数用户拿PE系统来干嘛？主要就是备份和恢复系统。
图5 深山红叶你还记得吗
可不知道从什么时候开始，论坛上就陆续有网友反映：用这些DIY版PE系统恢复系统后，IE浏览器主页莫名其妙被改了，还自动装上了其他软件。这到底是真的假的？今天我们就来实际测一测。
我们挑了几款目前市面上比较流行的PE系统，逐一测试：使用它们自带的傻瓜式GHOST备份恢复工具来还原GHOST系统后，到底会不会擅自修改浏览器主页、捆绑安装额外软件。
测试环境及操作
先用DOS安装方式装一个纯净版Windows XP。安装文件来自官方ISO解压后的原始文件，未经任何修改，不装其他软件，驱动也用原版，浏览器主页保持默认设置。然后在DOS环境下启动Norton GHOST，做一个纯净的GHO备份文件。接下来，用各个PE系统分别恢复这个GHO文件，检查浏览器主页有没有被篡改。每测完一个，就回到DOS下用Norton GHOST重新恢复纯净版GHO，再测下一个。
图6 Norton GHOST经典工具
Norton GHOST功能确实强大，但操作稍显复杂，界面也不太友好，一不小心就可能误操作，导致整个硬盘数据灰飞烟灭。所以有网友制作了傻瓜式GHOST工具，你只需要指定GHO文件路径——有些工具甚至能自动扫描硬盘里的GHO文件——再选好要恢复到哪个分区（默认是C盘），点击恢复按钮，剩下的自动完成。确实方便快捷。
参评PE系统列队
测试正式开始。我们选取了以下六款比较流行的网友DIY版PE系统，全部从官网下载安装文件：大白菜U盘启动制作工具V5.1 uefi启动版；老毛桃装机版20140501；电脑店超级U盘启动盘制作工具V6.2装机版；通用PE工具箱V6.1版；天意U盘系统2015元宵版；微PE工具箱1.0。
坦白说，这几款经典DIY版PE系统，有些可能早就不是原作者的版本了。想找真正原汁原味的经典版，还不知道上哪儿淘去。
制作U盘启动PE有奥妙
用老毛桃制作U盘PE系统很简单，基本上一键搞定。它支持多种启动模式，也支持个性化设置——这里头可有玄机。为了测试的一致性，我们都采用默认设置制作PE系统。大白菜的制作过程同样一键搞定，也支持多种启动模式，个性化设置里同样藏着点东西。电脑店的情况跟前两个类似，个性化设置里也有门道。
图7 老毛桃PE系统制作界面
图8 大白菜PE系统制作界面
图9 电脑店PE系统制作界面
天意制作U盘系统也不复杂，同样有多种启动模式可选，但不支持个性化设置。不过它的提示有点让人摸不着头脑——制作过程中显示“正在整理UD分区”，接着又提示“已经成功创建启动分区，建议您将您的磁盘设备安全弹出后再插入继续操作”。按照这个提示，给人的感觉是“刚刚只是创建了启动分区，接下来得把U盘弹出再插回去，继续完成PE系统的写入”。实际上PE系统已经制作完成了。这个提示让笔者反复操作了好几次——直接说“制作完成”不好吗？
图10 天意PE系统制作界面
图11 显示正在整理UD分区
图12 有点坑的提示信息
微PE的兼容性有待改善，制作时要么提示某个程序停止运行，要么直接找不到U盘。后来去官网找了解决方法：需要启动Windows兼容模式。它也有多种启动模式可选，不支持个性化设置。
图13 微PE系统制作界面
图14 启动兼容模式才能识别U盘
通用PE也一样，一键制作，多种启动模式，不支持个性化设置。
图15 通用PE系统制作界面
PE界面及傻瓜式系统恢复工具
老毛桃为用户提供了傻瓜式的系统安装、备份、恢复工具，支持WIM、ISO和GHO格式，可以装系统。它的GHOST功能会自动扫描硬盘里的GHO文件，用户只需确认要恢复到哪个分区就行。高级选项里藏着赞助商主页的开关。大白菜的情况一模一样——傻瓜式工具、多格式支持、自动扫描GHO、一键恢复，高级选项里同样藏着赞助商主页。电脑店也是这个套路，毫无例外。
图16 老毛桃PE系统桌面及傻瓜式GHOST备份恢复工具
图17 大白菜PE系统桌面及傻瓜式GHOST备份恢复工具
图18 电脑店PE系统桌面及傻瓜式GHOST备份恢复工具
这三款PE系统相似度极高，让人怀疑是不是出自同一个作者之手。
天意PE同样提供了傻瓜式GHOST备份恢复工具，不过换了一种实现方式。启动时可以选择一键恢复或手动操作，自动恢复工具支持自动备份或还原系统。
图19 天意PE及GHOST备份恢复工具
通用PE工具箱提供的是“智能快速装机”工具，同样支持WIM、ISO和GHO格式，能自动扫描硬盘里的GHO文件。不过它的高级选项里没有取消赞助商的选项，反而多了另外两个软件的安装选项。
图20 通用PE工具箱及智能快速装机
微PE直接提供了GHOST一键备份还原工具，同样傻瓜式操作，用户选择要恢复的分区，一键执行。
图21 微PE及GHOST一键备份还原工具
实测：到底谁家的系统最干净？
接下来进入真正的重头戏：用这些PE系统内置的傻瓜式GHOST工具，恢复我们事先准备好的纯净Windows XP GHOST备份文件，然后观察恢复后的系统到底发生了什么变化。
图22 纯净版XP桌面展示
图23 纯净版XP启动项状态
测试结果列表
| 参评PE | 是否修改主页 | 是否安装软件 | 其它情况 |
|---|---|---|---|
| 大白菜 | 修改主页 | 安装360系列 | 暂无发现 |
| 老毛桃 | 修改主页 | 安装360系列 | 暂无发现 |
| 电脑店 | 修改主页 | 安装360及火绒 | 暂无发现 |
| 通用 | 修改主页 | 暂无发现 | 桌面添加快捷方式 |
| 天意 | 暂无发现 | 暂无发现 | 暂无发现 |
| 微PE | 暂无发现 | 暂无发现 | 暂无发现 |
图24 大白菜在开始菜单启动项添加的VBS文件及其内容
图25 大白菜PE恢复系统后自动安装360系列软件
图26 大白菜PE恢复系统后修改浏览器主页
图27 老毛桃在开始菜单启动项添加的VBS文件及其内容
图28 老毛桃PE恢复系统后自动安装360系列软件
图29 老毛桃PE恢复系统后修改浏览器主页
图30 电脑店在开始菜单启动项添加的VBS文件及其内容
图31 电脑店PE恢复系统后自动安装360系列软件
图32 电脑店PE恢复系统后修改浏览器主页
图33 通用PE在Windows目录下替换和增加的文件
图34 通用PE恢复系统后修改浏览器主页
图35 天意PE恢复系统后暂无发现修改
图36 微PE恢复系统后暂无发现修改
揭秘：它们是怎么搞小动作的？
这些傻瓜式GHOST工具，无论是备份还是恢复，最终调用的还是Norton GHOST核心引擎。GHOST的原理可以理解为先把目标分区格式化再恢复系统。那它们到底是怎样在恢复完成后修改浏览器主页并安装软件的？
大白菜、老毛桃、电脑店这三家PE系统原理完全一致：当用户用它们的傻瓜式GHOST工具恢复系统时，恢复完成后，会自动在已恢复系统的Windows开始菜单启动项中添加一个随机命名的“.vbs”文件，同时在Windows目录下创建一个可执行文件（估计是负责修改主页并启动后续操作）和一个目录，目录里放着软件包。整个过程完成之后，这些文件会自动销毁——不销毁不行，杀毒软件可不会放过它们。
以大白菜为例：用它的“智能快速装机”工具恢复纯净版XP系统后，先不退出PE，直接查看刚恢复的系统目录，就能看到被悄悄塞进去的文件。等开机后浏览器主页被改、软件被装完，这些文件会自毁。
图37 大白菜所添加的几个文件
图38 大白菜在启动项添加的vbs文件及其内容
图39 相关文件被NOD32以病毒查杀
这些文件各自扮演什么角色？加到开始菜单启动项的VBS文件，作用很简单：系统启动后自动运行Windows目录下指定可执行文件。而那个可执行文件，负责修改浏览器主页并启动软件安装。Windows目录下那个目录里的文件，自然就是软件包了。
图40 Total Uninstall监控结果
用通用PE的“智能快速装机”恢复系统后，开始菜单启动项里没发现VBS文件，难道它是干净的？结果重启进系统后，浏览器主页照样被改了，桌面上还多了个Hao123的快捷方式。通用PE用了另一种更恶劣的修改方式。为什么说恶劣？因为它直接替换了Explorer这个系统文件。操作流程是：先把原系统的Explorer.exe文件隐藏，再创建一个同名的恶意程序。这个冒牌Explorer.exe在用户第一次进入桌面之前被自动执行，修改浏览器主页、在桌面添加Hao123快捷方式，然后自毁，接着把原版Explorer.exe恢复并重新加载。如果中间步骤出错了，或者用户事先把被篡改的Explorer.exe删了，那就连桌面都进不去了。
图41 被替换及增加的文件
图42 Total Uninstall监控结果
那么，在这些PE系统里手动操作GHOST，会不会也有问题？经过测试，手动执行GHOST恢复操作后，没有出现修改主页或安装软件的情况。基本可以确定，这些流氓行为都藏在它们的“智能快速装机”工具里。当然，谁也不能保证以后PE系统不会变本加厉——比如在启动PE时或关机前就直接动手。手动GHOST的操作步骤可以参考文末。
如何避免？
想避免恢复系统后被改主页、被装软件，最稳妥的办法当然是进PE系统后手动进行GHOST备份还原。如果实在要用自带的傻瓜式工具，那就要仔细检查设置。
以老毛桃为例：制作PE之前，先在“个性设置”里取消老毛桃赞助商的两个选项。不过取消修改主页那个选项，还得费点功夫——它要求你为它做宣传才能解锁取消选项。
图43 个性化设置界面
图44 取消的前提是需要为它宣传
图45 取消“绿色”软件选项
其次，进入PE系统后用它们的傻瓜式工具时，记得进入高级选项看看有没有相关的设置。
图46 高级选项中隐藏的奥秘
对于大白菜这种往开始菜单启动项塞VBS文件的陷阱，办法很简单：恢复完系统后别急着重启，就在PE系统里进到对应目录把那个VBS文件删掉，从源头上断掉它的自启动。但对于通用PE这种替换系统文件的方式，就不能单纯删文件了——你得从GHO文件里把原版Explorer找回来恢复上，否则一重启就进不了桌面了。
总结
从测试结果来看，参评的这几款用户量不小的DIY版PE系统，大部分都在傻瓜式系统备份恢复工具里动了手脚。用户一个不留神——没取消相关选项——恢复好的Windows就会被改掉主页、装上好几个软件。这些还算知名的DIY PE尚且如此，那些被恶意修改过的PE版本，里面的名堂可能更加恶劣。
如果确实需要用这类工具，制作PE时一定要记得取消相关的赞助商选项。而最理想的方式，还是进PE后手动执行GHOST备份恢复。当然，选一个相对纯净的PE系统——比如这次测试中没发现异常的天意和微PE——也是不错的选择。
有网友可能会说：那直接拿网友DIY的GHOST系统来装不就行了？实话实说，那些GHOST系统里预装的软件和流氓行为可能更多。想要真正纯净的系统，还是老老实实去MSDN I Tell You下载原版系统镜像来安装吧。
最后，纪念一下那块为了这次测试光荣牺牲的U盘。还有硬盘也挺可怜的——三天时间，承受了30多次系统GHOST恢复操作。
附：手动GHOST操作步骤（操作有风险，务必谨慎，选错选项可能导致整个硬盘或分区数据丢失）
GHOST备份系统教程：
图 Local→Partition→To Image（千万不要选DISK）
图 选择需要备份的硬盘
图 选择需要备份的硬盘分区
图 选择GHO备份文件存放位置
图 选择压缩方式（压缩越大速度越慢）
GHOST恢复系统教程：
图 Local→Partition→From Image（千万不要选DISK）
图 选择GHO文件所在位置
图 选择需要恢复的备份分区（通常默认即可）
图 选择需要恢复到的硬盘
图 选择需要恢复到的分区
图 确认恢复操作将清除目标分区的一切数据
