百毒不侵！將XP切換到防寫型態

EWF（Enhanced Write Filter，增強型寫入過濾器）是XP Embedded嵌入式系統中的一個強大組件，
4 ~2 c! K# q% M( o: M# W3 q8 b它被稱為微軟牌的「影子系統」，不僅可以保護作業系統不中毒，讓硬碟減少損耗，也可加快你的系統，
" c  `/ L& ]) {" O$ @尤其當硬碟讀取寫入速度不快時最為明顯，可謂雙效合一的好功能！目前電腦系統的瓶頸，
正是卡在最末端的硬碟機I/O效能，而EWF把硬碟讀取轉移到RAM上便能達到加速效果。

而由於系統核心是在記憶體中執行，無論突然斷電、震動或是病毒入侵都不會對系統造成傷害，因為任何的變更都是在暫存的記憶體中執行，並未寫入硬碟之中，重開機（斷電）後不會留下痕跡，一切都回復原狀，所以即使中毒也沒有關係。而需要將變更的內容寫入儲存裝置時，也可暫時解除EWF保護，等寫入完成再變成唯讀系統。

, X% @2 p& C# i+ x6 t% }9 y9 `

▲EWF的工作原理，就是把系統的變動都記錄在RAM上，而不寫入硬碟（除非使用者要求），所以能讓XP變成防寫的狀態。但是如果RAM本身不足夠的話，對於效能會有反效果。
: l/ O' s7 `+ K3 A. ~, L# A5 B
! d& U" \9 o1 R! f0 z※EWF的應用方式簡介
EWF是什麼？簡單的說它就是讓磁碟變成「唯讀」、「防寫」狀態。EWF可以安裝在一般的硬碟上，讓你目前的作業系統變成唯讀保護；而你也可以利用多重開機工具，先在硬碟裡裝上第二個XP系統，再把EWF裝在這個系統上，如此一來即能保有平常工作用的系統，又有第二個分身影子系統做為測試環境。

# |1 T* l3 e0 c4 j" k& e1 X: V當然囉，你也可以先把XP安裝在USB隨身碟上，並且設定讓它可在任何電腦上開機運作，然後再加上EWF，於是這支可攜式的XP隨身碟就會變成超強的救援工具，即使拿到其它電腦去開機、救檔，也不怕隨身碟裡的系統中毒或被更改。

不過把XP上裝了EWF後，預設都會禁止寫入檔案到系統裡頭，如果像防毒軟體要更新定義檔、或是你想永久安裝某個軟體進去時該怎麼辦？放心，EWF也可透過指令暫時解除保護，把記憶體的內容真正存入系統之中，非常具有彈性。

※Note：
一般不會將自己平時工作用的系統裝上EWF，否則不小心你打的報告作業都沒有真正存檔。所以裝在第二個系統、或裝在USB XP隨身碟上是最好的應用。

而尤其，當XP系統裝在隨身碟上時，一般隨身碟的平均寫入速度都只有10MB/s或更低，會拖慢電腦整體效能。筆者實驗的2GB隨身碟由於寫入速度只有4MB/s，XP在上面的運行速度慘不忍睹。而藉由EWF元件可以讓隨身碟開機後把XP核心都載入到記憶體裡頭，透過減少硬碟寫入來保護硬碟、加快速度。這是在USB隨身碟、或CF卡上安裝作業系統的玩家必備的好工具，像EeePC就可以這樣應用，把XP裝在記憶卡又不拖慢速度。

3 s0 ?7 t7 h: a※如何取得EWF：
EWF包含在微軟提供的「XPeSP2FeaturePack2007」工具套件中，可至「http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=16958」
下載後，從裡面提取出 ewf.sys、ewfntldr 以及ewfmgr.exe 這 3 個小檔案來使用。
# L" w8 b- Z3 @" k2 s' |7 Z( ?

% x% P9 y5 K# qEWF(Enhanced Write Filter)是另一個XP Embedded所提供的強大組件，只能說是超屌的"有夠厲害"，
# J: j" _* Y; E# D0 r9 W( w+ i它不僅可以保護作業系統(說起來甚麼毒都不怕)，保護硬碟(或是其他儲存設備)還可以」非常明顯」的加速你的系統，
( C7 {& a0 K3 M5 F# L1 T, ~尤其當硬碟讀取寫入速度不快時。之前實驗在2GB的隨身碟上安裝XP時，
  X2 x  B! o! R. l  l7 E8 j2 c4 J由於該隨身碟並非Hi-Speed的讀取速度大概只有在10MB上下，當然寫入更是不要說了。

  S* x$ k) t" N' {( DEWF有許多不同的作用，而我主要是拿來做」唯讀系統」，當然，需要的時候還是可以暫時讓他便」非唯讀」。
8 J8 O2 w* f5 ?, v( t2 K開機速度沒甚麼影響，不過系統運作速度已經從」打開我的電腦要兩分鍾」進步到」用起來比7K2的HD順」，
- `4 @; O: t+ R, k  d而且還省下了一張還原卡!。相信許多在SD或CF卡上裝作業系統(XP)的玩家(eeepc玩家)都應該要試試看，
2 E4 D! ^' n! c* ]: ?, `尤其是USB隨身碟或是非高速記憶卡上裝的時候。除了加快速度以外，他更是保護系統的好幫手，
比甚麼還原精靈阿甚麼的都好用。
3 g$ M# w. P7 d0 a它可以在設定保護的磁碟機上加速並可以在關機前決定這個工作階段所對磁碟機上的」任何」檔案變更要不要保留。
5 J/ [9 u% P  s" D4 v- @

. a/ K! r4 }: _& A4 ^4 P在您安裝EWF之前為了要確定能有最佳的效能，請先禁用分頁檔(虛擬內存)及系統還原。
. `; r( c$ r7 D, g, Z0 k$ n在我的電腦上點右鍵>內容>進階>效能然後在虛擬內存的區域點更改並選擇禁用，我的電腦右鍵>內容>進階>系統還原>關閉系統還原。如果你用EWF啟動時XP一直出現要求還原，可以藉由刪除Windows
  H$ L2 u$ c. @2 S5 k6 U8 k" F目錄下的bootstat.dat來解決。
7 |- Q+ u/ m* S" Y' x& u- |: a要使用EWF你總共需要三個文件，分別是ewf.sys、ewfntldr以及ewfmgr.exe 這幾個檔案可以在和MinLogon
5 Z6 c( S4 c5 ~/ k同樣的地方找到。或是密碼為網誌帳號，
  W/ D& ~9 H9 g% x+ V2 _  {% A
, V+ R1 }  j! y" Y
5 _4 S' f9 X# E3 u: t/ @: h1.
把你系統根目錄下的ntldr檔案重新命名為ntldr.bak，如果看不到的話請在資料夾選項中勾選」顯示作業系統保護的檔案」
0 B' c; V7 \- ~4 p
9 Z3 y4 G* F: J7 {. Q

4 m$ d4 J. _  L4 w: q! w; B. |) a將ewfntldr複製到系統跟目錄並重新命名為ntldr
將ewfmgr.exe複製到Windows\System32 資料夾
* S1 U# f8 ?4 Z+ R將ewf.sys複製到 Windows\System32\drivers 資料夾
進入登錄表中照以下內容更改或是直接下載ewf.reg點擊後確認自動更改，出現權限的錯誤的話請參考下一點。

1. 
   
2. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Dfrg\BootOptimizeFunction]
   . w$ f, W2 ]: E
3. 
   
4. "Enable"="N"
   
5. 
   
6. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\OptimalLayout]
   & p3 w9 W  Z- l& @4 {9 d: A
7. 
   ( @+ A) B& ^4 D! b
8. "EnableAutoLayout"=dword:00000000
   5 R0 I* Z6 i$ B! w. c+ f% a: N
9. 
   
10. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem]
    . }' f' p2 N" k
11. 
    . _# _3 `$ W0 j# Q& D: D& Y2 p
12. "NtfsDisableLastAccessUpdate"=dword:00000001
    4 Y  z! N5 B4 l/ c
13. 
    
14. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory
    4 @5 M* F: Q; Q. ~) S) \8 z. G* \
15. 
    & A& A5 a7 {/ w2 C$ o$ g, u
16. Management\PrefetchParameters]
    , `8 i  p5 p( Z0 O6 f) _+ `% T( W
17. "EnablePrefetcher"=dword:00000000
    
18. 
    & g3 R6 ]' U2 V- c1 \6 R' R
19. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
    & L1 k* U: i( y% v( `3 W5 z
20. 
    
21. BootExecute=""
      g: j) p  Q1 H& T" w0 ]
22. 
    . E  t4 N8 w3 L" H
23. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF]
    / ?* g: u3 I" H' r1 g# G
24. 
    4 H- R+ @/ k$ g0 t) H8 B, v
25. "NextInstance"=dword:00000001
    
26. 
    
27. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF\0000]
    
28. 
    
29. "Service"="EWF"
    
30. "Legacy"=dword:00000001
    ! Z4 P) g; M) o9 J- \' d( Q- e
31. "ConfigFlags"=dword:00000020
    
32. 
    ( A' s( k+ D1 l) ]6 Q! T
33. "Class"="LegacyDriver"
    
34. 
    6 C' [' P* G# h2 v) \; u) }
35. "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
    9 Y6 [% X  e- g& p
36. "DeviceDesc"="EWF"
    
37. 
    
38. "Capabilities"=dword:00000000
    
39. 
    
40. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF\0000\Control]
    0 t. B  A5 Q! f  I
41. 
    : o6 P0 w! a3 o% T$ x( i  i; u
42. "ActiveService"="EWF"
    8 d9 ]. A# d9 K
43. 
    
44. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf]
    : ?9 k; q; I, u3 P: ~
45. 
    $ ]! V+ D1 B' ?2 i) |% S. }
46. "ErrorControl"=dword:00000001
    6 b. T9 E) U$ x1 ]9 s9 m$ f& p: U6 ?
47. "Group"="System Bus Extender"
    ( e. H4 u. U$ ?( a
48. 
    ( w/ g5 X! f; }& q; i
49. "Start"=dword:00000000
    . }" j/ j" _  S( c9 |7 M* ?$ q
50. "Type"=dword:00000001
    : @4 v8 y! w6 L3 j# L! t
51. 
    
52. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}]
    2 y6 k5 L$ T5 t7 Q! q7 z5 q" X
53. 
      P2 j5 X9 C& q/ h: {- l
54. "UpperFilters"="Ewf"
    
55. 
    
56. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters\Protected\Volume0]
    
57. 
    ; |' v* S' P$ ~
58. "Type"=dword:00000001
    
59. "ArcName"="multi(0)disk(0)rdisk(0)partition(1)"

Copy

打開登入檔編輯器進入HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root 在root上點右鍵，權限，將Everyone打勾
1 P2 n4 |7 _& X+ M. n如下圖，縮圖不清楚的話可以點進去看原圖

; n4 O' F8 Y/ g如果你是手動設定的請注意最後一個設定, ArcName.那個是用來決定要啟用EWF的磁區。
如果是使用ewf.reg的話預設是啟用第一個硬碟的第一個分割區，如果你要安裝的是系統的第一個(或是為一個)磁區就不用理它
4 v& ]$ d; a) w( M+ K" P前面幾個是針對」最少存取讀寫數」作的優化，也可以自己更改
重新啟動

* r+ A9 O5 w. F6 ~( N當系統重新啟動後，打開命令列式窗(執行>CMD)，並鍵「ewfmgr n:」 n是你設定啟動的磁碟機，基本上應該會是c，然後你應該會看到類似這樣的畫面
# I, s' ^8 e  i2 `4 R6 s+ ~* j
: A7 ^9 m2 B  P0 g

Protected Volume Configuration
* L: B0 z/ A  e1 QType RAM (REG)
State ENABLED
Boot
  z% ^* X% W7 g0 m* l4 bCommand NO_CMD
* f  T/ a& c6 c* y' AParam1 0
; q( ?! m+ d3 H  W" uParam2 0
Volume ID 87 0B 88 0B 00 7E 00 00
00 00 00 00 00 00 00 00
Device Name "\Device\HarddiskVolume1" [C:]
% J) A( [, \, g9 g! j0 RMax
Levels 1
Clump Size 512
Current Level 1
" d' ~. P1 h/ D" G; ~Memory used for data 1294336
bytes
( B$ U( _# z# Z1 D1 z$ x; dMemory used for mapping 4096 bytes

如果出現的是是錯誤或是」no EWF volume could be find」，請打開登錄表編輯器並重新確定每一項設定，
: B+ I, V& O9 }6 Z並確定ewf.sys位於 Windows\System32\drivers 資料夾內後將USB儲存裝置暫時移除再重啟。
Ewfmgr 會提供你許多關於受保護磁區的資料和用掉的RAM。並請切記你對受保護磁區所做越多的改變就需要用掉更多的RAM。
3 o% B' {& l8 G6 ~" \- r) O8 u
以下是幾個非常重要並且需要記起來的指令!
+ v& e6 P' [7 q. t4 l, OEwfmgr C: -commit
0 Q- O* o0 t' p& M! W2 X% L-這個工作階段內所有的更動都會儲存
ewfmgr c: -commitanddisable –live
-這個指令會立刻將EWF停用並將目前的改變儲存
ewfmgr c: -enable
: k% k3 G: O$ D5 t3 H- 這個指令會在下次重啟時啟動EWF
2 o4 N3 k8 J# Z# L. o. h6 k
如果你需要裝軟體，或是防毒軟體需要更新，標準程序就是在命令列視窗內鍵入ewfmgr C: -commit 並重新啟動。
1 }, V4 B# Y, P" L
) O9 W, k$ Y4 N$ |4 x7 q" _1 h4 \

二、用EWF保護系統

1.EWF程式的安裝
0 H. W, _) {( Q/ u! ^* |
　　EWF是微軟FP2007嵌入式作業系統的一個元件，如果在Windows XP下使用，我們首先可以到載它。程式下載後將它解壓縮到任意資料夾中即可。這是一個綠色程式，按兩下該資料夾中的setup.bat安裝批次檔，隨後程式打開一個“命令提示符”視窗並開始安裝。安裝完成系統會自動重啟。

7 r$ b$ C! q6 ]+ n, c+ g2.開啟EWF的保護功能

$ G' W& N( }) `% v. u+ J2 ?# I　　EWF安裝後，預設的情況下，EWF並沒有處於保護狀態，如果要開啟EWF的系統保護功能，我們可以在EWF資料夾下運行TRUN ON.bat檔，重啟後再進入系統就可以使用EWF進行系統保護了。
, n* F5 Q3 z  ~; I0 s+ O
　　接著打開“命令提示符”視窗。隨後在命令提示符下鍵入“ewfmgr c:”命令（其中c:為分區盤符），在顯示的資訊清單中如果State項顯示為“enabled”表示EWF已經對C盤進行保護。如果顯示為disable則是禁用狀態，我們需要重新運行TRUN ON.bat文件。
　　當C盤處於受EWF保護的狀態後，我們如果在C盤上安裝或刪除檔，下次重啟電腦後都將恢復到安裝或刪除之前的狀態。其實EWF也提供了一個保存功能，這樣在EWF保護狀態中，我們想升級病毒庫、安裝一些軟體或複製一些檔時，在操作完成後，運行EWF目錄下的Save.bat檔，系統重啟後，EWF會把升級了的病毒庫資料真正寫入C盤。
如果我們想關閉EWF的保護功能，我們只要運行EWF目錄中的TRUN OFF.bat檔即可。
6 i& }  z  T! G9 u2 Z& B7 w
  Z6 h2 b$ z6 v  [. O! Y3.設置EWF全盤保護和其他分區保護功能

' ]$ d/ M$ E) e# U7 @$ D8 H　　預設情況下EWF只保護系統磁碟分割，如果我們要進行全盤保護或設置其他分區保護時，我們只要對TRUN ON.bat進行簡單修改即可。
& f& q8 E* s6 q# x1 Y
　　首先用記事本檔打開“TRUN ON.bat”檔，我們可以看到下面的語句。

ewfmgr c: -enable
+ R3 Y% i1 _" Y4 {" ]/ x9 y' Hshutdown -r -f -t 01
8 g6 K' m) r& k) P, [+ n
7 u, z& Z6 l2 O6 Q# `　　這個語句表示對C分區進行保護。如果我們想保護其他分區時，如D盤，我們只要將這兩行語句複製到下面，並將“C:”修改為“D:”即可（圖2）。修改後，再次運行TRUN ON.bat，重啟電腦後就可以對C、D兩個分區同時保護了，以此類推。

怎麼樣，有了這個小小的EWF程式後，我們可以高枕無憂了，再也不怕病毒、木馬的騷擾了。