PCUser-密技偷偷報EWF系列教學用檔案

話說這真是不可思議，竟然要上雜誌了，應該事會刊在第40期內吧..大概吧我也不清楚~總之，花了不少時間把文章中的"bug"給清乾淨順便把過程弄詳細，所以想看的人...去買一本回來看吧!  網誌的特色就是要 輕鬆、簡單、有點bug 所以網誌上的文章基本上不會變了，讀者有問題可以留言詢問唷xd。

總之呢，這一頁是把所有雜誌內介紹中會用到的檔案，需要修改的檔案已及reg檔全部整理上來的頁面，如果有智慧財產權的疑慮請email通知將馬上移除檔案。

如果網頁變成直接打開的話請使用右鍵，另存目標

ewf.reg	ewfmgr.exe
ewf.sys	ewfntldr
minlogon.reg	minlogon.exe
Hitachi Filter	CABARC.exe
HPUSBFW.exe	製作可USB開機光碟修改的檔案
horm.dat	Any.reg
USBootARC.reg	USBootArc.sys

EWF進階應用=> 一次休眠多次喚醒

「Hibernate Once, Resume Many」 (HORM)

“休眠一次，永久還原” (HORM) <= 好吧，我承認標題定的很破，但是我真的找不到更適合的字了…

這是一個EWF的進階應用，休眠相信大家都有再用，開機速度，明顯地，和正常開機比起來有如波音747和停在我家車庫的小噗噗的差別啊! 但是有優點也有缺點，XP系統只要一段時間沒有重啟就會開始越用越不穩。那麼如果，在一開機系統都載入完成還沒開始使用時的最佳狀態讓他休眠，並永遠保持那個狀態呢? 這實在是太偉大了，就有如萊特兄弟發明飛機一般偉大，除了擁有了剛重新啟動的穩定性與高速，並同時保有系統重休眠重新恢復的高速開機。聽起來不賴吧? 下面我會介紹詳細設定方法。

基本上，這就是讓系統休眠之後每次開機都是從“那個時候”的狀態復原，也就是說，如果是剛重新開機後讓他休眠，就變成每次都從“剛開機的時候”復原，換句話說，就是兼顧性能與速度啦。這也可以對安裝在Flash儲存裝置(如SSD，SD卡，隨身碟)進一步的進行存取與讀寫“最少化”。

當然，以下功能需要先安裝EWF才能使用，因為是透過ewfmgr來設定的

1. 啟動系統的“休眠”設定，不知道的話參考下方圖片

2. 此項為選擇性的，基本上應該可以跳過，除非一直無法成功啟用HORM再使用。在系統槽更目錄(C:\)建立一個空白文字檔案並命名為resmany.dat。注意，不是resmany.dat.txt，是resmany.dat。不能更改附檔名的話請在工具，資料夾選項，檢視中取消勾選隱藏已知檔案類型的附檔名
縮圖不清楚的話請點擊看原圖

3. 在命令列中鍵入“ewfmgr c: -activatehorm” 之後重啟，如果EWF是啟用的記的要在關機前按commit指令

4. 之後讓系統休眠，在關機選單中按住Shift就可以看到待命選項變成“休眠”

5. 再開機之後無論斷電，強行關機或甚麼都沒關係，下一次開機也是從休眠狀態中快速啟動

6. 如果要取消的話只要鍵入”ewfmgr –deactivatehorm” 就可以了。取消前先確定EWF是停用的。

新增磁碟機到EWF

設定多重磁碟的EWF

如果你需要新增新的磁碟機到EWF的保護範圍，只要在登錄表新增幾個簡單的值就可以了。

1. 第一步是打開登錄表編輯程式(開始>執行>regedit)然後進入HKLM\System\CurrentControlSet\Services\EWF\Parameters\Protected。(先確定你的EWF是停用的，不然你的設定不會被儲存)
2. 要增加新的磁碟機只需要依照”VolumeN”的規則建立新的機碼。”Volume0”應該已經存在所以下一個會是”Volume1”
3. 然後建立一個字串值命名為”ArcName”然後輸入您要加入的磁碟機的ARC路徑。如果想要瞭解ARC路徑的完整細節請參考微軟的說明頁。
   • 一般而言第一顆硬碟(或是只有一顆)上的第二個分區會是multi(0)disk(0)rdisk(0)partition(2)
   • 如果是第二個硬碟的第一個分區的話一般而言會是multi(0)disk(0)rdisk(1)partition(1)
4. 再來建立一個DWORD值並命名為”Enabled”並設定成”0”，然後再新增另一個DWORD值命名為”Type”並設成”1”
5. 重新啟動你的系統然後啟動ewfmgr ，你應該可以在清單上看到新增的磁碟機，如果沒有或是出現錯誤的話你需要檢查一下你的ARC路徑有沒有設定正確。
6. 當你要在你新增的磁碟機上啟動EWF時請先確定你正在用的系統有沒有啟動EWF，不然的話啟動的設定不會被儲存

EWF安裝教學

EWF(Enhanced Write Filter)是另一個XP Embedded所提供的強大組件，只能說是超屌的"有夠厲害"，它不僅可以保護作業系統(說起來甚麼毒都不怕)，保護硬碟(或是其他儲存設備)還可以」非常明顯」的加速你的系統，尤其當硬碟讀取寫入速度不快時。之前實驗在2GB的隨身碟上安裝XP時，由於該隨身碟並非Hi-Speed的讀取速度大概只有在10MB上下，當然寫入更是不要說了。EWF有許多不同的作用，而我主要是拿來做」唯讀系統」，當然，需要的時候還是可以暫時讓他便」非唯讀」。開機速度沒甚麼影響，不過系統運作速度已經從」打開我的電腦要兩分鍾」進步到」用起來比7K2的HD順」，而且還省下了一張還原卡!。相信許多在SD或CF卡上裝作業系統(XP)的玩家(eeepc玩家)都應該要試試看，尤其是USB隨身碟或是非高速記憶卡上裝的時候。除了加快速度以外，他更是保護系統的好幫手，比甚麼還原精靈阿甚麼的都好用。它可以在設定保護的磁碟機上加速並可以在關機前決定這個工作階段所對磁碟機上的」任何」檔案變更要不要保留。

在您安裝EWF之前為了要確定能有最佳的效能，請先禁用分頁檔(虛擬內存)及系統還原。在我的電腦上點右鍵>內容>進階>效能然後在虛擬內存的區域點更改並選擇禁用，我的電腦右鍵>內容>進階>系統還原>關閉系統還原。如果你用EWF啟動時XP一直出現要求還原，可以藉由刪除Windows 目錄下的bootstat.dat來解決。要使用EWF你總共需要三個文件，分別是ewf.sys、ewfntldr以及ewfmgr.exe 這幾個檔案可以在和MinLogon 同樣的地方找到。或是密碼為網誌帳號，

點此下載

1. 把你系統根目錄下的ntldr檔案重新命名為ntldr.bak，如果看不到的話請在資料夾選項中勾選」顯示作業系統保護的檔案」

1. 將ewfntldr複製到系統跟目錄並重新命名為ntldr
2. 將ewfmgr.exe複製到Windows\System32 資料夾
3. 將ewf.sys複製到 Windows\System32\drivers 資料夾
4. 進入登錄表中照以下內容更改或是直接下載ewf.reg點擊後確認自動更改，出現權限的錯誤的話請參考下一點。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Dfrg\BootOptimizeFunction]
"Enable"="N"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\OptimalLayout]
"EnableAutoLayout"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem]
"NtfsDisableLastAccessUpdate"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory
Management\PrefetchParameters]
"EnablePrefetcher"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
BootExecute=""
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF\0000]
"Service"="EWF"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000020
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="EWF"
"Capabilities"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_EWF\0000\Control]
"ActiveService"="EWF"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf]
"ErrorControl"=dword:00000001
"Group"="System Bus Extender"
"Start"=dword:00000000
"Type"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}]
"UpperFilters"="Ewf"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters\Protected\Volume0]
"Type"=dword:00000001
"ArcName"="multi(0)disk(0)rdisk(0)partition(1)"

1. 打開登入檔編輯器進入HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root 在root上點右鍵，權限，將Everyone打勾
   如下圖，縮圖不清楚的話可以點進去看原圖
   
   
2. 如果你是手動設定的請注意最後一個設定, ArcName.那個是用來決定要啟用EWF的磁區。如果是使用ewf.reg的話預設是啟用第一個硬碟的第一個分割區，如果你要安裝的是系統的第一個(或是為一個)磁區就不用理它
3. 前面幾個是針對」最少存取讀寫數」作的優化，也可以自己更改
4. 重新啟動

當系統重新啟動後，打開命令列式窗(執行>CMD)，並鍵「ewfmgr n:」 n是你設定啟動的磁碟機，基本上應該會是c，然後你應該會看到類似這樣的畫面

Protected Volume Configuration
Type RAM (REG)
State ENABLED
Boot Command NO_CMD
Param1 0
Param2 0
Volume ID 87 0B 88 0B 00 7E 00 00 00 00 00 00 00 00 00 00
Device Name "\Device\HarddiskVolume1" [C:]
Max Levels 1
Clump Size 512
Current Level 1
Memory used for data 1294336 bytes
Memory used for mapping 4096 bytes

如果出現的是是錯誤或是」no EWF volume could be find」，請打開登錄表編輯器並重新確定每一項設定，並確定ewf.sys位於 Windows\System32\drivers 資料夾內後將USB儲存裝置暫時移除再重啟。Ewfmgr 會提供你許多關於受保護磁區的資料和用掉的RAM。並請切記你對受保護磁區所做越多的改變就需要用掉更多的RAM。以下是幾個非常重要並且需要記起來的指令!

Ewfmgr C: -commit
-這個工作階段內所有的更動都會儲存
ewfmgr c: -commitanddisable –live
-這個指令會立刻將EWF停用並將目前的改變儲存
ewfmgr c: -enable
- 這個指令會在下次重啟時啟動EWF

如果你需要裝軟體，或是防毒軟體需要更新，標準程序就是在命令列視窗內鍵入ewfmgr C: -commit 並重新啟動。