System-Volume-Information问题解决方案.doc

System Volume Information 百科名片 System Volume Information”是 HYPERLINK /view/4821.htm \t _blank windows系统文件夹，中文名称可以翻译为“系统卷标信息”。这个文件夹里就存储着 HYPERLINK /view/18111.htm \t _blank 系统还原的备份信息。 目录 HYPERLINK /view/682081.htm \l 1#1 简介 HYPERLINK /view/682081.htm \l 2#2 主要系统故障 HYPERLINK /view/682081.htm \l 3#3 木马问题 HYPERLINK /view/682081.htm \l 4#4 系统还原介绍 HYPERLINK /view/682081.htm \l 5#5 删除回收站中的system volume information HYPERLINK /view/682081.htm \l 1 简介 HYPERLINK /view/682081.htm \l 2 主要系统故障 HYPERLINK /view/682081.htm \l 3 木马问题 HYPERLINK /view/682081.htm \l 4 系统还原介绍 HYPERLINK /view/682081.htm \l 5 删除回收站中的system volume information 展开 HYPERLINK /view/682081.htm 编辑本段简介 　　System Volume Information 文件夹是一个隐藏的系统文件夹，系统还原工具使用该文件夹来存储它的信息和还原点。您的计算机的每个分区上都有一个 System Volume Information 文件夹。“System Volume Information”文件夹,中文名称可以翻译为“系统卷标信息”。这个文件夹里就存储着系统还原的备份信息. HYPERLINK /view/682081.htm 编辑本段主要系统故障 空间不足问题： 　　原因：随着用户使用系统时间的增加，还原点会越来越多，导致硬盘空间越来越少，最后还要被警告“磁盘空间不足”. 　　解决方案：可以打开控制面板里的“系统属性”——“系统还原”选项卡上选中“在所有驱动器上关闭系统还原”的复选框。 病毒保护伞 　　原因：由于NTFS的分区里该目录只有SYSTEM权限，导致杀毒软件没有权限查杀藏匿于该目录的病毒。(现在大多数软件都能查杀) 　　解决方案：阻止“System Volume Information”文件夹的自动生成。（迄今为止没人能做到） HYPERLINK /view/682081.htm 编辑本段木马问题 　　“System Volume Information”文件夹里的NTFS木马（安全问题） 　　1、参考原理： 　　在一个NTFS分区里，把分区权限删到只剩EVERYONE权限，并只设一个“列出文件夹的目录”权限，其他复选框都去钩。在这种情况下，该分区是没有写权限的，照理说不会再自动生成“System Volume Information”文件夹。但是，无论你这么设置，该硬盘的分区在任何一个电脑上插上去后依旧会自动生成“System Volume Information”文件夹。 　　2、木马原理：利用“System Volume Information”文件夹自动生成的原理，进行线程插入免杀下载器到自动生成“System Volume Information”文件夹的系统进程里面，然后把加壳加密的木马下载到“System Volume Information”文件夹。在“System Volume Information”文件夹的保护下，杀毒软件无权查杀该木马。在设定条件下夺取SYSTEM权限运行木马预运行模块查杀杀软，然后再脱壳解密启动木马，启用保护进程防止该目录被删。此类木马无法手工删除，杀软无权查杀，就算FAT32的分区也由于加密原因无法脱壳。 　　3、解决方案：阻止“System Volume Information”文件夹的自动生成。（可以用unlocker删除) 　　4、解决的具体方法:右击用unlocker删除，unlocker就会删除这个文件夹，打开回收站，再看看，是不是多了很多文件，这时还无法删除，现在打开x:/RECYCLER（“x:/”表示“System Volume Information”所在的分区），右击unlocker点击移动到桌面，桌面就会生成一些隐藏文件，这时选中这些文件，右击属性，将“只读”去掉，再选中之后，用unlocker删除，