几个月前，我曾在某些帖子谈论过这个技术

现在六一节到了，为了满足广大饥渴的小朋友们，特此放出

=====================================================

Mark在Windows Internals 4th(p 210)中提到过，WIN2000下，为了保持系统HIVE的完整性，系统在刷新SYSTEM HIVE的同时，会刷新一个名为“替补储巢”的hive :System.alt

当系统储巢System已经损坏，无法加载时，就会选择这个替补储巢system.alt来加载.这是由于win2000的ntldr不知道如何使用储巢日志文件(system.log)来进行储巢修复导致的，Mark称windows XP以后的系统已经抛弃了这一机制

但事实如何呢？首先我们来看一下某份NT4的代码：

下面这个函数是BootLoader(ntldr)用来加载系统HIVE的函数：

ARC_STATUS
BlLoadAndScanSystemHive(
    IN ULONG DeviceId,
    IN PCHAR DeviceName,
    IN PCHAR DirectoryPath,
    IN PWSTR BootFileSystem,
    OUT PCHAR BadFileName
    )
...................
省略无关部分
.....................

    strcpy(Directory,DirectoryPath);
    strcat(Directory,"\\system32\\config\\");
    Status = BlLoadAndInitSystemHive(DeviceId,
                                     DeviceName,
                                     Directory,
                                     "system",
                                     FALSE,
                                     &RestartSetup);

    if(Status != ESUCCESS) {
        //
        // bogus hive, try system.alt
        //
        Status = BlLoadAndInitSystemHive(DeviceId,
                                         DeviceName,
                                         Directory,
                                         "system.alt",
                                         TRUE,
                                         &RestartSetup);
        if(Status != ESUCCESS) {
            strcpy(BadFileName,DirectoryPath);
            strcat(BadFileName,"\\SYSTEM32\\CONFIG\\SYSTEM");
            goto HiveScanFailed;
        }
    }

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课