我们做运维的很多场合其实是带着一种“拼尽全力”的心态去处理一台已经进不去系统的机器。你手上能打的牌就那么几张U盘、PE、命令行。而Windows PEWinPE恰恰是这几张牌里最万能的一张。这几天我在整理手头的工具盘顺手把WinPE里能做的基础运维操作又过了一遍内容包括删除那些进了正常系统也删不掉的顽固文件、检查文件系统错误、重置本地账户密码、用Disk2vhd把物理机导出成VHD虚拟磁盘以及在PE环境下离线杀毒。这篇文章就是这次整理的完整记录适合所有干运维、技术支持或者喜欢自己折腾电脑的朋友参考。先说点题外话。WinPE不是一个精简版的Windows系统它本质上是一个“预安装环境”目标是部署系统、恢复数据、维护离线系统。它启动后跑在内存里不依赖你硬盘上的系统所以当你的Windows已经蓝屏、死循环重启、被勒索病毒锁屏、驱动崩溃一团糟时只要硬件没坏WinPE就能帮你从外部接管这台机器。正因为这样它也成了我一直建议“每个运维手里都应该有一份”的基础环境。这篇文章不会去教你怎么把WinPE做成多花哨的维护系统而是聚焦在几个我自己用过无数次、也确实能救急的操作上。1. 为什么要在WinPE里干这些活1.1 WinPE的本质一台主机的“旁观者”视角理解WinPE的一个关键点是你进入的是一个与本地系统完全隔离的“旁观者”环境。你在WinPE里操作硬盘时看到的是一个个文件和分区但你不会受制于本地系统的文件锁、进程占用、权限策略。举个例子。你在正常Windows里删除一个病毒生成的文件系统会提示“文件正在被另一进程使用”几次重试都无济于事。这是因为这个文件被系统服务或驱动加载了句柄一直被占用。而在WinPE里这个文件只是磁盘上的一段数据系统服务没有加载它所以删起来毫无阻力。这就是WinPE最大的价值绕过一切在线状态下的干扰因素直接从“磁盘”层面做处理。这也是所有后续操作的基本逻辑——你要处理的不是“系统正在运行时的故障”而是“磁盘上保存的数据和结构”。1.2 环境准备一份趁手的WinPE启动盘在开始讲具体操作之前得先解决环境问题。我自己用的WinPE是基于Windows 11 22H2的ADKAssessment and Deployment Kit自己dism打包的稳不稳定另说好处是干净、刷新快、没有乱七八糟的捆绑软件。如果你不想折腾也可以选择几个口碑比较好、长期更新的第三方PE比如微PE、优启通、FirPE。这里我不做推荐只能说干净和稳定永远是第一位的功能花哨但植入广告的PE再方便也不要用在生产环境。制作启动盘的方式也很简单。用Rufus或Ventoy把ISO写入U盘即可。Ventoy的好处是支持多ISO启动你可以把WinPE、Linux急救盘、克隆工具都放在同一个U盘里启动时统一选择。用Rufus则更轻量直接。建议U盘至少16GBUEFI和Legacy BIOS双支持这样可以覆盖老机器和新机器。做完启动盘后先在虚拟机里测试一下能正常引导再拿去实战。2. 核心运维操作解析与实操要点2.1 删除难缠的风险文件不只有“del”这一招先说说最常遇到的需求——删除顽固文件。这里说的“难缠”大致分三类文件被系统进程或驱动占用常规方式无法删除。文件名或路径包含畸形字符资源管理器报错。文件被赋予ACL权限或系统属性普通用户身份无法操作。第一种最常见。恶意软件常驻进程后会把自身文件标记为系统文件并注入到svchost或explorer里。这种时候正常模式下你用Taskkill也是白搭因为他是内核级保护。在WinPE里我一般直接用cmd加del配合一些参数del /f /a /q D:\Path\to\file.exe参数说明/f强制删除只读文件/a按属性筛选文件搭配删除隐藏或系统属性文件/q安静模式删除时不询问确认如果文件路径太长或名字包含特殊字符可以用短文件名8.3格式或者用通配符模糊匹配dir /x del /f /a /q D:\PROGRA~1\file.*还有一种情况文件不在这个分区上或者你想一次性删一个目录下的所有内容可以用rdrd /s /q D:\virus_folder这里/s是递归删除子目录/q是安静模式。不过说实话如果文件被驱动级Rootkit保护单纯delete可能还是失败。这个时候就要上更重的工具了。我自己在PE里常备两个工具一个是PC Hunter现在叫PCHunter64一个是FileUnlocker。PC Hunter可以在PE下直接查看文件句柄、强制删文件甚至可以看内核模块。在WinPE里用PC Hunter时因为它不依赖系统服务所以能看到一些隐藏驱动的保护行为。FileUnlocker则简单粗暴一键解锁并删除文件适合对付那些只是被占用的普通文件。注意事项删除文件之前最好用dir确认一遍目录内容尤其是当你在PE命令行里操作时盘符分配可能和正常系统下不一样。比如你的C盘在PE里可能会变成D盘如果不加辨别就删很容易删错。建议操作前先打开“我的电脑”或diskpart查看分区对应关系。2.2 校验文件系统chkdsk的深层逻辑文件系统损坏引发的故障很多开机转圈卡死、蓝屏报UNMOUNTABLE_BOOT_VOLUME、文件夹打不开提示格式错误。这些问题的根源可能是硬关机导致NTFS元文件不一致、坏扇区导致数据读取失败、或者是磁盘缓存没有及时落盘导致的目录结构损坏。在WinPE下运行chkdsk有一个天然优势可以完全占有磁盘不像在在线系统里那样只能计划重启时执行。常见命令是chkdsk C: /f /r /x参数解读/f修复磁盘上的错误包括文件系统元数据问题/r查找坏扇区并恢复可读信息隐含着/f/x强制卸载卷使后续修复过程不受干扰在实际使用中我通常会先执行一次不带参数的chkdsk C:它会扫描卷并输出摘要。这样能快速判断是NTFS元数据问题还是硬件故障。如果只是元数据问题扫描阶段会看到类似Windows 已检查文件系统并确定没有问题的提示如果重复出现“无法读取扇区”之类的信息那就要考虑硬盘物理坏道了。另外一个实用参数是/scan仅在Windows 8以上的系统上可用。它的特点是联机扫描耗时短但只能做逻辑层修复不处理坏道。WinPE环境里我很少用它因为在PE下我们根本不怕脱机直接用/f /r /x一步到位就行。补充一点关于chkdsk和坏道的关系。很多人误以为chkdsk能修坏道其实它只能标记坏扇区让系统以后不再写入数据到这些区域。遇到真正的物理坏道最稳妥的方式还是用HDD Regenerator或者Victoria之类的工具做扇区级检测和重映射并尽快备份数据。如果你只想屏蔽坏道让系统能继续跑也可以用fsutil dirty query和chkdsk组合的方式临时处理但这不是长久之计。2.3 重置Windows登录密码离线密码修改的原理与操作给遗忘密码的机器重置登录凭证是运维工作中很有代表性的一个场景。这个操作的本质是修改SAMSecurity Account Manager数据库里的密码哈希。SAM文件在系统盘的Windows\System32\config目录下。正常系统运行时SAM被系统锁定你没法直接编辑。而在WinPE里由于系统没有加载本地注册表你可以用专门的工具读取并修改SAM。行业内比较通用的工具有NTPWEdit这也是我PE里三件套之一。它支持离线修改Windows NT/2000/XP/Vista/7/8/10/11的本地账户密码。操作很简单在WinPE中打开NTPWEdit指定SAM文件路径为C:\Windows\System32\config\SAM。程序会读取SAM文件并显示所有本地用户列表。选中目标用户点击“Set Password”或者“清除密码”。保存更改重启系统。注意一个细节如果目标机器上开着BitLocker驱动器加密SAM文件在加密卷里你是没法直接访问的。这种情况下需要先输入BitLocker恢复密钥解锁加密卷才能在PE里看到SAM文件。所以遇到“忘记密码”的机器时第一件事是问清楚有没有开启BitLocker否则密码工具可能完全无效。另外在PE下操作SAM要小心不要改动系统时间避免影响Kerberos票据验证。虽然离线改密码不涉及域验证但如果是域环境你改本地密码只能解锁本地登录不能恢复域账号登录。实操心得修改完密码后我习惯顺手把SAM文件做一份备份比如复制为SAM.bak再改万一操作失误还能恢复。这里说的备份是针对整个config目录不光是SAM。因为改密码这个操作本质上是写注册表如果写入过程中断电可能有很小的概率损坏SAM备份可以救命。2.4 用Disk2vhd导出VHD物理机到虚拟机的免费方案Disk2vhd是Sysinternals套件里的老牌工具它可以把物理机的磁盘在线或离线转换为VHDVirtual Hard Disk虚拟磁盘文件。在WinPE环境用Disk2vhd最适合的场景是“这台物理机我暂时不想动了但我需要先把它完整导出成一个虚拟磁盘以便在虚拟机里做进一步分析或者应急恢复”。这个思路在应对突发故障时很有用。比如一台服务器系统启动不了了硬件一时半会排查不明白但数据和生产应用很重要。这时候就可以从PE启动跑一遍Disk2vhd把整个系统盘导出成一个VHD文件拷贝到其他机器上用VMware/VirtualBox挂载起来慢慢分析。在PE里使用Disk2vhd的操作要点打开Disk2vhd界面会列出当前机器上的所有卷。勾选需要导出的分区一般建议至少包含系统分区通常是C盘。“Use Vhdx”选项建议勾选VHDX比VHD支持更大容量、更安全。“Use Volume Shadow Copy”选项在PE下没有必要勾选因为卷本身是脱机状态不存在快照一致性需求。勾选反而可能增加失败概率。指定VHDX文件的保存路径注意目标路径不要落在要被导出的同一个分区上最好放在外接USB硬盘或另一个物理磁盘上。点击创建后工具会逐个扇区复制分区内容到VHDX文件。这个过程视分区大小和磁盘性能而定几十GB的系统盘大概需要十到二十分钟。导出的VHDX可以直接用VirtualBox挂载也可以用来在其他机器上做离线数据恢复。导出成功后的VHDX文件你可以直接用7-Zip解压查看文件也可以用dism /Mount-Image挂载到当前WinPE里访问里面的目录和文件。这一点非常实用——相当于数据已经被装进了一个“盒子”里后续可以做任何分析而不影响原始盘。2.5 离线杀毒断网环境下的恶意软件清理离线杀毒的核心逻辑是恶意软件即使再顽固只要它没有运行它就无法自我保护。在WinPE环境里杀毒引擎可以从一个干净的宿主环境启动然后扫描并清除本地磁盘上的恶意文件。我常用的离线杀毒方案有两个第一是Windows Defender OfflineWDO。微软官方提供的离线扫描工具需要提前在损坏的机器上生成离线ISO或者在其他机器上用媒体创建工具生成。在WinPE里直接运行WDO不太方便它通常是一个独立的引导环境。如果我用WinPE我更倾向于第二种方案。第二种是直接用杀毒软件厂商的急救盘Rescue Disk比如卡巴斯基急救盘、ESET SysRescue、360急救盘。这些急救盘大多基于Linux或者WinPE环境可引导启动后自动加载带最新病毒库的扫描引擎。你可以把急救盘ISO放到Ventoy里从U盘启动后选择对应的急救ISO它内部有图形界面或命令行工具可以扫描Windows分区的病毒。不过也有人希望在WinPE系统内直接扫描这时候可以使用绿色版杀毒软件比如大蜘蛛Dr.Web CureIt!的绿色版或者一些PE作者打包的离线病毒库杀毒工具。它们的共同特点是不依赖安装直接运行加载离线病毒库扫描本地磁盘。在实际操作中我总结了几个点离线病毒库的时效性非常重要。病毒库如果过期一个月很多新型木马就查不出来了。所以急救盘U盘里的Ventoy目录建议定期更新里面的ISO镜像。扫描时尽量只勾选系统盘和用户数据盘不要扫描U盘本身否则会把U盘里的PE文件也当可疑对象。遇到检测到但无法清除的Rootkit可以将扫描日志截图然后直接用PE把可疑文件删除或者用2.1节提到的方法强制删除。卡巴斯基急救盘在扫描完成后会生成报告如果机器上有多个系统或分区注意区分目标路径避免误报。ESET SysRescue则支持命令行模式对有经验的用户更友好。3. 从一个真实场景看完整操作流程3.1 场景假设与问题诊断为了讲清整个流程我模拟一个具体的故障场景同事的一台Windows 10办公电脑开机后卡在登录界面输入密码后提示“用户名或密码错误”。多试几次后系统又提示“引用的账户当前已锁定且可能无法登录”。更奇怪的是同一台机器上次关机前装的软件突然全部报错。同事怀疑中病毒了。遇到这种情况我一般不会急着在进不去系统的状态下操作而是先挂载一块带有WinPE的U盘从U盘启动进入PE。进入PE后第一件事是打开磁盘管理或diskpart确认分区布局和盘符映射。在这台机器上C盘在PE里变成了D盘所以我后续所有针对系统分区的操作都要调整盘符。3.2 完整操作流程拆解第一步文件系统检查。先用chkdsk D: /f /r /x让它完整扫描并修复系统分区的文件系统错误。等待过程中注意观察有没有大量的无法读取扇区之类的日志。这台机器运气比较好chkdsk扫了一遍只是修了一些目录索引错误没有发现坏道。第二步离线杀毒。由于机器上可能存在Rootkit为了避免它污染后续操作我先用PE启动卡巴斯基急救盘ISO放在Ventoy U盘里运行了一次全盘扫描清除了几个广告软件和两个木马下载器。第三步重置密码。扫描完成后重启回WinPE用NTPWEdit加载D:\Windows\System32\config\SAM将本机管理员的密码清空。这里我没直接设新密码而是先清除等下一次正常登录后再让用户自己设置新密码。清除密码后保存并重启。第四步验证系统能否正常进入。重启后系统正常进入了登录界面因为密码已清除直接回车就进入了桌面。同事登录后发现软件报错是因为之前病毒感染导致系统文件损坏我又在PE下挂载了Windows安装镜像用dism /Online /Cleanup-Image /RestoreHealth修复了一遍系统组件整个问题就解决了。如果在前面步骤中chkdsk发现了严重问题或者这台机器我怀疑有硬件隐患我还会用Disk2vhd把系统盘完整导出成VHDX镜像留档备用。这样即使后续真的出现物理故障数据和系统状态也都在一个虚拟磁盘文件里可以随时在虚拟机里重启分析。4. 常见问题与排查技巧实录4.1 常见问题速查表问题现象可能原因处理方案在PE里看不到硬盘分区磁盘处于脱机状态或缺少驱动打开diskpart执行list disk、select disk 0、online disk若缺少NVMe/RAID驱动需导入厂商驱动chkdsk报错“无法打开卷”卷正在被占用或卷无有效文件系统确认盘符是否正确必要时先diskpart分配盘符无法识别文件系统则可能是分区表损坏NTPWEdit打不开SAM文件目标系统启用了BitLocker先用BitLocker恢复密钥解锁卷或在PE中关闭加密后再修改密码Disk2vhd导出失败目标路径空间不足或分区中有大量坏道检查目标磁盘剩余空间对坏道较多的盘改用手工扇区级克隆工具如ddrescue杀毒扫描报告病毒但清除失败文件受内核级保护或位于系统还原点内使用PE命令行强制删除或用急救盘Linux版本执行清理还原点文件可以直接清空PE启动后鼠标键盘失灵USB驱动或PE版本兼容性问题更换更通用的PE或插到USB 2.0接口重试4.2 独家避坑心得和WinPE打了这么久的交道我在实操中踩过的坑不少。这里挑几个印象深刻的说说。第一个是关于盘符映射的问题。PE环境下盘符并不总是和正常系统里一样。有时候U盘被识别成C盘你的系统盘反而排在后面。这是正常现象但新手在命令行里操作时极容易搞混。我自己的习惯是进入PE后先打开资源管理器确认盘符再用diskpart或mountvol查看每个分区的卷标和大小来二次确认。千万不要想当然地认为C盘就是系统盘。第二个是U盘启动盘的分区格式。老一点的机器只支持Legacy BIOS启动而新机器基本都是UEFI。如果你用一个只支持一种启动方式的PE换了一台机器可能就引导不了。我的做法是用Ventoy制作启动盘制作时选择同时支持MBR和GPT分区表格式并且在BIOS设置里开启CSM兼容模式这样基本能通吃全部机器。第三个是关于离线杀毒的一个常见误区有些人认为杀完毒就万事大吉了。但实际上勒索病毒、Rootkit这类恶意软件即使被清除了文件它留下的注册表自启动项、计划任务、服务项仍然可能残留。我在PE下杀毒之后通常会再手动检查这几个位置HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\RunC:\Windows\Tasks和C:\Windows\System32\Tasks服务列表使用reg query查看HKLM\SYSTEM\CurrentControlSet\Services里有没有新增的可疑服务名把可疑的注册表项和计划任务删除之后才算真正清理干净。第四个心得关于Disk2vhd的导出速度。很多人以为导出一个1TB的分区会非常慢。其实Disk2vhd默认只复制实际使用的数据块不是整个磁盘的原始扇区拷贝所以速度通常比想象中快。但是如果要导出的分区里有大量零散的碎片文件速度就会明显下降。这种情况下可以先用defrag整理一下磁盘碎片虽然SSD不建议经常整理或者在导出时勾选“Use VHDX”减少压缩开销。最后想说的是WinPE里的运维操作其实没有太多高深技巧核心就是“离线”两个字。当一个系统不再运行时你对它的控制能力反而更强。用好这个环境很多看似“无解”的系统问题都能迎刃而解。希望大家把这些操作都提前练熟别等机器出了问题再临时翻教程。
