前阵子一个朋友搬来一台老笔记本开机卡在Windows logo转圈安全模式也进不去。我拿U盘做了一个winpe启动盘进PE后删掉几个明显不对劲的启动项文件用chkdsk修了一遍文件系统顺手用disk2vhd把整块硬盘导出成vhd备份最后离线扫了一遍毒前后不到一小时就把机器救回来了。这也是我一直以来的习惯凡是遇到系统进不去、文件删不掉、密码忘了这类麻烦事第一反应不是重装系统而是先进winpe在最小化的环境里做基础运维。这篇内容就是把我在PE里常用的几个运维操作完整拆开讲一遍。包括删除那些正常系统下怎么都删不掉的风险文件、校验和修复文件系统、离线重置Windows密码、用disk2vhd导出vhd镜像以及在没有网络的情况下做离线杀毒。每个操作都会讲清楚“为什么这么做”和“实操时最容易踩哪些坑”。平时做IT运维、电脑维修或者只是喜欢自己折腾电脑的朋友这篇内容可以直接照着抄。1. 先把WinPE玩明白从启动盘到基础维护环境的搭建1.1 WinPE到底是什么为什么维护机器非得用它很多人第一次听到winpe觉得是个“精简版Windows”这个理解方向对但不完全。WinPE全称Windows Preinstallation Environment是微软提供的一个轻量级预安装环境它把Windows内核压缩到了一个很小的镜像里启动时直接加载到内存运行。它不自带常规的办公软件没有桌面特效甚至很多驱动都是精简的但保留了对NTFS分区、磁盘管理、文件操作、命令行和网络协议的基础支持。PE最核心的价值在于“系统本体没有加载”。正常情况下Windows启动后会锁定大量系统文件、注册表项和正在运行的程序你想删也删不掉。而在PE里目标硬盘里的Windows并没有运行所有文件对你而言就是一堆“没有锁”的数据想怎么拷贝、怎么修改、怎么删除都行。这就是PE能做密码重置、病毒清理、损坏文件修复的原因所在。1.2 制作WinPE启动盘工具选型与制作步骤做启动盘前要先准备一个U盘容量建议8GB起步。我自己的习惯是用16GB的U盘做启动盘既能装PE镜像还能顺便放一些常用工具比如disk2vhd、NTPWEdit、离线病毒库等。制作PE启动盘的工具分两类。一是第三方精简PE工具比如微PE、优启通优点是集成常用维护软件开箱即用适合不想折腾的人。二是微软官方ADK用不到时操作麻烦适合习惯自己定制的人。我更常用第三方PE工具因为它们自带磁盘工具、密码工具、备份恢复软件省去逐个找工具的麻烦。制作步骤很固定U盘插到电脑上将U盘里的资料全部备份到其他地方因为制作过程会格式化U盘。运行PE制作工具选择U盘对应的盘符注意别选错成移动硬盘或者数据盘。写入模式一般选“USB-HDD”或“UEFI优先”根据目标电脑的启动方式决定。点击开始制作等待进度条走完然后弹出U盘插到需要维护的电脑上。开机时按F12或Esc选择从U盘启动不同品牌快捷键不一样有的机器需要进BIOS调整启动顺序。提示制作启动盘之前务必确认U盘里没有重要数据。我见过不少人做启动盘时把旧资料全冲掉事后才追悔莫及。1.3 进入WinPE后才要懂的“注意事项”PE启动后第一件事不是急着操作而是先确认盘符。这里有个特别容易踩的坑PE环境下的盘符和正常系统下完全不一样。原来显卡界面的C盘在PE里可能变成了D盘或E盘因为PE自己的X盘占了盘符移动硬盘和U盘也可能被分配成不同的字母。建议进入PE后先打开“此电脑”或直接用diskpart工具确认每个分区的容量和编号。我平时会在PE里用diskgenius这类磁盘工具看一下分区布局确认哪个分区是系统分区哪个是数据分区。用命令行的话可以用diskpart list volume这会把当前所有卷的编号、盘符、容量、文件系统类型列出来方便对照。看清楚盘符之后再去做删除、修改、格式化等操作就不会误删到U盘或者排错系统分区。另外一点要提醒PE是运行在内存里的重启后所有改动都会消失。所以你不要指望在PE里改完系统设置后保存住PE里的操作结果大部分直接作用于硬盘目标系统PE本身不会保留任何设置。2. 删除难缠风险文件与校验文件系统2.1 开始之前先看哪些文件值得你在PE里动手我平时处理的风险文件主要分几类。一类是病毒和恶意程序释放的残留文件比如U盘根目录下的autorun.inf、随机命名的exe、伪装成文件夹或图片的“.exe”这类文件在正常系统里常被进程占用删除时提示“正在使用中”。另一类是权限或所有者异常的文件有些文件明明是自己的电脑却提示“你需要来自Administrators的权限才能删除”这时候在PE里删除就很方便。第三类是要清理的系统残留或顽固文件夹比如更新补丁留下的Windows.old。但不代表PE里就能无条件乱删。删文件之前一定要看清楚文件路径和类型确认它不属于系统关键组件。我自己长期的原则是拿不准的文件先复制一份到U盘备份再删除原文件。因为PE环境下没有任何保护机制你删掉一个系统文件Windows启动时可能直接蓝屏。2.2 chkdsk的正确打开方式校验文件系统到底怎么用文件系统损坏通常表现为某个分区双击打不开、提示“文件或目录损坏且无法读取”、文件夹里的文件突然消失、开机自动运行磁盘检查却卡住不动。这些情况大多不是硬盘物理损坏而是NTFS卷的MFT记录、索引或元数据出了问题用chkdsk就能修复。chkdsk的命令格式如下chkdsk 盘符: /f /r/f 表示修复磁盘上的错误/r 表示查找坏扇区并恢复可读信息/x 表示强制卸载该卷后再进行扫描比如在PE里要扫描系统分区假定PE里看到的盘符是C盘就执行chkdsk C: /f /r扫描过程中PE会先检查基本文件系统结构再逐扇区扫描坏道时间比较长。跑完以后它会输出一份扫描结果显示有没有发现问题、修复了几个错误。如果文件系统错误不严重修复后重启进系统就能正常打开文件夹。注意如果文件系统损坏到连chkdsk都无法访问或者提示“文件系统是RAW格式”那说明分区结构可能被破坏了这时候不要急着格式化先考虑用数据恢复工具扫描挽救数据。2.3 用文件系统思路“屏蔽坏道”一套可落地的做法搜索热词里有一条是“通过文件系统来屏蔽坏道的方法”这个思路很有意思所以在PE实操里单独说一嘴。首先要明确文件系统本身不会自动屏蔽物理坏道屏蔽坏道通常靠两件事——硬盘固件的重映射机制以及分区层面的空间避让。硬盘内部的S.M.A.R.T.机制会把逻辑扇区地址自动重映射到备用扇区这是物理层屏蔽。但坏道严重时固件来不及重映射OS在执行读写时会反复报I/O错误。在PE里的应急做法是先用磁盘检测工具比如diskgenius的坏道检测扫描出坏道所在的扇区范围然后用分区工具把包含坏道的区域单独划分成一个分区把这个分区删除或直接隐藏掉让正常系统访问不到坏道区域。这样文件系统不会主动去读那些坏道系统稳定性会好很多。但这只是应急方案不是长久之计。坏道的本质是物理损伤会持续扩散。我遇到物理坏道硬盘常规做法还是先把数据迁移出去然后该换盘就换盘该走售后就走售后。PE里做坏道屏蔽顶多是“在等待新硬盘到货前尽量让旧盘多撑几天”的手段。3. 在PE里重置密码原理与实操3.1 为什么不能在系统里改密码PE离线改密的原理Windows的用户密码信息放在一个叫SAMSecurity Account Manager的注册表数据库里路径在系统盘Windows\System32\config\SAM。当Windows正常运行时这个文件会被系统进程独占锁定不允许外部程序直接读写所以你在正常系统里想绕过登录去改别人的密码非常困难。PE重置密码的原理就是利用目标系统不运行时SAM文件“无人接管”的特性直接用离线密码工具打开SAM数据库把指定用户的密码哈希清空或者替换成新值。整个过程不依赖目标系统启动所以叫“离线改密”。3.2 使用NTPWEdit修改/清除密码的完整步骤NTPWEdit是我在PE里用得最多的密码工具单文件版很小绿色免安装。具体操作如下进入PE找到并运行NTPWEdit程序。界面上会有个“选择Windows目录”的输入框点浏览按钮选择目标系统所在的Windows目录。注意别选错如果PE里系统分区是D盘就选D:\Windows。工具会自动识别并加载SAM文件同时显示这个系统里的所有本地用户账户。选中你要重置密码的用户比如Administrator点“清除密码”。这个操作会把密码哈希置空以后登录时不需要密码。如果想保留密码登录不是清除而是设置新密码可以先点“解锁”再点“修改密码”输入新密码后保存。全部操作完成后点“保存更改”按钮然后退出工具拔出U盘重启电脑。重启后系统会直接进入桌面或者要求你输入新设置的密码。如果原本有密码清除密码后直接回车就能进系统。3.3 关于密码重置的常见坑与授权边界离线改密虽然好用但不是所有场景都一锤子定音。第一个坑如果目标系统开启了BitLocker加密那SAM文件所在的系统分区是加密状态PE里看到的内容是乱码NTPWEdit无法直接加载SAM。这种情况下必须先有BitLocker恢复密钥在PE里解锁分区后才能操作否则只能走微软官方密码找回流程。第二个坑现在很多Windows用户用的是微软在线账户而不是本地账户。用NTPWEdit清掉或修改SAM里的密码对微软在线账户不生效因为登录时验证的是云端。这时候在PE里更实际的做法是启用内置Administrator账户或者想办法把在线账户切换成本地账户。第三个坑给别人的电脑重置密码一定要有授权。用户忘了自己电脑密码找你帮忙维修这属于正常授权范围。但如果你趁机改动别人的账户那就不止是技术问题涉及隐私和法律边界了。在PE里执行任何账户操作都应该在获得机器合法使用人许可的前提下进行。4. disk2vhd导出整机为VHD旧机迁移与虚拟化存储4.1 VHD、VHDX和disk2vhd的基本概念Virtual Hard Disk虚拟硬盘就是把一整块物理磁盘或者某个分区封装到单个文件里Hyper-V和VirtualBox都能直接使用。旧格式叫VHD新格式叫VHDX支持更大的容量、更强的断电保护机制。工具disk2vhd是微软Sysinternals系列中的一个命令行小工具它可以在系统运行时把物理机磁盘转换成虚拟磁盘文件。更实用的场景是在PE里跑disk2vhd把一台已经进不去系统的旧电脑整个转成vhd文件然后挂载到虚拟机里读取资料、做系统复盘也能当成全盘备份留存。4.2 在PE下用disk2vhd导出系统盘的完整流程在PE下操作disk2vhd输出目标是关键。建议不要把vhd写到当前正在处理的源盘里最好插一块空闲移动硬盘或远程拷贝到另一台机器的共享目录。原因是vhd文件会非常大系统盘动辄几十GB源盘如果没有插槽空间很容易中途失败。具体步骤把disk2vhd解压到PE里的可用存储介质上比如U盘或PE自带的X盘。双击运行disk2vhd64.exe64位系统对应版本。确认程序识别出源磁盘它会列出所有卷。一般只需要勾选系统分区包含Windows目录的分区和启动分区一般是系统保留分区数据盘看需求决定是否一起导出。在“Use VSS”这个选项上我在PE下通常不勾选。VSS是卷影复制用于系统运行时创建一致快照。PE下目标系统是被卸载状态文件本身处于静止状态不勾选VSS能让导出过程更干净。如果系统配置了虚拟内存页面文件和休眠文件这些文件不仅非常大而且对还原操作系统没有用。disk2vhd会默认剔除pagefile.sys但hyberfil.sys文件建议手动考虑。如果想做最小体积备份可以省去这部分。选择VHD目录的存放位置输入文件名选文件格式时VHDX更推荐然后点击Create按钮。导出过程实际就是把整个卷一个扇区一个扇区地复制到单个文件里耗时和源盘数据量、输出接口速度直接相关。一个50GB的系统盘用USB 3.0移动硬盘导出通常在20到40分钟左右。4.3 VHD文件导出后的验证、挂载与转VHDX导出完成后我建议先做一次验证不要直接拿去跑。在PE里可以用diskpart命令来挂载这个vhd文件检查里面能不能正常看到分区结构。diskpart select vdisk file D:\backup\oldpc.vhdx attach vdisk挂载成功之后在“此电脑”里就能看到vhd里的分区和文件试着打开几个关键文件确认完整性。确认无误后再卸载虚拟磁盘。detach vdisk如果要拿到Hyper-V或VirtualBox里运行直接把vhd/vhdx作为虚拟机磁盘挂载即可。如果要在VMware里用需要先把vhd转换成vmdk。不过现在的VMware Workstation其实也支持直接加载vhd文件不用转换就是跑起来性能略差一点。想把VHD转成VHDX可以使用Hyper-V管理器里的“编辑磁盘”功能或者用PowerShell命令。这个转换操作本质上是重写一遍虚拟磁盘头不会改里面的数据但过程比较耗时适合放后台慢慢跑。4.4 实操中如何控制VHD文件占用和备份速度动态扩展的vhd文件有个特点它刚创建时只有几GB随着写入数据逐步增加最大撑到等于目标分区的容量。这意味着你导出的vhd文件大小并不等于源盘分区的“已用空间”而取决于分区文件布局和动态扩展机制的应用情况。备份前可以先在PE里用磁盘分析工具看看源盘到底用了多少空间心里有个底。输出端接口对导出速度的影响非常明显。我试过同样一块500GB机械硬盘用USB 2.0移动硬盘导出vhd耗时四五个小时换成USB 3.0移动硬盘只要一个半小时左右。如果目标电脑支持U盘启动但没有USB 3.0接口可以试试网线拷贝到另一台电脑上速度通常比USB 2.0更快。5. 离线杀毒与无网维护场景5.1 为什么离线杀毒比在正常系统里杀毒更干净在系统已经中毒的情况下直接装杀毒软件去扫描往往效果打了折扣。原因很简单病毒进程正在运行它会实时对抗扫描器。删除了一个病毒文件它可能马上又释放一个或者在内存里继续执行从注册表里恢复启动项。杀毒软件在正常系统里杀毒就像跟一个熟知地形的对手在迷宫里打游击战。PE环境完全绕开了这个问题。PE启动后杀毒程序运行在干净的内存环境里目标硬盘上的系统没有运行病毒没有进程没有自启项没有文件在变化剩下的就是一坨静态文件。扫静态文件比扫动态进程容易得多也干净得多。5.2 离线杀毒实操流程与工具选择离线杀毒通用的做法是在正常有网的电脑上下载一个带病毒库的杀毒软件或应急扫描工具复制到U盘再用这个U盘启动进PE运行。可选的工具不少。卡巴斯基应急磁盘工具Kaspersky Rescue Disk可以做成可启动盘原理上跟PE类似只是界面更封闭。微软官方提供的Safety Scanner是单文件扫描器需要在有网的机器上手动下载支持离线模式。国内的一些PE工具还会集成Windows PE杀毒模块比如360系统急救箱的PE版。我的实操流程通常是提前把杀毒工具和它对应的病毒库更新到U盘里。进PE后把目标系统盘挂载好。运行杀毒工具扫描对象选择整个系统盘。扫描完成后先看报告确认查出的威胁文件路径再决定是隔离还是彻底删除。对可疑但未报毒的启动项和服务再配合PE里的启动项管理工具手动排查。有个细节要提醒如果目标系统本身没有中毒只是为了清理一些流氓软件残留不要盲目做全盘格式化式清理优先用杀毒工具的“处置”功能做隔离处理确实识别为高风险的文件再删除。5.3 无网情况下查杀与修复的备选方案无网环境指的是PE启动后没有网卡驱动或者局域网不可用的场景。这时候没法临时下载工具所以提前把工具包备好非常重要。我自己的习惯是维护U盘里固定放一个“工具目录”里面有杀毒工具、离线病毒库、PE版工具集、分区工具、密码工具、数据恢复软件压缩成一个压缩包。每次做完启动盘就顺手更新一遍确保病毒库不过期太久。另外在无网状态下排查问题可以手动检查几个地方系统盘的自动启动文件夹、注册表Run键、计划任务目录、服务状态和异常驱动。PE里可以直接查看和编辑这些文件就看你经验熟练度了。对照着系统正常的启动项列表排查往往能找出加进去的可疑启动项。6. 常见问题与排查技巧实录6.1 启动U盘进不去或加载不了PE的问题U盘做了PE启动盘但开机进不去PE很多人第一反应是U盘坏了其实更大可能是启动模式没配对。现在大多数电脑默认UEFI启动如果PE制作时选的是Legacy模式UEFI机器可能识别不到。建议在BIOS里同时开启UEFI和Legacy兼容模式或者直接调整启动顺序。还有一种情况是制作PE的镜像文件本身损坏。下载了不完整的镜像或者U盘写入过程中断电都会导致PE加载失败。我的排查顺序是先用制作工具重新写入一次再用另一台电脑测试能否启动确定U盘和镜像都没问题后再往回怀疑目标电脑硬件。老电脑上还得考虑USB接口兼容性部分旧主板对USB 3.0接口的启动支持很差插到USB 2.0接口上反而能正常进PE。真遇到进不去PE的情况可以把U盘换到不同的接口挨个试一遍。6.2 WinPE里看不到硬盘或盘符错乱怎么办进PE后发现目标电脑的硬盘完全识别不到在磁盘管理里连影子都没有这种状况在较新的NVMe硬盘上比较常见。很多旧版PE内置的驱动不包含新平台的NVMe控制器驱动自然认不出盘。解决方案一是换一个更新、驱动更全的PE版本现在主流第三方PE基本都带NVMe、SATA AHCI驱动。二是在BIOS里把SATA模式从RAID改成AHCIPE认盘的几率更大。三是进PE后手动加载驱动如果你能从电脑厂商官网下载对应的硬盘控制器驱动PE里有“加载驱动”的入口可以手动指定驱动路径。盘符错乱的问题解决思路就是开头讲的先看分区容量再对照文件系统类型和已用空间确认哪个盘对应哪个分区不要凭字母一刀切。在拿不准的时候尽量用磁盘管理或者diskpart按编号操作而不是按盘符操作。6.3 disk2vhd导出失败或VHD文件过大的排查思路disk2vhd导出最常见的失败原因是输出空间不足。一个分区已用空间只有30GB但转换结果可能膨胀到60GB甚至更大因为很多文件系统元数据、未用扇区也可能被打包进去。所以在导出前要准备出比已用空间至少多一倍的外置空间再开始操作。导出过程中如果提示文件访问错误可以先检查一下输入盘是否存在坏道或者是否正在被其他进程锁定。在PE里操作时还要注意别把输出目录放到同一个源盘上那样会一边读一边写极易出问题。VHD文件过大的另一个原因是忘了排除休眠文件和页面文件。PE里导出的VHD如果没排除这些临时大文件备份体积会离谱地大。操作时务必确认源盘是否存在以下文件C:\pagefile.sys C:\hiberfil.sys C:\swapfile.sysdisk2vhd在新版里会自动排除pagefile和swapfile但hiberfil.sys有时还是会混进去。如果你发现vhd文件特别大先检查里面有没有这几个文件有的话用diskpart把vhd挂载后手动删掉比重新导出更快。6.4 误删文件后的补救思路在PE里误删文件的风险比平时更高因为PE里没有回收站删除就是彻底删除连“撤销”的机会都没有。所以操作之前先备份数据永远是最重要的原则。一旦误删第一反应是停止一切写入操作。不要在目标盘上再拷贝新文件、再安装程序、再运行什么修复工具。写入操作会让原来被删除文件所在的位置被新数据覆盖覆盖越多恢复可能性越低。PE下可以用数据恢复工具做扫描恢复。DiskGenius和R-Studio是我用得比较多的前者界面简单后排我全部遍历部门适合找回常见文件类型后者扫描能力更强能识别更多文件系统。恢复时尽量把恢复文件输出到另一块盘上不要直接写到原盘避免覆盖。提示NTFS分区被删除的文件只要没有被覆盖恢复成功率很高。但如果文件删除后又做了大量写操作成功率会直线下降。所以误删后“立即停手”比“用什么软件”更重要。6.5 WinPE下显示器分辨率异常的应对办法PE系统的显示驱动通常很精简不少机器进PE后屏幕分辨率只有1024×768或者更低有的甚至黑屏无输出。这并不代表PE崩溃了。如果显示异常但系统有反应可以试试按键盘上的PrintScreen截几张图用图像查看器看看画面是否实际上渲染了。也可以盲操作打开命令行输入“notepad”看看记事本窗口能否出现。部分PE提供“显示设置”工具可以切换分辨率或者开启强制输出。更实用的办法是备一根VGA线或HDMI线把笔记本接到外接显示器上有时候外接显示器的兼容性比笔记本自带屏幕还好。7. 结尾我的维护U盘是这样的最后说说我的维护U盘是怎么准备的。一个16GB的U盘PE系统用的是第三方精简版里面集成了分区工具、备份还原、密码工具和文件恢复工具。U盘根目录下放了一个Tools文件夹里面更新到最新版本的disk2vhd、NTPWEdit、离线病毒扫描器、目标系统对应的网卡驱动、数据恢复软件还有一个chkdsk脚本和快速使用说明。这些年我发现一个规律大部分进不了系统的故障先用PE做一次“静态检查”就能定位问题比反复重启系统试错高效得多。尤其是当你面对一台蓝屏、黑屏或者卡Logo的电脑时PE里的操作空间远比正常系统里大。删除风险文件、校验文件系统、重置密码、导出vhd、离线杀毒看起来是五个独立的操作实际上是“用一种干净的环境去处理不干净的系统”这一条思路的延伸。每次帮朋友或同事处理好一台机器我都会顺手把维护U盘里的工具和新补丁同步一遍。这一轮操作下来省下的时间早就超过制作启动盘的成本了。按照这套方法去实操几个核心场景基本就能独立应付了。
