“是否可以编写一个驱动，它能判断写盘操作是系统执行的，还是用户执行的，只拦截用户执行的写操作”
这个想法很好，可是有问题请教，对于安装一个程序显然是一个用户执行的，可是在安装过程中显然会出现系统的更新，我们如何操作呢。

有点问题要问的是！
因为你是使用了影射的方法，把新的数据写到了临时的空间里面了，如果这个是系统的文件，那么在运行的时候就会不断的调用这部分数据，那么你的这个影射方法就会影响到系统执行的效率，并且每次上层要求这部分数据的时候你都要计算出这些数据对应的物理扇区号。
不过既然是系统的保护软件，那么对系统的性能当然是有所影响的！
你的这个方法是可行的，不过需要考虑的是，是否允许用户来做一个多点的存储和还原，就是可以把系统能够还原到之前的多个状态，例如在安装了你的软件之后有一个状态，保存下来StatusA，之后安装了一个软件，保存状态StatusB，删除了一些不使用的软件StatusC，安装了新的软件StatusD，对于这种情况，是否可以做到把这四种状态都可以还原呢！
    当然，如果只是你做的一个毕业设计课题，那么可以不用做到这么的深层次，因为这个已经远远的超出了一个毕业设计的内容要求了

对于9X的来说，应该编写一个VSD，而NT/2K以及XP，那么建议你去参考一下DDK里面的DISKPERF的方法，不过这个例子好象有点问题的，不过原理上是可以的，特别是钩挂的方法，还有就是你最好能够把MBR部分修改的越少越好，因为很多的杀毒软件会误报的，你可以考虑的是如果是NT/2K的引导方式，可以考虑把NTLDR上面做动作，自己写一个程序在MBR和NTLDR之前做动作

还有的是，你在拦截的时候考虑的是要把写PAGEFILE的请求都应该直接放过

如果是这样的话，实现起来应该不难。为了提高效率，我认为应该对一组扇区进行映射，而不是对每一个扇区映射。

挑战者不是说了么，用ddk中diskperf例子。

其实diskperf是一个filter.所有对硬盘的操作首先被经过diskper处理，然后再给下一个驱动（原来硬盘中的）。

不知道大家是否有用过Restore IT,中文名虚拟还原，比go back还好用！在硬盘保护以及还原方面可是好东东哟，各位不妨研究一下。提供一个地址供下载.http://www.farstone.com

to omo
感谢你提供的网址，同志们开始研究吧
http://download.com.com/3150-2248-0.html?tag=dir
有许多啊，研究过的写一份报告好不好

to codewarrior
我也只是粗略的看了一下diskperf，我要等一个礼拜才能去研究它，如果你不嫌麻烦的话，把你的问题写出来，我们一起进步好不好。

我想远程控制维护一网吧，但苦于机器安装了保护卡。
上网搜索了大量有关资料，结果归纳如下：
破解普遍采用还原中断ｉｎｔ１３的方法。
我经过尝试发现这种方法局限性很大，对老式保护卡有效，但对新式板卡只能在ｄｏｓ下成功破解，进入ｗｉｎｄｏｗｓ后保存的文件依然被还原。
有关保护卡在ｗｉｎｄｏｗｓ下实现的细节无从得知，经过分析本人怀疑是保护卡采用了类似于ｃｉｈ的ｈｏｏｋ技术，将写磁盘的ｗｉｎ３２ａｐｉ挂上了自己的程序，具体实现还望高手和业内人士指点（最好有源代码），我感激不尽。
如不方便透露，可以邮寄到我的信箱或用ＱＱ联系。
yaomingmail@sina.com
OICQ:31547735

呵呵！之前我也已经说了！diskperf是通过获得每一个硬盘和分区的设备对象，然后进行钩挂的，之后的读写操作就可以拦截到了